Fausse Pub Google Hyperliquid Et Draineur Inferno

Imaginez cliquer sur une publicité Google qui semble parfaitement légitime, afficher le nom d’une plateforme de trading décentralisée réputée, et quelques minutes plus tard voir disparaître plus d’un demi-million de dollars en stablecoins. C’est exactement ce qui est arrivé à un utilisateur de Hyperliquid le 13 août 2026. Le montant volé : environ 550 000 USDC. Derrière cette opération se cache un réseau professionnel de draineurs de portefeuilles lié à l’écosystème Inferno, un service prêt-à-l’emploi qui industrialise le vol de cryptomonnaies.

Comment Une Simple Publicité Sponsorisée A Permis Un Vol Massif

Tout commence par une recherche anodine. L’utilisateur tape le nom de la plateforme Hyperliquid dans Google. Parmi les résultats, une annonce sponsorisée apparaît en tête de liste. Elle mène vers un site qui reproduit fidèlement l’interface officielle. Une fois connecté via son portefeuille, la victime approuve une transaction qui semble banale. En réalité, elle autorise un contrat malveillant à vider ses fonds.

Selon la société de sécurité blockchain Salus, le vol a eu lieu le 13 août. Les fonds ont quitté le portefeuille de la victime en trois transferts distincts : environ 440 015 USDC, 82 503 USDC et 27 501 USDC. Ces montants ont été automatiquement répartis entre plusieurs adresses contrôlées par les attaquants. Google a ensuite suspendu le compte publicitaire responsable, mais le mal était déjà fait.

Ce qui rend cette affaire particulièrement inquiétante, c’est le niveau d’organisation. Salus a retracé les flux et identifié un backend professionnel qui gère non seulement le drain, mais aussi le partage automatique des bénéfices. L’infrastructure est étroitement liée au réseau Inferno, déjà connu pour d’autres attaques d’envergure.

Le Rôle Précis Du Draineur Inferno Dans Cette Attaque

Salus a mené une enquête sous couverture qui a permis de comprendre le fonctionnement interne. Le service est promu via le compte Telegram @AngelFernoOwner. Les opérateurs y proposent un package complet : scripts malveillants, panneaux d’administration, génération de commandes d’approbation, déploiement de contrats à usage unique, drain automatique, retraits cross-chain, swaps de tokens et consolidation des fonds.

Le modèle repose sur une séparation claire des rôles. Le groupe de phishing se charge d’acheter les publicités Google, de créer le faux site et de fournir l’adresse de réception des fonds. Une fois que la victime a signé l’approbation malveillante, l’infrastructure Inferno prend le relais et exécute le reste sans intervention humaine.

Ce système de partage automatique des revenus constitue l’un des atouts majeurs du service. Les participants n’ont plus besoin d’effectuer des transferts manuels. Tout est géré par le backend, ce qui réduit les risques d’erreur et accélère la circulation des fonds volés.

Un Modèle Draineur-As-A-Service Qui Industrialise Le Vol

Le phénomène n’est pas nouveau, mais il atteint désormais un niveau de professionnalisation inquiétant. Les développeurs de draineurs fournissent les outils techniques tandis que des affiliés se chargent de la diffusion et du ciblage des victimes. Les bénéfices sont ensuite partagés selon des règles prédéfinies.

Dans le cas Hyperliquid, le package proposé incluait non seulement les outils de drain initiaux, mais aussi les étapes ultérieures : retraits multi-chaînes, échanges de tokens, consolidation et distribution des profits. Cette approche clé en main attire de nouveaux opérateurs qui n’ont pas besoin de compétences techniques avancées.

Les victimes, elles, tombent dans le piège des approbations malveillantes. Une simple signature de transaction donne au contrat attaquant le pouvoir de transférer les tokens. Une fois l’autorisation accordée, le portefeuille peut être vidé en quelques secondes.

Des Pertes Cumulées Qui Dépassent Les 52 Millions De Dollars

Salus a élargi son analyse au-delà de l’incident Hyperliquid. Les groupes liés à la même infrastructure seraient responsables d’environ 52,74 millions de dollars de pertes au total. Plusieurs affaires majeures ont été reliées à ce réseau.

L’une des plus spectaculaires concerne UXLINK. En septembre 2025, un attaquant qui avait lui-même exploité une faille de la plateforme a ensuite été victime d’un phishing d’approbation. Environ 542 millions de tokens UXLINK ont été drainés. ScamSniffer avait détecté une augmentation malveillante d’allowance permettant le vol de plus de 43 millions de dollars à l’époque. Yu Xian, fondateur de SlowMist, avait attribué l’opération à Inferno Drainer.

Un autre incident s’est produit le 15 avril 2026 autour de CoW.fi. Le domaine officiel aurait été détourné, et une victime associée a perdu environ 316 000 USDC. Le 9 juillet, une fausse application décentralisée ou un faux airdrop a conduit au vol de 999 999 USDT après une approbation malveillante.

Les groupes liés à cette infrastructure ont déjà causé environ 52,74 millions de dollars de pertes sur plusieurs incidents de phishing.

Salus, rapport d’enquête du 24 août 2026

Comment Les Attaquants Exploitent La Confiance Envers Les Grandes Plateformes

Le choix de Hyperliquid n’est pas anodin. La plateforme a gagné en popularité grâce à ses produits dérivés décentralisés. Les utilisateurs qui recherchent son nom sont souvent prêts à connecter leur portefeuille rapidement. Les publicités Google offrent une visibilité immédiate et une apparence de légitimité.

Les sites de phishing reproduisent les interfaces avec un soin extrême. Les couleurs, les boutons, les textes et même les logos sont copiés. Seule une vérification minutieuse de l’URL ou l’utilisation d’un gestionnaire de mots de passe peut parfois alerter l’utilisateur averti.

Cette technique s’inscrit dans une tendance plus large. En mars 2026, une campagne similaire avait ciblé des développeurs via de faux comptes GitHub et des sites clonés. Les victimes étaient invitées à connecter leur portefeuille sous prétexte d’offres de tokens.

Les Mécanismes Techniques Derrière Les Drains De Portefeuille

Le cœur du système repose sur les approbations ERC-20. Lorsqu’un utilisateur signe une transaction d’approbation, il autorise un contrat tiers à dépenser ses tokens jusqu’à un certain montant, souvent illimité. Les draineurs exploitent cette fonctionnalité légitime pour s’attribuer des droits permanents.

Une fois l’approbation obtenue, le contrat malveillant peut appeler la fonction transferFrom autant de fois qu’il le souhaite. Les fonds quittent le portefeuille de la victime sans nouvelle signature. Les outils Inferno automatisent ensuite le fractionnement, les swaps et les transferts vers des adresses de mixage ou des chaînes secondaires.

Les opérateurs proposent également des contrats à usage unique. Cela complique le traçage, car chaque campagne peut utiliser une adresse de contrat différente. Le panneau d’administration permet de suivre les victimes en temps réel et de déclencher les drains à la demande.

Les Réactions Des Acteurs De La Sécurité Et Les Mesures Prises

Salus a transmis l’ensemble des preuves, adresses à haut risque et renseignements collectés aux organisations compétentes pour un étiquetage des risques et une action coordonnée. Google a suspendu le compte publicitaire lié à la campagne Hyperliquid, ce qui limite la diffusion immédiate, mais n’empêche pas d’autres groupes de recommencer.

Les plateformes de trading et les services de sécurité multiplient les alertes. Certains portefeuilles intègrent désormais des systèmes de détection d’approbations suspectes. Des extensions de navigateur signalent les domaines connus pour le phishing. Pourtant, les attaquants adaptent rapidement leurs méthodes.

Le cas UXLINK illustre parfaitement la chaîne de vulnérabilités. L’attaquant initial avait exploité une faille delegateCall dans le portefeuille multi-signature du projet, obtenu des privilèges d’administrateur et déplacé environ 11,3 millions de dollars d’actifs. Le lendemain, il est devenu lui-même victime d’un phishing Inferno. Même les acteurs malveillants ne sont pas à l’abri.

Pourquoi Les Publicités Sponsorisées Restent Un Vecteur D’Attaque Redoutable

Google Ads reste l’un des canaux les plus efficaces pour les escrocs. Les annonces apparaissent en haut des résultats de recherche, avant même les sites officiels. Les utilisateurs pressés cliquent souvent sans vérifier l’URL complète. Les campagnes peuvent être lancées rapidement et ciblées géographiquement ou par mots-clés.

Les coûts de publicité sont largement compensés par les gains potentiels. Un seul succès de 550 000 USDC couvre des mois de campagnes. Les opérateurs changent régulièrement de comptes et de domaines pour contourner les suspensions.

Les plateformes de publicité renforcent leurs filtres, mais les escrocs utilisent des techniques d’évasion : domaines récemment enregistrés, contenus qui paraissent légitimes au premier regard, et redirections multiples. La course entre les défenseurs et les attaquants se poursuit sans relâche.

Les Signes Qui Doivent Alerter Tout Utilisateur De Cryptomonnaies

Plusieurs indices permettent de détecter une tentative de phishing. Une URL légèrement différente, un certificat SSL douteux, des fautes d’orthographe ou une demande d’approbation inhabituelle constituent des signaux d’alarme. Les vrais sites de trading demandent rarement des approbations illimitées sans justification claire.

Il est recommandé de vérifier systématiquement l’adresse du site dans la barre d’adresse, de préférer les favoris enregistrés plutôt que les résultats de recherche, et d’utiliser des portefeuilles matériels pour les montants importants. Les approbations doivent être révoquées régulièrement via des outils spécialisés.

L’Impact Sur La Confiance Envers Les Plateformes Décentralisées

Chaque incident de ce type érode un peu plus la confiance des utilisateurs. Hyperliquid n’est pas responsable de l’attaque, mais son nom a été utilisé comme appât. Les plateformes légitimes se retrouvent malgré elles associées à des arnaques dans l’esprit du public.

Les projets multiplient les campagnes d’éducation et les alertes sur les réseaux sociaux. Certains mettent en place des programmes de bug bounty plus généreux et collaborent avec des sociétés de sécurité pour surveiller les domaines frauduleux. Pourtant, la vitesse de création de nouveaux sites de phishing dépasse souvent celle des mesures de protection.

Le modèle draineur-as-a-service transforme le vol de cryptomonnaies en industrie. Des développeurs spécialisés, des affiliés marketing, des systèmes de partage de revenus automatisés : tout est en place pour une production à grande échelle. Les montants cumulés de 52,74 millions de dollars illustrent l’ampleur du phénomène.

Les Pistes De Protection Collectives Envisagées

Plusieurs pistes sont explorées pour freiner ces attaques. Les navigateurs pourraient intégrer des listes noires de domaines de phishing mises à jour en temps réel. Les portefeuilles intelligents pourraient refuser par défaut les approbations illimitées et demander une confirmation explicite pour chaque dépense.

Les plateformes publicitaires sont sous pression pour améliorer la vérification des annonceurs crypto. Des procédures de validation plus strictes, des délais d’attente pour les nouveaux comptes et une surveillance active des mots-clés sensibles pourraient réduire le volume de publicités frauduleuses.

Du côté des blockchains, certaines propositions visent à rendre les approbations plus granulaires et révocables automatiquement après un certain temps. Ces évolutions techniques prendront du temps à être adoptées massivement, mais elles pourraient limiter la fenêtre d’opportunité des draineurs.

Retour Sur Les Affaires Antérieures Liées À Inferno

Inferno n’est pas un nouveau venu. Dès août 2024, un investisseur anonyme avait allégué le vol de 55 millions de dollars en DAI via un faux site de connexion. La plainte mentionnait Inferno Drainer, et la société Zero Shadow avait tracé une partie des fonds vers un compte retail Coinbase. Cette affaire avait déjà mis en lumière le professionnalisme du réseau.

Au fil des mois, le service a évolué. Les outils se sont perfectionnés, le partage automatique des revenus est devenu plus sophistiqué, et le recrutement d’affiliés s’est intensifié via Telegram. L’affaire Hyperliquid confirme que le modèle reste actif et rentable en 2026.

Les enquêteurs notent que les mêmes clusters d’adresses réapparaissent dans plusieurs incidents. Cela facilite le travail de traçage, mais complique la récupération des fonds une fois qu’ils ont été mélangés ou convertis en d’autres actifs.

Ce Que Révèle Cette Affaire Sur L’Écosystème Crypto Actuel

L’incident Hyperliquid met en évidence plusieurs faiblesses structurelles. La confiance excessive dans les résultats de recherche, la complexité des approbations de tokens et la rapidité avec laquelle de nouveaux sites de phishing peuvent être déployés créent un terrain fertile pour les escrocs.

Dans le même temps, les outils de traçage blockchain progressent. Salus a pu retracer les flux, identifier les pourcentages de partage et relier l’infrastructure à d’autres affaires. Cette transparence on-chain reste l’un des rares avantages pour les défenseurs.

Les utilisateurs avancés adoptent des pratiques plus rigoureuses : portefeuilles séparés pour les interactions quotidiennes et les réserves importantes, vérification systématique des contrats, utilisation de simulateurs de transactions avant signature. Ces habitudes, encore minoritaires, pourraient se généraliser face à la multiplication des menaces.

Les Enjeux Pour Les Régulateurs Et Les Plateformes Publicitaires

Les autorités de régulation observent avec attention ces dérives. Les publicités frauduleuses sur les moteurs de recherche touchent non seulement les investisseurs crypto, mais aussi l’image des plateformes publicitaires elles-mêmes. Des pressions réglementaires pourraient accélérer l’adoption de contrôles plus stricts.

Du côté des projets DeFi, la responsabilité collective commence à émerger. Certains protocoles financent des initiatives de surveillance des domaines frauduleux et collaborent avec des sociétés de sécurité pour neutraliser rapidement les sites de phishing. Ces efforts restent toutefois fragmentés.

La question de la récupération des fonds reste épineuse. Une fois les USDC convertis ou transférés sur d’autres chaînes, les chances de restitution diminuent fortement. Les procédures judiciaires sont longues et souvent inefficaces face à des acteurs anonymes et internationaux.

Perspectives Et Vigilance À Maintenir

L’affaire du 13 août 2026 n’est probablement pas un cas isolé. Tant que le modèle draineur-as-a-service restera rentable, de nouvelles campagnes verront le jour. Les noms de plateformes populaires continueront d’être usurpés, et les publicités sponsorisées resteront un vecteur privilégié.

Pour les utilisateurs, la règle d’or demeure simple : ne jamais faire confiance à une publicité, toujours vérifier l’URL, et traiter chaque demande d’approbation avec la plus grande prudence. Les montants en jeu, comme le montrent les 550 000 USDC disparus en quelques minutes, justifient amplement cette vigilance.

Salus et d’autres acteurs de la sécurité poursuivent leurs investigations. Les adresses identifiées ont été signalées, et des actions de coordination sont en cours. Reste à savoir si ces efforts suffiront à freiner un réseau qui a déjà démontré sa capacité à s’adapter et à générer des dizaines de millions de dollars de pertes.

En attendant, chaque trader, chaque détenteur de stablecoins et chaque utilisateur de plateformes décentralisées doit intégrer que le plus grand risque ne réside pas toujours dans la volatilité des marchés, mais dans un simple clic sur une annonce apparemment anodine. L’histoire de ce demi-million d’USDC volés via une fausse publicité Google en est la démonstration la plus récente et la plus coûteuse.

La professionnalisation du phishing crypto, illustrée par Inferno et ses clones, transforme la sécurité individuelle en enjeu collectif. Les outils techniques évoluent, les méthodes de diffusion se perfectionnent, et seuls des comportements responsables et une collaboration renforcée entre acteurs de l’écosystème permettront de limiter les dégâts à l’avenir. Le cas Hyperliquid restera longtemps un exemple de ce qu’il ne faut surtout pas faire : faire confiance trop vite à une publicité, même sur le plus grand moteur de recherche du monde.