하이퍼스왑(HyperSwap) 이용자가 X에서 가짜 에어드롭 링크를 클릭한 후, 지갑 요청 하나를 승인하고, 모르는 사이에 사기꾼에게 자신의 자금에 대한 제어권을 넘겨 약 1만2,300달러를 잃었습니다.
비인크립토(BeInCrypto)는 피해자와 공개 블록체인 기록을 바탕으로 이번 공격을 재구성했습니다. 해당 기록은 하이퍼리퀴드(Hyperliquid) 생태계 내부의 빠른 피싱 공격임을 보여줍니다.
사기꾼은 피해자가 하이퍼스왑(HyperSwap)에 보유하고 있던 포지션을 탈취한 후, 그 자금 전체를 출금하고 HYPE로 교환하여 2분도 채 되지 않아 이더리움(Ethereum)으로 옮겼습니다.
참고: 하이퍼스왑(HyperSwap)은 하이퍼리퀴드(Hyperliquid) 블록체인 위에서 운영되는 거래소입니다. 하이퍼스왑은 독자적인 팀이 운영하며, 하이퍼리퀴드는 이를 관리하지 않습니다. 이는 이더리움(Ethereum)의 창시자가 유니스왑(Uniswap) 같은 애플리케이션을 관리하지 않는 것과 같습니다.
함정은 가짜 X 계정에서 시작되었습니다
피해자는 하이퍼스왑을 사용했습니다. 다른 탈중앙화 거래소처럼, 자체 지갑에서 직접 거래할 수 있으며 회사가 자금을 보관하지 않습니다.
피해자는 하이퍼스왑 유동성 풀에 자금을 예치했습니다. 쉽게 말해 암호화폐를 예치하여 다른 사용자가 거래에 이용할 수 있도록 했습니다. 그 대가로 수수료를 받을 수 있었습니다.
하이퍼스왑 V3에서는 해당 포지션이 NFT #178549로 표시되었습니다. 이것은 그림이나 수집품이 아니었습니다. 일종의 디지털 영수증에 가까웠습니다. 이 NFT를 통제하는 사람이 해당 자금의 실질적인 제어권을 가졌습니다.
피해자는 비인크립토에 X에서 에어드롭 홍보 게시물을 봤다고 말했습니다. 에어드롭은 보통 암호화폐 프로젝트가 사용자를 보상하기 위해 토큰을 나누어 주는 행사입니다.
해당 게시글은 하이퍼스왑에서 작성한 것처럼 보였지만 사실이 아니었습니다. 실제 하이퍼스왑 계정 하이퍼스왑X(HyperSwapX)와 유사한 핸들을 가진 사칭 계정에서 올라온 글이었습니다. 이 계정은 프로젝트 공식 웹사이트에 링크되어 있습니다.
피해자는 해당 링크를 따라가 지갑을 연결했습니다. 자신이 에어드롭 자격을 확인한다고 믿었지만, 실제로는 사기꾼에게 자신의 하이퍼스왑 포지션을 이동시킬 수 있도록 승인하는 트랜잭션을 허용했습니다.
바로 그 승인이 결정적 순간이었습니다.
한 번의 승인이 사기꾼에게 통제권을 넘겼습니다
암호화폐 지갑은 종종 사용자가 트랜잭션을 승인하도록 요청합니다. 일부 승인은 무해하지만, 어떤 경우 다른 주소에 귀중한 자산을 이동할 권한을 줍니다.
대부분 사용자에게 경고 메시지는 일상적인 것처럼 보일 수 있습니다. 가짜 사이트는 위험한 승인을 토큰 수령을 위한 정상적인 절차처럼 꾸밀 수 있습니다.
여기에서 바로 그런 일이 발생한 것으로 보입니다.
2026년 6월 29일 20시 21분 51초(UTC), 사기꾼은 앞서 받은 승인을 이용해 피해자의 지갑에서 NFT #178549를 이동시켰습니다. 그 순간 피해자가 별도로 서명하지 않았습니다. 사기꾼이 이미 권한을 확보한 상태였습니다.
사기꾼의 주소는 0x880C95246D7525b84902E6c040818a7C72d3Aa77이었습니다. 하이퍼EVM 익스플로러 기록에는 해당 주소가 Fake_Phishing3746335로 표시되어 있습니다. 해시딧(HashDit)이 “Phish / Hack” 태그로 신고했습니다.
NFT는 또 다른 사기꾼이 통제하는 지갑으로 옮겨졌습니다. 이 이동으로 공격자가 유동성 포지션을 완전히 통제하게 되었습니다.
25초 후, 사기꾼은 NFT에 연결된 자금을 출금했습니다. 해당 포지션에는 약 3,935 USDC와 116.6 WHYPE가 포함되어 있었습니다. 합산 시 당시 시세로 약 1만2,300달러에 해당했습니다.
자금은 매우 빠르게 이동했습니다
사기꾼은 자금을 출금한 후, 하이퍼EVM에서 자금을 이동할 준비를 했습니다.
먼저 지갑에서 정식 크로스체인 브릿지 및 교환 서비스인 LI.FI에 권한을 부여했습니다. 브릿지는 사용자가 암호화폐를 한 블록체인에서 다른 블록체인으로 옮기는 역할을 합니다.
LI.FI가 도난에 관여했다는 근거는 없습니다. 사기꾼은 자금 탈취 후 해당 서비스를 이용했습니다.
이후 사기꾼은 도난당한 USDC와 WHYPE를 약 175.9 HYPE로 전환했습니다. 몇 초 뒤, HYPE는 하이퍼EVM에서 이더리움으로 브릿지되었습니다.
목적지는 0xFa47eef42fB2C63DCEA0cAC2295a58036052932D 주소였습니다. 이더리움 상에서 해당 지갑은 자금을 받은 직후 7.035 ETH를 단일 트랜잭션으로 다른 곳에 이동시켰습니다.
이 지갑은 만들어진 지 얼마 지나지 않은 상태였으며 단 한 번 사용된 후 거의 비워진 채로 남겨졌습니다. 이는 도난 자금이 추적을 피하기 위해 임시 지갑을 거쳐 이동하는 세탁 사슬에서 자주 나타나는 패턴입니다.
NFT가 이동된 시점부터 브릿지 거래까지, 실질적인 도난 행위는 약 84초 만에 이루어졌습니다.
더 넓은 피싱 작업의 일부였습니다
사기꾼의 지갑은 더욱 광범위한 작업의 일부분으로 보입니다.
비인크립토가 확인한 익스플로러 기록에 따르면, 해당 주소는 약 33일 동안 활동했습니다. 또한 약 25개에 이르는 다른 주소와 연결되어 있었습니다. 이는 공격자가 한 명 이상의 사용자를 표적으로 삼았을 가능성이 있음을 암시합니다.
피해자들에게 이 문제는 실질적인 문제입니다. 블록체인 기록으로 사건이 어떻게 발생했는지는 알 수 있습니다. 하지만 실시간으로 이를 막는 경우는 드뭅니다.
사용자가 잘못된 승인을 하면, 사기범은 매우 빠르게 행동할 수 있습니다. 자금이 체인 간 이동되면 회수가 더욱 어려워집니다.
피해자는 이후 의심스러운 링크를 신고하고 삭제를 요청하려고 했습니다. 그는 무시당했다고 느꼈으며 하이퍼스왑(HyperSwap) 팀이 아무런 조치를 취하지 않았다고 의심하기 시작했습니다.
비인크립토(BeInCrypto)가 검토한 온체인 증거는 사칭 계정에서 피싱 공격이 발생했음을 나타냅니다. 위조된 X 계정은 하이퍼스왑(HyperSwap) 공식 계정과는 별개였습니다. 공식 하이퍼스왑 계정 및 공식 계약에서는 절도 행위가 확인되지 않았습니다.
하지만 피해자의 경험은 생태계의 심각한 약점을 드러냅니다. 사용자는 가짜 SNS 계정에 공격당하고, 혼란스러운 지갑 승인 과정에서 자금을 빼앗기며, 자금이 사라진 뒤에는 명확한 해결책이 거의 남지 않습니다.
비인크립토 기자와의 대화에서 피해자는 여러 가지 방법으로 하이퍼리퀴드(Hyperliquid) 팀에 사기 관련 경고를 전달하려 했으나 아무런 답변을 받지 못했다고 언급했습니다.
피해자에 따르면, 하이퍼스왑(HyperSwap)과의 유일한 활성 소통 채널은 디스코드(Discord)였습니다. 작성 시점에서 해당 링크는 유효하지 않습니다. 그래서 그는 프로젝트가 작동하는 생태계 팀에 문제를 전달하려 했으나, 이 시도도 실패로 끝났습니다.
전반적으로 사기범의 수법은 단순했습니다. 가짜 계정이 가짜 에어드롭을 홍보했습니다. 위조 사이트가 지갑 승인을 유도했습니다. 피싱 경고가 표시된 지갑이 피해자의 하이퍼스왑(HyperSwap) 포지션을 빼앗고, 자금을 이더리움으로 옮겼습니다.
피해 금액은 약 12,300달러였습니다. 절도는 2분도 안 되어 완료되었습니다.
피해자는 하이퍼스왑(HyperSwap) 직원이 절도에 관여했거나 이를 의도적으로 숨기고 있을 수 있다고 제기했습니다. 그러나 비인크립토(BeInCrypto)는 이를 뒷받침할 정확한 정보를 찾지 못했습니다.
