HyperliquidのHYPEを狙ったエアドロップ詐欺、HyperSwapの流動性ポジションから84秒で1万2,300ドルを奪取

暗号資産ニュース

HyperSwapに流動性を提供していたユーザーが、ウォレットの承認(approve)に一度署名しただけで、わずか84秒のうちに約1万2,300ドル相当を失った。この承認は、Hyperliquidブロックチェーン上の分散型取引所ポジションの支配権を攻撃者に丸ごと引き渡すものだった。公開されているオンチェーン記録から再構成した今回の事案は、悪意ある承認がいったん有効になると、いかに速くポジションが空にされるかを浮き彫りにしている。被害者はHyperSwapの流動性プールに暗号資産を預け、その見返りに取引手数料を得ていた。このポジションはNFTとしてトークン化されており、いわば「資金の所有権を示すデジタル領収書」に相当する。トークンを動かせる者が資金を動かせる、というわけだ。オンチェーンデータによれば、資金は2分足らずで引き出され、別のトークンへ変換され、他チェーンへとブリッジされていた。

罠の入口は、存在しないトークン配布だった。被害者はX(旧Twitter)上でエアドロップを宣伝する投稿を目にし、無料配布の対象かどうかを確認するつもりでリンクをたどった。だがそのアカウントは偽物だった。ハンドル名は、公式サイトからもリンクされている本物のプロジェクト名「HyperSwapX」に酷似しており、ぱっと見ただけでは見分けがつかない。偽サイトにウォレットを接続すると、一見ごく普通の受け取り(クレーム)手続きのような画面が表示された。しかし実際には、被害者は自分のHyperSwapポジションを第三者アドレスに動かす権限を与えるトランザクションを承認していた。すべてを決定づけたのは、この一度の判断だった。

ここで悪用されたのがトークン承認という仕組みだ。これは、指定した資産をユーザーに代わって別のアドレスが移転できるようにする、標準的なウォレット操作である。無害な承認もあれば、価値ある保有資産をそっくり明け渡してしまう承認もある。今回の承認は、被害者のHyperSwap V3流動性ポジションを表すトークン「NFT #178549」を対象にしていた。多くのユーザーにとって承認の確認画面はごくありふれたものに映り、偽サイトは危険な承認をトークン受け取りの通常手順のように装うことができる。これこそが現代の承認フィッシング(approval phishing)の設計思想だ。窃取は被害者自身によって事前に承認されているため、実際に資金が抜かれる際には追加の署名を一切必要としない。

実行はその後にやってきた。オンチェーン記録は、決定的な移転が6月29日20時21分51秒(UTC)に起きたことを示している。攻撃者はこの時、先に得ていた承認を使ってNFT #178549を被害者のウォレットから引き出した。被害者はこの瞬間、何一つ署名していない。権限はすでに与えられていたからだ。受取アドレス0x880C95246D7525b84902E6c040818a7C72d3Aa77は、HyperEVMのエクスプローラー上で「Fake_Phishing3746335」としてラベル付けされ、「Phish / Hack」の警告が付されている。このラベルは、当該アドレスがすでにブロックチェーンのセキュリティ監視組織に知られていたことを裏付けており、窃取に使われたインフラが単一の標的向けに構築されたものではなく、複数の被害者にまたがって使い回されていたことを示している。

資金洗浄はほぼ即座に続いた。NFTを奪った攻撃者は、流動性ポジションの裏付けとなっていた暗号資産を引き出し、その収益をHyperliquidのネイティブアルトコインであるHYPEへと変換し、その価値をEthereumへブリッジした――これらすべてが2分足らずで完了している。この速さこそが問題だ。多くのユーザーが不正な移転に気づく頃には、資産はすでにブリッジを越え、形を変えてしまっており、回収を著しく困難にする。オンチェーンデータによれば、ポジションの移転からクロスチェーン決済までの一連の流れは、本件の見出しにある「84秒」という短い時間枠にすべて収まっていた。この一連の過程で、被害者のさらなる関与は一切必要とされなかった。

今回の一件は、責任の所在も明確にしている。HyperSwapはHyperliquidブロックチェーン上で稼働する分散型取引所だが、運営しているのは独自のチームであり、Hyperliquid自身が管理しているわけではない。これは、Ethereumの開発者たちが自チェーン上に構築されたアプリケーションを運営していないのと同じ構図だ。他のDEXと同様、HyperSwapはユーザーが自己管理型(セルフカストディ)ウォレットから直接取引できる仕組みで、資金を預かる企業は存在しない。このモデルは仲介者を排除する一方で、安全網も取り除いてしまう。偽サイト上で署名された承認は、書かれたとおりに正確に実行される。ウォレットの承認を定期的に確認・取り消し(revoke)し、アカウントのハンドル名を公式リンクと照合すること――これらが依然として中核的な防御策である。

当編集部の見立てでは、これらの要素は一つの主題に収束する。すなわち、承認フィッシングは今や自己管理リスクの最も鋭い刃であり、注意が別の場所に向いている時にこそ最も深く食い込む、という点だ。COINOTAGの集計市場データは、市場心理が100点満点中24の「極度の恐怖(Extreme Fear)」にあり、ビットコインドミナンスが69.3%、暗号資産の時価総額全体が約1兆8,400億ドル付近にあることを示している。こうした局面では流動性が主要銘柄に集中し、攻撃者は小規模なエコシステムトークンを保有する注意散漫なユーザーを狙う。今回の一次証拠はすべてオンチェーンに存在する。フラグ付けされたフィッシングアドレス、タイムスタンプの残るNFT移転、そしてEthereumへの2分間のブリッジだ。プロトコルが破られたわけではない。たった一度の承認がすべてを成し遂げた――そしてそれこそが、この手口が繰り返し使える理由なのである。