Imaginez : vous tapez le nom d’une plateforme crypto réputée dans Google, une publicité sponsorisée apparaît en haut des résultats, le site semble parfait, vous connectez votre portefeuille… et en quelques secondes, plus d’un demi-million de dollars s’envolent. C’est exactement ce qui est arrivé à un utilisateur de Hyperliquid le 13 août 2026. Environ 550 000 USDC ont disparu après un simple clic sur une fausse publicité Google. Derrière cette arnaque se cache un système ultra-professionnel lié au drainer Inferno, déjà associé à plus de 52 millions de dollars de pertes cumulées.
Une publicité sponsorisée qui a tout changé
L’histoire commence de manière banale. Un trader cherche à accéder à Hyperliquid, plateforme de trading décentralisée en pleine expansion. Parmi les premiers résultats, une annonce Google sponsorisée attire immédiatement le regard. Le lien mène vers un site quasi parfait : même design, mêmes couleurs, mêmes fonctionnalités apparentes. Rien ne trahit la supercherie à première vue.
Une fois sur la page, la demande classique arrive : connecter le wallet pour accéder aux services. L’utilisateur signe. C’est à cet instant précis que tout bascule. Le contrat malveillant obtient les autorisations nécessaires et commence à vider les fonds. Trois transferts se succèdent rapidement : environ 440 015 USDC, puis 82 503 USDC, et enfin 27 501 USDC. Total : un peu plus de 550 019 USDC partis vers des adresses contrôlées par les attaquants.
Google a fini par suspendre le compte publicitaire concerné, mais le mal était déjà fait. L’enquête de la société de sécurité Salus a permis de retracer le parcours des fonds et de relier l’infrastructure à un écosystème bien connu dans le monde des arnaques crypto : Inferno.
Le modèle drainer-as-a-service expliqué simplement
Ce qui rend cette attaque particulièrement inquiétante, c’est qu’elle ne repose pas sur un pirate isolé. Elle s’appuie sur un véritable service prêt à l’emploi. Inferno fonctionne comme un « drainer-as-a-service » : une plateforme qui fournit outils, scripts et automatisation aux groupes de phishing qui n’ont qu’à trouver les victimes.
Selon les investigations, le service était promu via un compte Telegram baptisé @AngelFernoOwner. L’offre est complète : scripts malveillants, panneaux d’administration, génération de commandes d’approbation, déploiement de contrats en un clic, drainage automatique, retraits cross-chain, swaps de tokens et consolidation des fonds. Le plus troublant reste le système de partage automatique des revenus. Une fois l’argent volé, il est réparti sans intervention humaine.
Dans le cas Hyperliquid, la répartition a été claire. Une adresse a reçu 80 % des fonds, une autre 15 %, et une troisième 5 %. Une quatrième adresse a exécuté le drainage. Tout s’est déroulé de façon fluide, comme une machine bien huilée.
Point clé : le phishing n’est plus artisanal. Il est industrialisé. Les opérateurs se concentrent sur la publicité et les fausses pages, pendant que le backend gère le vol et le partage des gains.
Comment fonctionne réellement un drainer de wallet
Le principe repose sur les approvals, ces autorisations que l’on signe pour permettre à un contrat d’interagir avec nos tokens. Dans un usage normal, cela facilite les échanges sur les DEX. Dans un contexte malveillant, une approval trop large donne au contrat le pouvoir de transférer tous les tokens de ce type sans nouvelle signature.
Les drainers exploitent exactement cela. La page phishing demande une signature qui semble anodine. Une fois validée, le contrat malveillant peut siphonner les actifs. Les versions avancées automatisent ensuite le transfert vers d’autres chaînes, convertissent les tokens et dispersent les fonds pour brouiller les pistes.
Inferno a perfectionné ce modèle. Les clients n’ont plus besoin de compétences techniques avancées. Ils achètent l’accès, déploient la page, lancent les publicités, et le système s’occupe du reste. C’est cette industrialisation qui explique l’ampleur des pertes liées à ce réseau.
Un historique déjà très lourd pour Inferno
Le cas Hyperliquid n’est qu’un épisode récent. Salus a relié l’infrastructure à environ 52,74 millions de dollars de pertes totales sur plusieurs incidents. Parmi les plus marquants figure l’affaire UXLINK de septembre 2025.
Après qu’un exploit initial avait compromis le projet UXLINK via une vulnérabilité delegateCall, l’attaquant s’est retrouvé victime à son tour. Une phishing d’approbation a permis de drainner plus de 542 millions de tokens UXLINK, soit plus de 43 millions de dollars à l’époque. Les analyses ont pointé vers Inferno Drainer et une méthode d’authorization-phishing classique.
Un autre incident cité date du 15 avril 2026 : le domaine officiel de CoW.fi a été détourné. Un utilisateur a perdu environ 316 000 USDC. Le 9 juillet suivant, une fausse application décentralisée ou un faux airdrop a entraîné le vol de 999 999 USDT après une approval malveillante.
Plus loin dans le temps, un investisseur anonyme avait allégué la perte de 55 millions de dollars en DAI en août 2024 après interaction avec une fausse page de connexion. Inferno Drainer avait également été mentionné dans cette affaire.
Pourquoi les publicités Google restent une porte d’entrée privilégiée
Les moteurs de recherche restent un vecteur d’attaque redoutable. Une publicité sponsorisée apparaît en haut des résultats, avant même le site officiel. Beaucoup d’utilisateurs cliquent instinctivement sur le premier lien, surtout lorsqu’il porte le nom exact de la plateforme recherchée.
Les arnaqueurs misent sur cette confiance. Ils achètent des mots-clés liés à Hyperliquid, Binance, Uniswap ou d’autres noms connus. Le site de destination est cloné avec un soin extrême. Seule une vérification attentive de l’URL ou l’utilisation d’outils de sécurité peut révéler la supercherie.
Dans le cas présent, la campagne a fonctionné suffisamment longtemps pour provoquer une perte significative avant que Google ne suspende le compte. Ce délai suffit souvent aux opérateurs pour engranger des gains importants.
Les rôles bien séparés dans l’écosystème Inferno
L’enquête de Salus a clairement distingué les acteurs. D’un côté, le groupe de phishing : il achète les publicités, déploie le site contrefait et fournit l’adresse destinataire des fonds. De l’autre, le service backend : il gère le drainage, les transferts automatiques et le partage des profits.
Cette séparation des tâches complexifie le traçage et la poursuite. Les développeurs du drainer restent relativement protégés, tandis que les opérateurs de terrain peuvent changer de campagne rapidement. Le modèle économique est clairement orienté vers la scalabilité.
Répartition observée dans l’affaire Hyperliquid :
- 80 % vers une adresse principale
- 15 % vers une deuxième adresse
- 5 % vers une troisième
- Une quatrième adresse a exécuté le drain
Les autres techniques de phishing qui prospèrent
Les publicités Google ne sont pas le seul canal. En mars 2026, une campagne ciblant les développeurs a utilisé de faux comptes GitHub et des sites clonés. Les victimes étaient invitées à connecter leur wallet pour prétendument réclamer des tokens. Même si aucune victime confirmée n’avait été signalée au moment du rapport, le mode opératoire restait identique : obfuscation du code et demandes d’approbation malveillantes.
Les faux airdrops, les fausses applications décentralisées et les pages de login clonées restent des classiques. L’objectif est toujours le même : obtenir une signature qui ouvre la porte au drainage.
Comment se protéger concrètement au quotidien
La première règle reste la plus simple : ne jamais cliquer sur une publicité sponsorisée pour accéder à une plateforme crypto. Tapez directement l’URL officielle ou utilisez vos favoris. Vérifiez systématiquement le certificat SSL et l’adresse exacte du site.
Avant de signer une transaction, lisez attentivement les permissions demandées. Une approval illimitée sur un token devrait toujours alerter. Des outils existent pour révoquer les autorisations existantes. Il est recommandé de le faire régulièrement, surtout après avoir interagi avec de nouveaux contrats.
Utiliser un hardware wallet ajoute une couche de sécurité importante. Les montants importants ne devraient jamais rester sur un wallet hot exposé aux interactions quotidiennes. Séparer les fonds en plusieurs adresses limite aussi les dégâts en cas de compromission.
Enfin, rester informé des campagnes en cours aide. Les firmes de sécurité publient régulièrement des listes d’adresses à haut risque et des indicateurs de compromission. Salus a d’ailleurs transmis l’ensemble des preuves et adresses identifiées aux organisations compétentes pour un labeling et une action coordonnée.
L’impact plus large sur l’écosystème crypto
Chaque incident de ce type érode la confiance. Hyperliquid, comme d’autres plateformes, n’est pas directement responsable, mais subit un effet collatéral d’image. Les utilisateurs deviennent plus méfiants, ce qui peut freiner l’adoption de nouveaux protocoles.
Du côté des régulateurs, ces affaires alimentent les discussions sur la responsabilité des plateformes publicitaires. Google a suspendu le compte après le fait, mais la question de la prévention reste ouverte. Les moteurs de recherche sont-ils suffisamment vigilants face aux campagnes ciblant les mots-clés crypto ?
Les services de drainer-as-a-service posent également un défi juridique. Ils opèrent souvent depuis des juridictions opaques, via des canaux chiffrés, et utilisent des mécanismes de partage automatisé qui rendent le traçage plus complexe.
Les chiffres qui donnent le vertige
550 000 USDC pour un seul utilisateur. Plus de 43 millions de dollars sur UXLINK. 316 000 USDC sur CoW.fi. Presque un million d’USDT en juillet. 55 millions de DAI allégués en 2024. Et un total lié à l’infrastructure Inferno estimé à 52,74 millions de dollars. Ces montants illustrent la professionnalisation du crime crypto.
Ce qui frappe, c’est la régularité des attaques. Elles ne sont plus des événements isolés. Elles forment un continuum. Les mêmes outils, les mêmes méthodes, les mêmes réseaux, adaptés à différentes cibles.
Ce que révèle l’enquête de Salus
L’investigation n’a pas seulement retracé les fonds. Elle a permis de cartographier l’infrastructure, les comptes de recrutement et le mode de fonctionnement du service. En travaillant en infiltration, les analystes ont observé les offres commerciales, les fonctionnalités proposées et le système de partage automatique.
Cette approche sous couverture apporte une vision rare de l’intérieur. Elle montre que le phishing n’est plus le fait d’amateurs. C’est une industrie avec ses fournisseurs, ses clients, ses commissions et ses outils clés en main.
Les preuves ont été transmises aux organisations compétentes. Les adresses à haut risque ont été signalées. Reste à voir si ces actions permettront de freiner durablement le réseau.
Les leçons à tirer pour les traders
La première leçon est la prudence absolue face aux publicités. Même sur des moteurs de recherche majeurs, un lien sponsorisé peut mener à une page malveillante. La seconde concerne les signatures. Chaque approval doit être examinée. Une autorisation trop large est un risque permanent.
Troisièmement, la diversification des risques : ne pas concentrer de gros montants sur un seul wallet connecté quotidiennement. Quatrièmement, la révocation régulière des approvals inutiles. Cinquièmement, l’utilisation d’outils de monitoring qui alertent en cas de transaction suspecte.
Enfin, la culture de la vérification. Prendre trente secondes pour confirmer l’URL, le certificat et le comportement de la page peut éviter la perte de centaines de milliers d’euros.
Un phénomène qui s’étend au-delà d’Hyperliquid
Hyperliquid n’est qu’une cible parmi d’autres. Toute plateforme qui gagne en popularité devient potentiellement intéressante pour les opérateurs de phishing. Plus le volume d’utilisateurs est important, plus le retour sur investissement d’une campagne publicitaire frauduleuse peut être élevé.
Les cloneurs perfectionnent leurs techniques. Les sites sont de plus en plus fidèles. Les messages d’erreur et les interfaces sont copiés avec un soin extrême. Seule une attention constante permet de détecter les différences subtiles.
Vers une réponse collective ?
Les firmes de sécurité jouent un rôle crucial en documentant et en partageant les indicateurs. Les plateformes publicitaires peuvent renforcer leurs contrôles sur les annonces liées aux cryptomonnaies. Les protocoles peuvent sensibiliser davantage leurs utilisateurs. Les wallets peuvent intégrer des alertes plus visibles sur les approvals dangereuses.
Pourtant, tant que le modèle économique des drainers restera rentable, de nouvelles variantes continueront d’apparaître. La course entre défenseurs et attaquants se poursuit, avec des enjeux financiers toujours plus élevés.
Retour sur le déroulement précis de l’attaque
Le 13 août 2026, la victime clique sur la publicité. Elle arrive sur le site contrefait. Elle connecte son wallet. Elle signe la transaction malveillante. Les fonds partent en trois vagues. L’infrastructure Inferno prend le relais et répartit automatiquement les gains. Quelques jours plus tard, Google suspend le compte publicitaire. Le 24 août, Salus publie son analyse détaillée.
Ce calendrier montre à quelle vitesse une campagne peut réussir et à quel point la réaction des plateformes publicitaires reste réactive plutôt que préventive.
Les adresses impliquées et le partage des butins
Salus a identifié plusieurs adresses. L’une a reçu 80 % des 550 000 USDC, une autre 15 %, une troisième 5 %. Une quatrième a exécuté le drain. Ces détails techniques confirment le caractère automatisé et professionnel de l’opération.
Le système de « automated revenue sharing » mentionné dans les offres Telegram permet d’éviter les transferts manuels et de réduire les risques de traces supplémentaires. Tout est pensé pour l’efficacité et la discrétion.
Pourquoi ce type d’attaque continue de fonctionner
Plusieurs facteurs se combinent. La confiance dans les publicités Google reste élevée chez de nombreux utilisateurs. La complexité des approvals blockchain dépasse encore la compréhension de beaucoup de traders. La rapidité d’exécution des drainers laisse peu de temps de réaction. Et le partage automatisé des gains motive de nouveaux affiliés à se lancer.
Tant que ces conditions persistent, les cas comme celui d’Hyperliquid risquent de se multiplier.
Un appel à la vigilance permanente
L’affaire des 550 000 USDC volés via une fausse publicité Hyperliquid n’est pas un incident isolé. C’est le symptôme d’une industrialisation du phishing crypto. Inferno et les services similaires ont transformé ce qui était autrefois le fait de pirates isolés en un modèle économique structuré.
Pour les utilisateurs, la conclusion est claire : la moindre signature peut coûter très cher. La prudence, la vérification systématique et la limitation des approvals sont devenues des réflexes indispensables. Dans un environnement où les arnaques s’améliorent constamment, rester vigilant n’est plus optionnel. C’est la condition de survie de ses fonds.
Les prochains mois diront si les actions coordonnées et le labeling des adresses permettront de freiner ces réseaux. En attendant, chaque clic, chaque signature et chaque publicité sponsorisée méritent d’être examinés avec la plus grande attention. Car derrière un simple lien Google peut se cacher une machine à voler parfaitement huilée.
