Durante una investigación el 16 de noviembre de 2025, los investigadores de seguridad identificaron una actividad sospechosa en los registros de tráfico de CypherGoat que se originaba desde el dominio cyhpergoat.com. Este caso se clasificó como un ataque clásico de typosquatting, donde el actor de la amenaza intercambió las letras "ph" por "hp" en un intento de engañar a los usuarios.

Un análisis más detallado reveló que el atacante había creado un clon visual exacto, píxel por píxel, del servicio legítimo de CypherGoat. El dominio había sido registrado apenas 24 horas antes de su detección, lo que indicaba una operación de phishing premeditada aimed at robar los fondos de los usuarios.

Sin embargo, una investigación adicional sobre la infraestructura de la amenaza descubrió un defecto crítico en la configuración del atacante. El sitio clonado carecía por completo de un backend y no tenía la capacidad técnica para ejecutar intercambios de criptomonedas. En realidad, el sitio malicioso simplemente reenviaba todo el tráfico entrante directamente a los servidores legítimos de CypherGoat. En consecuencia, a pesar de la intención maliciosa, los fondos y datos de los usuarios nunca corrieron riesgo.

Para mitigar la amenaza, el equipo de respuesta al incidente se comunicó rápidamente con Cloudflare, que proporcionaba servicios de DNS para el dominio malicioso, así como con Nicenic, el registrador del dominio. Ambas partes recibieron pruebas documentadas de la suplantación de identidad.

En paralelo, los ingenieros de CypherGoat implementaron una elegante solución técnica para neutralizar instantáneamente el ataque en su propio entorno. Modificaron su backend para interceptar las solicitudes que se originaban específicamente desde el dominio falso. Como resultado, todo el tráfico enrutado a través de cyhpergoat.com se bloqueó de inmediato, y los atacantes recibieron un único mensaje: Acceso denegado. Buen intento, cabra falsa.