Cryptodieven kapen Ngrave-waarschuwingen en gaan er vandoor met 2,56 miljoen dollar

Een valse beveiligingswaarschuwing met een prijskaartje van 2,56 miljoen dollar

De Belgische fabrikant van hardware-wallets Ngrave, algemeen bekend als NGRAVE, maakte op 19 oktober bekend dat aanvallers een externe meldingsprovider hadden gekaapt die de bijbehorende LIQUID-app bediende. Door dit beveiligingslek konden criminelen op 17 oktober authentiek ogende beveiligingswaarschuwingen rechtstreeks naar klanten sturen. In het bericht werd beweerd dat de portefeuille van een gebruiker was gesynchroniseerd met een Pixel 9-apparaat in Moskou. Als men op de melding klikte, werd een vervalste Ngrave-website geopend met een afteltimer en een onheilspellende keuze om de verdachte activiteit goed te keuren of te weigeren.

Beide keuzes leidden naar dezelfde valstrik. Gebruikers werden gevraagd hun herstelzin van 24 woorden of Perfect Key in te voeren, waardoor aanvallers alles in handen kregen wat nodig was om hun wallets te reconstrueren. Geautomatiseerde scripts maakten de gehackte accounts binnen enkele minuten leeg. Uit onderzoek van Ngrave bleek dat er ongeveer 2,56 miljoen dollar was gestolen van 70 wallet-adressen verspreid over vier netwerken. Bitcoin was goed voor 1,77 miljoen dollar, gevolgd door 454.000 dollar aan XRP, 316.000 dollar aan op Ethereum gebaseerde activa en 18.000 dollar aan Stellar.

Aanvallers maakten misbruik van meldingssleutels, niet van hardware

Uit het incidentrapport van het bedrijf blijkt dat de ongeoorloofde toegang mogelijk al op 11 oktober begon, zes dagen voordat de frauduleuze meldingen verschenen. Aanvallers kwamen in het bezit van één toegangssleutel en gebruikten deze om een andere te verkrijgen met ruimere rechten, waaronder toegang tot bepaalde analytische informatie. Ngrave detecteerde de kwaadaardige meldingen binnen een minuut nadat ze op 17 oktober om 21.30 uur UTC verschenen. Desondanks werd de eerste wallet zes minuten later leeggehaald.

Het bedrijf schakelde zijn meldingssysteem om 22.45 uur uit, maar de diefstallen uit eerder gecompromitteerde wallets gingen door tot 03.51 uur de volgende ochtend. Cruciaal is dat Ngrave volhoudt dat zijn ZERO-hardwarewallets en privésleutels onaangeroerd zijn gebleven. De criminelen hebben in plaats daarvan klanten gemanipuleerd om hun eigen inloggegevens prijs te geven.

CEO van Ngrave geeft toe dat het bedrijf ‘absoluut en volkomen heeft gefaald’

Het gestolen geld werd via beurzen, blockchain-bruggen en nieuwe adressen doorgesluisd. Ngrave traceerde de bitcoin naar 12 adressen, terwijl de XRP via 54 overboekingen werd verplaatst. Het bedrijf erkende ook dat er mogelijk apparaatinformatie, walletactiviteit, IP-adressen en geschatte locaties zijn blootgesteld, wat zorgen baart over mogelijke gerichte oplichting in de toekomst.

Het analysebedrijf Bitquery publiceerde eveneens een rapport over deze kwestie, waarin werd opgemerkt dat, wat betreft de gestolen gelden, „het grootste deel daarvan nu op Hyperliquid staat als een Monero-token“. Het rapport van Bitquery schat dat ongeveer 81% zijn weg heeft gevonden naar de populaire DEX-beurs Hyperliquid. In het incidentrapport sprak een senior leidinggevende van Ngrave zich uit over de kwestie.

De CEO gaf een ongewoon openhartige beoordeling en verklaarde:

„Naar mijn bescheiden mening is de eerste plicht van een cryptobeveiligingsbedrijf om precies dat te bieden: beveiliging. Hierin hebben we absoluut en volkomen gefaald.”

Hij erkende dat de beveiligingsmaatregelen van het bedrijf ontoereikend waren toen hij enkele maanden eerder de leiding op zich nam. Ngrave heeft sindsdien de gecompromitteerde sleutels vervangen en strengere meldingsprocedures ingevoerd, waaronder goedkeuring door twee personen, beperkte domeinen en mogelijkheden voor nooduitschakeling.

Getroffen klanten worden dringend verzocht nieuwe wallets aan te maken en contact op te nemen met de klantenservice. Het onderzoek loopt nog, waardoor een verontrustend contrast blijft bestaan: de hardware hield stand, maar de vertrouwde berichten eromheen werden het wapen.

Het is een zwaar jaar geweest voor fabrikanten van hardware-wallets, aangezien 2026 bol stond van de beveiligingsproblemen. Er zijn bijna een dozijn gedocumenteerde beveiligingsincidenten met hardware-wallets geweest waarbij Ledger, Trezor, Tangem, Safepal, Bitbox02 en Coldcard betrokken waren. De gemelde verliezen bedroegen meer dan 180 miljoen dollar bij twee incidenten, waarbij kwetsbaarheden aan het licht kwamen in firmware, externe leveranciers, fysieke beveiliging en phishing, in plaats van directe aanvallen op afstand op herstelzinnen.