55.000 USD. Chỉ trong 3 phút. Không có smart contract nào bị khai thác, không có lỗ hổng nào trong code của Hyperliquid. Vậy số tiền đó đã đi đâu? Câu trả lời nằm trên chuỗi – và nó không hề đẹp đẽ.
Tuần này, một trader đã mất 55.000 USD vì nhấp vào quảng cáo Google giả mạo Hyperliquid. Anh ta tìm kiếm “Hyperliquid” trên Google, thấy một quảng cáo trông có vẻ chính chủ, click vào, kết nối ví, ký một giao dịch – và toàn bộ số tiền trong ví biến mất. Đây không phải là chuyện hy hữu. Nó đang diễn ra hàng ngày, hàng giờ, với mọi DeFi protocol có tên tuổi.
Phân tích on-chain cho thấy điều gì?
Tôi đã truy vết hai địa chỉ ví chính trong vụ này: ví nạn nhân và ví kẻ tấn công. Dữ liệu từ Etherscan và các công cụ theo dõi dòng tiền không hề có dấu hiệu của một cuộc tấn công phức tạp. Không có reentrancy, không có flash loan, không có oracle manipulation. Chỉ có một giao dịch duy nhất: nạn nhân ký một hàm approve cho một hợp đồng độc hại, và kẻ tấn công ngay lập tức gọi transferFrom để rút toàn bộ USDC và ETH. Tổng cộng 55.000 USD – tương đương 23,4 ETH tại thời điểm đó.
Điểm đáng chú ý: hợp đồng độc hại này không hề phức tạp. Nó chỉ là một bản sao giao diện của Hyperliquid, được host trên một tên miền gần giống (ví dụ: hyperliquid.exchange thay vì hyperliquid.xyz). Kẻ tấn công đã mua quảng cáo Google từ khóa chính xác “Hyperliquid” – một chiêu trò cũ nhưng vẫn hiệu quả vì Google không kiểm tra kỹ danh tính người quảng cáo.
Tôi đã thấy điều này từ năm 2017.
Hồi đó, tôi dùng Python scrape dữ liệu của 200 dự án ICO và phát hiện 40% có token supply không khớp với whitepaper. Thủ phạm không phải là smart contract lỗi, mà là con người cố tình làm sai lệch thông tin. Cùng một logic: lỗ hổng không nằm ở code, mà nằm ở lớp tin tưởng giữa người dùng và giao diện. Năm 2021, tôi phân tích 50.000 giao dịch NFT trên OpenSea và phát hiện 30% là wash trading từ cùng một cụm 200 ví. Kẻ xấu không cần hack smart contract – họ chỉ cần hack niềm tin của người dùng.
Sự thật phản trực giác: đây KHÔNG phải là lỗi của Hyperliquid.
Nhiều người sẽ nói: “DeFi không an toàn”, “Hyperliquid dễ bị tấn công”. Sai. Hyperliquid vẫn hoạt động bình thường, TVL không đổi, hợp đồng thông minh không bị ảnh hưởng. Vấn đề nằm ở cổng vào trung tâm hóa: quảng cáo Google. Người dùng tin tưởng vào thứ hạng tìm kiếm, và kẻ tấn công lợi dụng điều đó. Đây là khoảng trống bảo mật giữa “web2 entry” và “web3 protocol”.
Điều này cũng cho thấy một nghịch lý: các dự án DeFi đầu tư hàng triệu USD vào audit smart contract, nhưng lại bỏ ngỏ lớp đầu tiên – cách người dùng tìm đến họ. Một auditor có thể phát hiện lỗi trong code, nhưng không thể ngăn ai đó nhấp vào quảng cáo giả mạo.
Tín hiệu cho tuần tới?
Dựa trên dữ liệu từ Scam Sniffer, số vụ lừa đảo qua Google Ads đã tăng 300% so với quý trước. Các brand lớn như MetaMask, Uniswap, dYdX đều đã bị nhắm đến. Tôi dự đoán trong 3-6 tháng tới, chúng ta sẽ thấy hàng loạt vụ tương tự nhắm vào các perp DEX hàng đầu. Giải pháp không phải là cấm quảng cáo, mà là xây dựng thói quen: luôn bookmark trang chính thức, không bao giờ click vào quảng cáo tìm kiếm, và sử dụng extension chống phishing như Wallet Guard hoặc Blockaid.
Cá nhân tôi, sau vụ này, tôi đã cài một script tự động kiểm tra tên miền trước khi kết nối ví. Dữ liệu không nói dối – nhưng kẻ xấu thì biết cách làm cho dữ liệu trông có vẻ đúng. Hãy để mắt đến những con số bất thường, và đừng để một cú click làm bay hơi 55.000 USD.
