क्रिप्टो चोरों ने Ngrave अलर्ट्स को हाईजैक कर 2.56 मिलियन डॉलर लेकर फरार हो गए।

$2.56 मिलियन की कीमत वाला एक नकली सुरक्षा अलर्ट

बेल्जियम की हार्डवेयर-वॉलेट निर्माता एनग्रेव, जिसे आमतौर पर एनग्रेव (NGRAVE) के नाम से जाना जाता है, ने 19 अक्टूबर को खुलासा किया कि हमलावरों ने इसके LIQUID कम्पैनियन ऐप को सेवा प्रदान करने वाले एक थर्ड-पार्टी नोटिफिकेशन प्रदाता को हाईजैक कर लिया था। इस उल्लंघन ने अपराधियों को 17 अक्टूबर को सीधे ग्राहकों को प्रामाणिक दिखने वाली सुरक्षा चेतावनियाँ भेजने की अनुमति दी। संदेश में दावा किया गया था कि एक उपयोगकर्ता के पोर्टफोलियो को मॉस्को में एक पिक्सेल 9 डिवाइस के साथ सिंक कर दिया गया था। अलर्ट पर क्लिक करने पर एक नकली एनग्रेव वेबसाइट खुली, जिसमें एक काउंटडाउन टाइमर और संदिग्ध गतिविधि को मंजूरी देने या अस्वीकार करने का एक भयावह विकल्प था।

दोनों रास्ते एक ही जाल में ले जाते थे। उपयोगकर्ताओं को अपना 24-शब्दों वाला रिकवरी वाक्यांश या परफेक्ट की दर्ज करने के लिए कहा जाता था, जिससे हमलावरों को उनके वॉलेट को फिर से बनाने के लिए आवश्यक सभी चीजें मिल जाती थीं। स्वचालित स्क्रिप्ट्स ने मिनटों के भीतर समझौता किए गए खातों को खाली कर दिया। Ngrave की जांच में चार नेटवर्क के 70 वॉलेट पतों से चोरी हुए लगभग 2.56 मिलियन डॉलर का पता चला। इसमें से 1.77 मिलियन डॉलर बिटकॉइन, 454,000 डॉलर XRP, 316,000 डॉलर Ethereum-आधारित संपत्तियों और 18,000 डॉलर Stellar में थे।

हमलावरों ने हार्डवेयर नहीं, बल्कि नोटिफिकेशन कीज़ का फायदा उठाया

कंपनी की घटना रिपोर्ट से पता चलता है कि अनधिकृत पहुँच संभावित रूप से 11 अक्टूबर को शुरू हुई, जो धोखाधड़ी वाले सूचनाओं के दिखाई देने से छह दिन पहले की बात है। हमलावरों ने एक एक्सेस की प्राप्त की और उसका उपयोग करके व्यापक अनुमति वाली एक और की हासिल की, जिसमें कुछ एनालिटिक्स जानकारी तक पहुँच भी शामिल थी। एनग्रेव ने 17 अक्टूबर को रात 9:30 बजे यूटीसी पर इन दुर्भावनापूर्ण अलर्ट्स का पता उनके दिखने के एक मिनट के भीतर ही लगा लिया था। फिर भी, छह मिनट बाद पहला वॉलेट खाली कर दिया गया।

कंपनी ने रात 10:45 बजे तक अपनी सूचना प्रणाली को अक्षम कर दिया, लेकिन पिछली बार हैक हुए वॉलेट से चोरी सुबह 3:51 बजे तक जारी रही। महत्वपूर्ण रूप से, एनग्रेव का कहना है कि उसके ZERO हार्डवेयर वॉलेट और निजी कुंजी (private keys) सुरक्षित रहे। इसके बजाय, अपराधियों ने ग्राहकों को अपने क्रेडेंशियल सौंपने के लिए मना लिया।

एनग्रेव के सीईओ ने स्वीकार किया कि कंपनी 'पूरी तरह से विफल' हुई

चोरी हुए फंड एक्सचेंज, ब्लॉकचेन ब्रिज और नए पतों के माध्यम से गए। Ngrave ने बिटकॉइन को 12 पतों तक ट्रेस किया, जबकि XRP 54 ट्रांसफर के माध्यम से गया। कंपनी ने डिवाइस की जानकारी, वॉलेट गतिविधि, आईपी पते और अनुमानित स्थानों के संभावित खुलासे को भी स्वीकार किया, जिससे बाद में लक्षित घोटालों को लेकर चिंताएं बढ़ गईं।

एनालिटिक्स फर्म बिटक्वेरी ने भी इस मामले पर एक रिपोर्ट प्रकाशित की, जिसमें यह बताया गया कि चोरी हुए फंड के मामले में, "इसका अधिकांश हिस्सा अब हाइपरलिक्विड पर मोनेरो टोकन के रूप में पड़ा है।" बिटक्वेरी की रिपोर्ट का अनुमान है कि लगभग 81% राशि लोकप्रिय अपराधियों के DEX एक्सचेंज तक पहुँच गई। घटना रिपोर्ट में, Ngrave के वरिष्ठ कार्यकारी ने इस मामले पर बात की।

इसके सीईओ ने एक असामान्य रूप से स्पष्ट मूल्यांकन पेश किया, जिसमें कहा गया:

"मेरी विनम्र राय में, एक क्रिप्टो सुरक्षा कंपनी का पहला कर्तव्य ठीक वही प्रदान करना है: सुरक्षा। इसमें, हम पूरी तरह से और बुरी तरह से विफल रहे हैं।"

उन्होंने स्वीकार किया कि जब उन्होंने कुछ महीने पहले नेतृत्व संभाला था, तब कंपनी की सुरक्षा स्थिति अपर्याप्त थी। तब से, Ngrave ने समझौता की गई कुंजियों को बदल दिया है और दो-व्यक्ति अनुमोदन, प्रतिबंधित डोमेन और आपातकालीन शटडाउन क्षमताओं सहित कड़े सूचना नियंत्रणों की रूपरेखा तैयार की है।

प्रभावित ग्राहकों से नए वॉलेट बनाने और सहायता से संपर्क करने का आग्रह किया जा रहा है। जांच जारी है, जिससे एक परेशान करने वाला अंतर बरकरार है: हार्डवेयर मजबूत रहा, लेकिन उसके आसपास के विश्वसनीय संदेश ही हथियार बन गए।

हार्डवेयर वॉलेट निर्माताओं के लिए यह एक कठिन वर्ष रहा है क्योंकि 2026 सुरक्षा मुद्दों से भरा रहा है। लेजर, ट्रेज़ोर, टैंगम, सेफपाल, बिटबॉक्स02 और कोल्डकार्ड से जुड़ी लगभग एक दर्जन प्रलेखित हार्डवेयर-वॉलेट सुरक्षा घटनाएं हुई हैं। दो घटनाओं में रिपोर्ट किए गए नुकसान 180 मिलियन डॉलर से अधिक हो गए, जिसमें फर्मवेयर, तीसरे पक्ष के विक्रेताओं, भौतिक सुरक्षा और फ़िशिंग में कमजोरियाँ उजागर हुईं, न कि रिकवरी वाक्यांशों पर सीधे दूरस्थ हमले।