HYPE空投骗局:HyperSwap钱包在84秒内被盗12,300美元

加密新闻

一名HyperSwap流动性提供者在签署了一笔钱包授权后,仅84秒便损失约12,300美元——这笔授权把他在Hyperliquid区块链上一个去中心化交易所仓位的控制权,直接交到了攻击者手中。根据公开的链上记录还原,这起案例清楚地展示了:一旦恶意授权生效,仓位被掏空的速度有多快。受害者此前向HyperSwap的流动性池注入了加密资产,以此赚取交易手续费。该仓位被代币化为一枚NFT——一张数字凭证,谁持有它,谁就掌控底层资金。谁转走代币,谁就转走了钱。链上数据显示,资金在不到两分钟内被提取、兑换并跨链转移。

陷阱始于一场根本不存在的代币发放。受害者在X上看到一条宣传空投的帖子,点开链接,以为自己只是在查询免费分发的资格。但那个账号是仿冒的:它的用户名与官方网站所链接的真实项目账号HyperSwapX高度相似,一眼扫过极易蒙混过关。把钱包连接到这个欺诈网站后,页面呈现出一个看似寻常的「领取」步骤。实际上,受害者批准的是一笔交易——授予某个第三方地址转移其HyperSwap仓位的权限。这一个决定,决定了此后的一切。

其背后的机制是代币授权(token approval),这是一项标准的钱包操作,允许另一个地址代表用户转移指定资产。有些授权无害,有些则会把有价值的持仓拱手让人。此案中,授权覆盖的是NFT #178549,也就是代表受害者HyperSwap V3流动性仓位的那枚代币。对大多数用户而言,确认弹窗看起来平平无奇;而一个仿冒站点,完全可以把一笔危险授权包装成领取代币的正常环节。这正是现代授权钓鱼的设计精髓:盗窃行为已由受害者预先授权,因此当资金真正被转走时,无需再签署任何签名。

执行发生在事后。链上记录将决定性的那笔转账定格在6月29日20:21:51 UTC——攻击者利用此前的授权,把NFT #178549从受害者钱包中抽走。那一刻受害者没有签署任何东西,权限早已给出。接收地址0x880C95246D7525b84902E6c040818a7C72d3Aa77,在HyperEVM区块浏览器上被标记为Fake_Phishing3746335,并附带Phish / Hack警告。这一标签证实该地址早已被区块链安全追踪机构掌握,说明这套盗窃基础设施是在多名受害者之间反复复用的,并非为单一目标专门搭建。

洗钱几乎在瞬间接踵而至。夺得NFT后,攻击者提取了支撑该流动性仓位的加密资产,将所得兑换为Hyperliquid的原生山寨币HYPE,并把价值跨链转移至以太坊,全程不到两分钟。速度至关重要:等大多数用户察觉到一笔未经授权的转账时,资产早已跨过跨链桥、变换了形态,追回的难度大幅上升。链上数据显示,从仓位转移到跨链结算的整套流程,恰好塞进了赋予本案「84秒」标题的那段极短窗口内。整个过程无需受害者再有任何参与。

这起事件也厘清了责任归属。HyperSwap是一家运行在Hyperliquid区块链上、却由自有团队独立运营的去中心化交易所;Hyperliquid并不管理它,正如以太坊的创造者并不运营建立在其链上的各类应用。与其他DEX一样,HyperSwap允许用户直接从自托管钱包交易,没有任何公司代为持有资金。这一模式去除了中介,却也去掉了安全网:在欺诈网站上签下的授权,会严格按其字面执行。定期审查并撤销钱包授权、把账号用户名与官方链接逐一核对,仍是核心防线。

我们的解读把这些线索归结为一个主题:授权钓鱼已成为自托管风险中最锋利的那道刃口,而当注意力分散在别处时,它咬得最狠。COINOTAG的综合市场数据显示,市场情绪处于「极度恐惧」,读数为24(满分100),比特币市占率为69.3%,加密货币总市值接近1.84万亿美元——在这种环境下,流动性向主流币集中,攻击者则专挑那些持有小生态代币、又心不在焉的持有者下手。本案的主要证据完全来自链上:一个被标记的钓鱼地址、一笔带时间戳的NFT转账,以及一次两分钟内完成的以太坊跨链。没有任何协议被攻破,一次授权就完成了全部工作——而这,正是它可被反复复制的原因。