Imaginez cliquer sur une publicité Google qui ressemble parfaitement à la plateforme que vous utilisez tous les jours. En quelques secondes, plus de 550 000 dollars s’évaporent. C’est exactement ce qui serait arrivé à un utilisateur d’Hyperliquid le 13 août 2026. Les fonds ont quitté son portefeuille pour atterrir sur trois adresses contrôlées par des attaquants. L’histoire ne s’arrête pas là : Google a rapidement suspendu l’annonceur, mais le mal était déjà fait.
Comment une simple publicité a pu tout faire basculer
Le scénario commence par une recherche anodine. L’utilisateur tape le nom de la plateforme et clique sur le premier résultat sponsorisé. Ce résultat menait vers un site parfaitement imité. Une fois sur la page, la connexion du portefeuille a suffi. Les fonds sont partis.
Selon les informations relayées par un spécialiste de la récupération d’actifs, environ 550 019 USDC ont été transférés. Le montant a été immédiatement divisé en trois parts distinctes : 440 015 USDC, 82 503 USDC et 27 501 USDC. Ces mouvements sont visibles on-chain et confirment le transfert réel des fonds.
Les trois adresses destinataires ont été identifiées comme étant 0x98b276…13C55, 0x93b6B2…d6D1 et 0x6fE314…B566. Deux d’entre elles ont également été signalées par des outils de sécurité indépendants. Le lien causal avec la publicité Google repose sur le témoignage de la victime et l’analyse du chercheur, car la blockchain elle-même ne révèle pas l’origine de la tromperie.
Les chiffres exacts des transferts
La répartition des fonds n’est pas anodine. Les attaquants ont choisi de fractionner le butin rapidement. Cette technique classique vise à compliquer le suivi et à disperser les liquidités vers différentes destinations. Une fois les tokens répartis, la récupération devient nettement plus difficile.
Les montants précis correspondent parfaitement à l’estimation initiale d’environ 550 000 dollars. Aucune faille dans le protocole Hyperliquid n’a été identifiée. L’attaque a ciblé l’utilisateur avant même qu’il n’interagisse avec la véritable plateforme. C’est une attaque de phishing pure, orchestrée via une publicité payante.
La réaction de Google face à cette campagne
Google a confirmé avoir suspendu l’annonceur concerné. Un porte-parole a rappelé que l’entreprise applique une tolérance zéro envers les arnaques. Selon les données internes de la société, plus de 99 % des publicités violant les règles ont été stoppées avant même d’être diffusées en 2025.
Les chiffres globaux de Google pour l’année précédente sont impressionnants : plus de 8,3 milliards d’annonces bloquées ou retirées, et 24,9 millions de comptes annonceurs suspendus. Parmi ces actions, 602 millions d’annonces et quatre millions de comptes étaient liés à des arnaques. Ces statistiques couvrent l’ensemble des marchés et ne concernent pas uniquement ce cas précis.
Malgré ces efforts, des campagnes réussissent encore à passer les filtres. Les attaquants utilisent souvent des comptes vérifiés compromis ou achetés illicitement. Ils combinent cloaking et fingerprinting pour contourner les contrôles automatiques. Certains placent même des pages hébergées par Google en façade avant de rediriger vers le contenu malveillant via des frames secondaires.
Un schéma déjà observé depuis plusieurs mois
Cette attaque s’inscrit dans une série plus large. Dès le mois d’avril, des équipes de sécurité avaient documenté une campagne massive d’usurpation d’Hyperliquid. Plus de 356 URL publicitaires malveillantes avaient été bloquées en quelques semaines seulement. Parmi les 352 entrées analysées, 17 sites imitaient spécifiquement Hyperliquid, soit environ 5 % du total.
Le même mode opératoire a déjà causé d’autres pertes importantes. En mai, des publicités imitant Uniswap avaient été liées à au moins 400 000 dollars de vols. Entre le 13 et le 30 mars, un autre décompte faisait état de 1,27 million de dollars de pertes confirmées ou non attribuées liées à des publicités Google suspectes.
Plus récemment, un utilisateur de portefeuille matériel a également signalé une perte après avoir cliqué sur un résultat sponsorisé. Ces incidents répétés montrent que le vecteur publicitaire reste particulièrement efficace contre les utilisateurs de cryptomonnaies.
Pourquoi les publicités Google restent un angle mort
Les utilisateurs font naturellement confiance aux premiers résultats de recherche. Quand une publicité apparaît en haut de page avec le nom exact de la plateforme, le réflexe de cliquer est presque automatique. Les attaquants exploitent précisément cette confiance.
Les domaines utilisés sont souvent très proches de l’original. Une lettre changée, un tiret ajouté ou un sous-domaine trompeur suffisent. Une fois sur le site, l’interface est identique. Les boutons, les logos, même les textes de connexion sont copiés. Seule l’adresse dans la barre de navigation trahit la supercherie… encore faut-il la vérifier.
Les documentations officielles d’Hyperliquid insistent d’ailleurs sur ce point. Elles rappellent aux utilisateurs de toujours vérifier l’URL complète et de considérer toute activité inconnue sur le portefeuille comme un signe de compromission. Des transactions non autorisées, des fonds manquants ou des changements de multisignature inexpliqués doivent alerter immédiatement.
Ce que révèle l’absence de faille protocolaire
Aucun élément disponible n’indique que la blockchain ou le protocole de trading d’Hyperliquid aient été compromis. L’attaque s’est produite en amont. La victime a interagi avec un faux site avant même d’atteindre la véritable plateforme. C’est une distinction essentielle.
Cette précision change complètement la nature du problème. Il ne s’agit pas d’une vulnérabilité technique du protocole, mais d’une faille humaine et d’un défaut dans les mécanismes de diffusion publicitaire. Les fonds n’ont jamais touché les smart contracts légitimes. Ils ont été signés et envoyés directement depuis le portefeuille de la victime vers les adresses des attaquants.
Cette réalité rend la récupération particulièrement complexe. Une fois les tokens partis, seules des actions judiciaires ou des gelages sur des plateformes d’échange peuvent encore offrir une chance de récupération. À ce stade, aucune enquête officielle ni procédure de récupération n’avait été annoncée publiquement au 14 août 2026.
Les leçons à tirer pour tous les utilisateurs
La première règle reste la plus simple et la plus souvent oubliée : ne jamais accéder à une application crypto via une recherche Google. Les favoris vérifiés ou la saisie manuelle de l’URL officielle restent les méthodes les plus sûres. Les équipes de sécurité le répètent depuis des mois.
Deuxième point : vérifier systématiquement l’adresse complète avant de connecter un portefeuille. Une seule lettre différente doit suffire à abandonner immédiatement la page. Les extensions de navigateur qui alertent sur les sites connus pour le phishing peuvent aussi constituer une couche de protection supplémentaire.
Troisième réflexe : se méfier de toute demande de signature inhabituelle. Les attaquants demandent souvent des autorisations de type « setApprovalForAll » ou des transferts directs. Lire chaque transaction avant de signer reste indispensable, même si l’interface semble familière.
Enfin, la séparation des fonds entre plusieurs portefeuilles limite les dégâts. Garder uniquement le montant nécessaire sur le portefeuille de trading et le reste sur un cold wallet réduit considérablement l’exposition en cas de compromission.
Le rôle des outils de sécurité on-chain
Dans cette affaire, plusieurs outils ont permis d’identifier rapidement les adresses des attaquants. Des alertes ont été diffusées peu après les transferts. Ces systèmes de détection jouent un rôle de plus en plus important dans la protection collective.
Cependant, ils arrivent généralement après le fait. Une fois les fonds partis, le mal est déjà fait. Leur valeur réside davantage dans la prévention des prochaines victimes et dans la constitution de preuves pour d’éventuelles procédures. Les adresses restent traçables, et tout mouvement ultérieur vers un exchange ou un bridge pourra éventuellement ouvrir de nouvelles pistes.
Pour l’instant, les trois adresses destinataires n’ont pas encore montré de mouvements significatifs vers des services centralisés. La situation peut évoluer rapidement. Le prochain développement vérifiable sera précisément un transfert sortant de ces wallets.
Une menace qui ne concerne pas que Hyperliquid
Le mode opératoire observé ici est générique. N’importe quelle plateforme populaire peut devenir la cible d’une campagne publicitaire malveillante. Les noms les plus recherchés sont aussi les plus susceptibles d’être usurpés. Plus une application attire d’utilisateurs, plus elle attire les arnaqueurs.
Les montants en jeu expliquent l’intérêt des attaquants. Un seul utilisateur malchanceux peut représenter plusieurs centaines de milliers de dollars. Avec un taux de réussite même faible, la rentabilité reste élevée. Les coûts d’une campagne publicitaire sont négligeables face aux gains potentiels.
Cette asymétrie explique pourquoi le phénomène persiste malgré les efforts de Google et des équipes de sécurité. Tant que le ratio coût/bénéfice restera favorable aux attaquants, de nouvelles campagnes apparaîtront.
Ce que l’on sait réellement et ce qui reste hypothétique
Les transferts on-chain sont des faits établis. Les montants, les adresses et les horodatages sont publics et vérifiables. En revanche, le lien exact avec la publicité Google repose sur l’attribution du chercheur et sur les éléments fournis par la victime. La blockchain ne prouve pas à elle seule que l’utilisateur a cliqué sur une annonce sponsorisée.
Cette distinction est importante. Elle rappelle que les affirmations sur l’origine d’une attaque doivent toujours être traitées avec prudence lorsqu’elles ne s’appuient que sur des témoignages. Dans ce cas précis, plusieurs indicateurs convergent, mais la preuve formelle reste partielle.
Google a néanmoins jugé suffisamment sérieux le signalement pour suspendre l’annonceur. Cette action confirme au minimum que la campagne publicitaire en question violait les règles de la plateforme.
Les perspectives de récupération
À l’heure actuelle, aucune procédure de récupération n’a été annoncée. Les adresses restent actives et traçables. Si les fonds transitent un jour par un exchange réglementé, des demandes de gel pourraient être déposées. En attendant, les chances de récupération restent faibles.
Les spécialistes de la récupération d’actifs soulignent souvent que le temps joue contre les victimes. Plus les fonds sont dispersés et convertis, plus la traçabilité se complexifie. Dans ce dossier, le fractionnement immédiat en trois adresses montre que les attaquants ont anticipé ce risque.
Pour les utilisateurs touchés par ce type d’incident, la première démarche consiste à documenter précisément les transactions, les captures d’écran de la publicité et de la page de phishing, puis à contacter les équipes de sécurité de la plateforme et, si possible, les forces de l’ordre spécialisées.
Comment se protéger concrètement au quotidien
La prévention reste la seule stratégie vraiment efficace. Voici les habitudes qui réduisent significativement le risque :
• Toujours saisir manuellement l’URL officielle ou utiliser un favori vérifié.
• Ne jamais cliquer sur un résultat sponsorisé pour accéder à une application crypto.
• Vérifier l’extension de domaine et l’absence de caractères inhabituels dans l’adresse.
• Utiliser un portefeuille matériel pour les montants importants.
• Activer les alertes de transaction sur les adresses principales.
• Se méfier des messages urgents ou des offres trop alléchantes qui poussent à cliquer rapidement.
Ces gestes simples auraient probablement suffi à éviter la perte de 550 000 dollars dans ce cas précis. La rapidité avec laquelle les attaquants agissent laisse rarement une seconde chance.
Un rappel utile pour l’écosystème entier
Cet incident illustre une vérité inconfortable : la sécurité des utilisateurs dépend autant de leur vigilance que des protections techniques. Les protocoles peuvent être robustes, les smart contracts audités, les bridges sécurisés… si l’utilisateur se trompe de site, tout s’effondre.
Les plateformes ont aussi un rôle à jouer. Certaines multiplient les campagnes de sensibilisation. D’autres intègrent des listes blanches d’URL ou des mécanismes de vérification dans leurs applications. Ces initiatives sont positives, mais elles ne remplacent pas la responsabilité individuelle.
Du côté des régulateurs et des moteurs de recherche, la pression augmente. Les volumes d’annonces frauduleuses bloquées montrent que les systèmes évoluent. Pourtant, chaque incident réussi prouve que des failles persistent. Le jeu du chat et de la souris continue.
Que retenir de cette affaire
Un utilisateur a perdu environ 550 000 USDC. Les fonds ont été transférés vers trois adresses identifiées. Google a suspendu l’annonceur. Aucune faille du protocole Hyperliquid n’a été découverte. Le vecteur d’attaque était une publicité payante imitant la plateforme.
Ces éléments sont solides. Le reste — le détail exact de l’interaction, le contenu précis de la page de phishing, le parcours exact de la victime — repose sur les déclarations du chercheur et de la personne touchée. La prudence reste de mise dans l’interprétation.
Pour tous les autres utilisateurs, le message est clair. La prochaine publicité qui apparaît en haut de page avec le nom d’une plateforme connue n’est peut-être pas celle qu’elle prétend être. Prendre cinq secondes pour vérifier l’URL peut faire la différence entre un usage normal et une perte irréversible.
Les adresses des attaquants restent publiques. Tout mouvement futur sera visible. En attendant, la meilleure protection reste la vigilance quotidienne. Dans un écosystème où les sommes en jeu atteignent facilement six chiffres, la moindre erreur de clic peut avoir des conséquences considérables.
Cette affaire s’ajoute à une longue liste d’incidents similaires. Elle ne sera probablement pas la dernière. Tant que les publicités resteront un canal d’acquisition privilégié et que les utilisateurs continueront de cliquer sans vérifier, les attaquants trouveront de nouvelles victimes. La seule variable vraiment contrôlable reste le comportement de chacun devant son écran.
Prenez le temps de vérifier. Enregistrez les adresses officielles. Méfiez-vous des résultats sponsorisés. Ces réflexes, une fois acquis, protègent bien plus efficacement que n’importe quelle solution technique après coup. Les 550 000 dollars perdus dans cette affaire le rappellent avec une clarté brutale.
