Penjahat Kripto Membajak Sistem Peringatan Ngrave dan Menggasak $2,56 juta

Peringatan Keamanan Palsu dengan Kerugian $2,56 Juta

Produsen dompet perangkat keras asal Belgia, Ngrave, yang umumnya dikenal sebagai NGRAVE, mengungkapkan pada 19 Oktober bahwa penyerang membajak penyedia notifikasi pihak ketiga yang melayani aplikasi pendamping LIQUID miliknya. Pelanggaran tersebut memungkinkan para penjahat untuk mengirim peringatan keamanan yang tampak otentik langsung ke pelanggan pada 17 Oktober. Pesan tersebut mengklaim bahwa portofolio pengguna telah disinkronkan dengan perangkat Pixel 9 di Moskow. Mengklik peringatan tersebut membuka situs web Ngrave palsu yang menampilkan penghitung waktu mundur dan pilihan mengkhawatirkan untuk menyetujui atau menolak aktivitas mencurigakan tersebut.

Kedua pilihan tersebut mengarah ke jebakan yang sama. Pengguna diminta memasukkan frasa pemulihan 24 kata atau Perfect Key mereka, sehingga memberikan penyerang semua yang dibutuhkan untuk membuat ulang dompet mereka. Skrip otomatis mengosongkan akun-akun yang diretas dalam hitungan menit. Penyelidikan Ngrave melacak sekitar $2,56 juta yang dicuri dari 70 alamat dompet di empat jaringan. Bitcoin menyumbang $1,77 juta, diikuti oleh $454.000 dalam bentuk XRP, $316.000 dalam aset berbasis Ethereum, dan $18.000 dalam Stellar.

Penyerang Memanfaatkan Kunci Notifikasi, Bukan Perangkat Keras

Laporan insiden perusahaan tersebut mengungkapkan bahwa akses tidak sah kemungkinan dimulai pada 11 Oktober, enam hari sebelum notifikasi palsu tersebut muncul. Para penyerang memperoleh satu kunci akses dan memanfaatkannya untuk mendapatkan kunci lain dengan izin yang lebih luas, termasuk akses ke informasi analitik tertentu. Ngrave mendeteksi peringatan berbahaya tersebut dalam waktu satu menit setelah muncul pada pukul 21.30 UTC tanggal 17 Oktober. Meskipun demikian, dompet pertama telah dikosongkan enam menit kemudian.

Perusahaan menonaktifkan sistem notifikasinya pada pukul 10:45 malam, tetapi pencurian terus berlanjut dari dompet yang sebelumnya telah disusupi hingga pukul 3:51 pagi keesokan harinya. Yang terpenting, Ngrave menegaskan bahwa dompet perangkat keras ZERO dan kunci pribadinya tetap aman. Para penjahat justru memanipulasi pelanggan agar menyerahkan kredensial mereka sendiri.

CEO Ngrave Mengakui Perusahaan 'Benar-benar dan Sepenuhnya Gagal'

Dana yang dicuri berpindah melalui bursa, jembatan blockchain, dan alamat baru. Ngrave melacak bitcoin ke 12 alamat, sementara XRP berpindah melalui 54 transfer. Perusahaan juga mengakui potensi kebocoran informasi perangkat, aktivitas dompet, alamat IP, dan lokasi perkiraan, yang menimbulkan kekhawatiran akan penipuan bertarget selanjutnya.

Perusahaan analitik Bitquery juga menerbitkan laporan mengenai hal ini, dengan mencatat bahwa, terkait dana yang dicuri, "sebagian besar kini berada di Hyperliquid sebagai token Monero." Laporan Bitquery memperkirakan sekitar 81% dana tersebut berakhir di bursa DEX populer milik para pelaku. Dalam laporan insiden tersebut, seorang eksekutif senior Ngrave angkat bicara mengenai masalah ini.

CEO-nya memberikan penilaian yang sangat jujur, dengan menyatakan:

"Menurut pendapat saya yang sederhana, tugas utama sebuah perusahaan keamanan kripto adalah menyediakan hal itu: keamanan. Dalam hal ini, kami benar-benar dan sepenuhnya telah gagal."

Ia mengakui bahwa postur keamanan perusahaan tidak memadai saat ia mengambil alih kepemimpinan beberapa bulan sebelumnya. Sejak itu, Ngrave telah mengganti kunci yang terkompromi dan menetapkan kontrol pemberitahuan yang lebih ketat, termasuk persetujuan dua orang, pembatasan domain, dan kemampuan penonaktifan darurat.

Pelanggan yang terdampak didesak untuk membuat dompet baru dan menghubungi tim dukungan. Penyelidikan masih berlanjut, meninggalkan perbedaan yang mengkhawatirkan: perangkat kerasnya tetap kokoh, tetapi pesan-pesan tepercaya di sekitarnya justru menjadi senjata.

Tahun 2026 menjadi tahun yang berat bagi produsen dompet perangkat keras karena dipenuhi dengan masalah keamanan. Hampir selusin insiden keamanan dompet perangkat keras yang terdokumentasi melibatkan Ledger, Trezor, Tangem, Safepal, Bitbox02, dan Coldcard. Kerugian yang dilaporkan melebihi $180 juta dari dua insiden tersebut, yang mengungkap kerentanan pada firmware, vendor pihak ketiga, keamanan fisik, dan phishing, bukan serangan jarak jauh langsung terhadap frasa pemulihan.