Une fausse alerte de sécurité s'est affichée sur les portefeuilles cryptographiques, poussant les utilisateurs à se précipiter pour protéger leurs fonds. Au lieu de cela, cette alerte les a directement conduits vers des escrocs qui ont dérobé environ 2,56 millions de dollars, en exploitant un système de notification fiable sans jamais pirater le matériel lui-même.
Des pirates informatiques détournent les alertes de Ngrave et s'enfuient avec 2,56 millions de dollars
ÉCRIT PAR
PARTAGER
Points clés
- Ngrave a retracé environ 2,56 millions de dollars volés sur 70 adresses de portefeuilles réparties sur quatre réseaux blockchain.
- Ngrave a déclaré que son matériel ZERO était resté sécurisé tandis que les victimes d’hameçonnage avaient divulgué leurs identifiants de récupération de portefeuille.
- Le PDG de Ngrave a admis que l’entreprise avait « totalement et complètement failli » à son obligation fondamentale en matière de sécurité.
Une fausse alerte de sécurité qui a coûté 2,56 millions de dollars
Le fabricant belge de portefeuilles matériels Ngrave, plus connu sous le nom de NGRAVE, a révélé le 19 octobre que des pirates avaient pris le contrôle d’un fournisseur tiers de notifications au service de son application compagnon LIQUID. Cette faille a permis aux criminels d’envoyer, le 17 octobre, des alertes de sécurité d’apparence authentique directement aux clients. Le message indiquait que le portefeuille d’un utilisateur avait été synchronisé avec un appareil Pixel 9 situé à Moscou. En cliquant sur l’alerte, l’utilisateur accédait à un site web Ngrave contrefait comportant un compte à rebours et un choix inquiétant : approuver ou refuser l’activité suspecte.
Les deux options menaient au même piège. Les utilisateurs étaient invités à saisir leur phrase de récupération de 24 mots ou leur « Perfect Key », fournissant ainsi aux pirates tout ce dont ils avaient besoin pour recréer leurs portefeuilles. Des scripts automatisés ont vidé les comptes compromis en quelques minutes. L’enquête menée par Ngrave a permis de retracer environ 2,56 millions de dollars volés sur 70 adresses de portefeuilles réparties sur quatre réseaux. Le bitcoin représentait 1,77 million de dollars, suivi de 454 000 dollars en XRP, 316 000 dollars en actifs basés sur Ethereum et 18 000 dollars en Stellar.
Les attaquants ont exploité des clés de notification, et non du matériel
Le rapport d’incident de l’entreprise révèle que les accès non autorisés ont potentiellement commencé le 11 octobre, six jours avant l’apparition des notifications frauduleuses. Les attaquants ont obtenu une clé d’accès et l’ont exploitée pour en acquérir une autre dotée de permissions plus étendues, notamment l’accès à certaines informations analytiques. Ngrave a détecté les alertes malveillantes moins d’une minute après leur apparition, à 21 h 30 UTC le 17 octobre. Néanmoins, le premier portefeuille a été vidé six minutes plus tard.
L’entreprise a désactivé son système de notification à 22 h 45, mais les vols se sont poursuivis à partir des portefeuilles précédemment compromis jusqu’à 3 h 51 le lendemain matin. Il est essentiel de noter que Ngrave affirme que ses portefeuilles matériels ZERO et ses clés privées sont restés intacts. Les criminels ont plutôt manipulé les clients pour qu’ils leur communiquent leurs propres identifiants.
Le PDG de Ngrave admet que l’entreprise a «échoué de manière absolue et totale»
Les fonds volés ont transité par des plateformes d’échange, des ponts blockchain et de nouvelles adresses. Ngrave a retracé les bitcoins vers 12 adresses, tandis que les XRP ont fait l’objet de 54 transferts. L’entreprise a également reconnu une exposition potentielle des informations relatives aux appareils, à l’activité des portefeuilles, aux adresses IP et aux emplacements approximatifs, ce qui soulève des inquiétudes quant à d’éventuelles escroqueries ciblées ultérieures.
Le cabinet d’analyse Bitquery a également publié un rapport sur le sujet, soulignant qu’en ce qui concerne les fonds volés, « la majeure partie se trouve désormais sur Hyperliquid sous forme de jetons Monero ». Le rapport de Bitquery estime qu’environ 81 % des fonds ont abouti sur la célèbre plateforme d’échange décentralisée (DEX) Perps. Dans le rapport d’incident, un cadre supérieur de Ngrave s’est exprimé sur la question. Son PDG a livré une analyse d’une franchise inhabituelle, déclarant :
« À mon humble avis, le premier devoir d’une entreprise spécialisée dans la sécurité des cryptomonnaies est d’assurer précisément cela : la sécurité. À cet égard, nous avons échoué de manière absolue et totale. »
Il a reconnu que le dispositif de sécurité de l’entreprise était insuffisant lorsqu’il en a pris la direction il y a quelques mois. Depuis, Ngrave a remplacé les clés compromises et mis en place des contrôles de notification plus stricts, notamment des validations à deux personnes, des domaines restreints et des capacités d’arrêt d’urgence.
Les clients concernés sont invités à créer de nouveaux portefeuilles et à contacter le service d’assistance. L’enquête se poursuit, laissant intacte une distinction troublante : le matériel a tenu bon, mais les messages de confiance qui l’entouraient sont devenus une arme.
L’année 2026 a été difficile pour les fabricants de portefeuilles matériels, marquée par de nombreux problèmes de sécurité. Près d’une douzaine d’incidents de sécurité liés aux portefeuilles matériels ont été recensés, impliquant notamment Ledger, Trezor, Tangem, Safepal, Bitbox02 et Coldcard. Les pertes signalées ont dépassé les 180 millions de dollars pour deux incidents, mettant en évidence des vulnérabilités au niveau du micrologiciel, des fournisseurs tiers, de la sécurité physique et du phishing, plutôt que des attaques à distance directes visant les phrases de récupération.
Cet article a été traduit de l'anglais à l'aide de l'IA. La version originale en anglais fait foi ; les traductions automatiques peuvent contenir des inexactitudes, en particulier dans la terminologie juridique et réglementaire.
