仮想通貨窃盗犯がNgraveアラートを乗っ取り256万ドルを盗みました

256万ドルの代償を伴う偽のセキュリティ警告

ベルギーのハードウェアウォレットメーカーであるNgrave（通称NGRAVE）は10月19日、攻撃者が同社のコンパニオンアプリ「LIQUID」にサービスを提供するサードパーティの通知プロバイダーを乗っ取ったと明らかにしました。この侵害により、犯罪者は10月17日に本物そっくりのセキュリティ警告を顧客に直接送信することが可能となりました。 メッセージには「ユーザーのポートフォリオがモスクワのPixel 9端末と同期された」と表示され、警告をクリックするとカウントダウンタイマー付きの偽サイトへ誘導されました。そこには不審な活動を「承認」するか「拒否」するかという二者択一が提示されましたが、どちらを選んでも結果は同じでした。

どちらを選択しても同じ罠にはまり、ユーザーは24語の回復フレーズまたは「パーフェクトキー」の入力を求められ、攻撃者にウォレットを再現するために必要なすべての情報を渡すことになった。自動化されたスクリプトにより、侵害されたアカウントは数分以内に空にされた。 Ngraveの調査によると、4つのネットワークにまたがる70のウォレットアドレスから、約256万ドルが盗まれたことが判明しました。内訳はビットコインが177万ドル、XRPが45万4,000ドル、イーサリアムベースの資産が31万6,000ドル、ステラが1万8,000ドルでした。

攻撃者が悪用したのは通知キーであり、ハードウェアではない

同社のインシデントレポートによると、不正アクセスは詐欺的な通知が表示される6日前の10月11日に始まった可能性がある。攻撃者は1つのアクセスキーを入手し、それを利用して特定の分析情報へのアクセスを含むより広範な権限を持つ別のキーを取得した。 Ngraveは10月17日午後9時30分（UTC）に悪意のあるアラートが表示されてから1分以内に検知しました。しかし、最初のウォレットは6分後に資金をすべて奪われました。

同社は午後10時45分までに通知システムを無効化したが、以前に侵害されていたウォレットからの盗難は翌朝午前3時51分まで続いた。重要な点として、Ngraveは自社のZEROハードウェアウォレットおよび秘密鍵には一切手をつけられていないと主張している。犯人たちは、代わりに顧客を巧みに操り、自身の認証情報を明け渡させたのである。

Ngraveの最高経営責任者は「完全に、そして徹底的に失敗した」と認めています。

盗まれた資金は取引所やブロックチェーンブリッジ、新規アドレスなどを経て移動しました。Ngraveはビットコインが12のアドレスに流れたことを追跡し、XRPは54回の送金を経て移動したことを確認しました。同社はまた、デバイス情報、ウォレットの活動状況、IPアドレス、おおよその位置情報などが漏洩した可能性を認め、今後の標的型詐欺への懸念を表明しました。

分析会社Bitqueryも本件に関するレポートを発表し、盗まれた資金について「その大部分は現在、Hyperliquid上にモネロ（Monero）トークンとして保有されている」と指摘しました。 Bitqueryのレポートでは、約81％が人気のDEX取引所「Hyperliquid」に流れたと推定されている。インシデントレポートの中で、Ngraveの上級幹部がこの件について言及した。 同社のCEOは、異例なほど率直な評価を示し、次のように述べた。

「私見ですが、暗号資産セキュリティ企業の第一の責務は、まさに『セキュリティ』を提供することです。この点において、我々は完全に、そして徹底的に失敗しました。」

同氏は数カ月前に経営陣に就任した時点で、同社のセキュリティ体制が不十分であったことを認めた。Ngraveはその後、侵害された鍵を交換し、2人による承認、ドメインの制限、緊急シャットダウン機能など、より厳格な通知管理体制を策定した。

影響を受けた顧客には、新しいウォレットを作成し、サポートに連絡するよう強く求められています。調査は継続中ですが、懸念すべき事実が浮き彫りになっています。すなわち、ハードウェア自体は堅牢であったにもかかわらず、それを取り巻く「信頼されたメッセージ」こそが攻撃の武器となってしまったのです。

2026年はセキュリティ問題が相次ぎ、ハードウェアウォレットメーカーにとって厳しい年となりました。Ledger、Trezor、Tangem、Safepal、Bitbox02、Coldcardが関与した、記録されているハードウェアウォレットのセキュリティインシデントは12件近くに上ります。 報告された被害額は2件のインシデントで計1億8,000万ドルを超え、リカバリーフレーズへの直接的なリモート攻撃ではなく、ファームウェア、サードパーティベンダー、物理的セキュリティ、フィッシングにおける脆弱性が露呈しました。