Hakerzy przejęli system powiadomień Ngrave i ukradli 2,56 mln dolarów

Fałszywy alert bezpieczeństwa, który kosztował 2,56 mln dolarów

Belgijski producent portfeli sprzętowych Ngrave, powszechnie znany jako NGRAVE, ujawnił 19 października, że atakujący przejęli kontrolę nad zewnętrznym dostawcą powiadomień obsługującym aplikację towarzyszącą LIQUID. Naruszenie to umożliwiło przestępcom wysłanie 17 października autentycznie wyglądających ostrzeżeń dotyczących bezpieczeństwa bezpośrednio do klientów. W wiadomości podano, że portfel użytkownika został zsynchronizowany z urządzeniem Pixel 9 w Moskwie. Kliknięcie alertu otwierało sfałszowaną stronę internetową Ngrave z licznikiem odliczającym czas oraz niepokojącą opcją zatwierdzenia lub odrzucenia podejrzanej aktywności.

Obie opcje prowadziły do tej samej pułapki. Użytkownicy byli proszeni o wprowadzenie 24-wyrazowej frazy odzyskiwania lub klucza Perfect Key, przekazując w ten sposób atakującym wszystko, co było potrzebne do odtworzenia ich portfeli. Zautomatyzowane skrypty opróżniły przejęte konta w ciągu kilku minut. Dochodzenie przeprowadzone przez Ngrave pozwoliło ustalić, że z 70 adresów portfeli w czterech sieciach skradziono około 2,56 mln dolarów. 1,77 mln dolarów stanowiły bitcoiny, a kolejne kwoty to 454 000 dolarów w XRP, 316 000 dolarów w aktywach opartych na Ethereum oraz 18 000 dolarów w Stellar.

Atakujący wykorzystali klucze powiadomień, a nie sprzęt

Raport firmy dotyczący incydentu ujawnia, że nieautoryzowany dostęp mógł rozpocząć się 11 października, sześć dni przed pojawieniem się fałszywych powiadomień. Atakujący zdobyli jeden klucz dostępu i wykorzystali go do uzyskania kolejnego o szerszych uprawnieniach, w tym dostępu do niektórych informacji analitycznych. Firma Ngrave wykryła złośliwe powiadomienia w ciągu minuty od ich pojawienia się o godz. 21:30 czasu UTC 17 października. Niemniej jednak pierwszy portfel został opróżniony sześć minut później.

Firma wyłączyła swój system powiadomień o godz. 22:45, ale kradzieże z wcześniej przejętych portfeli trwały aż do godz. 3:51 następnego dnia rano. Co najważniejsze, firma Ngrave zapewnia, że jej portfele sprzętowe ZERO oraz klucze prywatne pozostały nienaruszone. Przestępcy zamiast tego zmanipulowali klientów, aby ci sami ujawnili swoje dane uwierzytelniające.

Prezes Ngrave przyznaje, że firma „całkowicie i bezwarunkowo zawiodła”

Skradzione środki przepływały przez giełdy, mosty blockchainowe i nowe adresy. Firma Ngrave prześledziła przepływ bitcoinów do 12 adresów, podczas gdy XRP przeszło przez 54 transfery. Firma potwierdziła również potencjalne ujawnienie informacji o urządzeniach, aktywności portfeli, adresach IP i przybliżonych lokalizacjach, co budzi obawy dotyczące kolejnych ukierunkowanych oszustw.

Firma analityczna Bitquery opublikowała również raport w tej sprawie, zauważając, że jeśli chodzi o skradzione środki, „większość z nich znajduje się obecnie na platformie Hyperliquid w postaci tokenów Monero”. Raport Bitquery szacuje, że około 81% środków trafiło na popularną giełdę DEX. W raporcie dotyczącym incydentu wypowiedział się na ten temat członek kierownictwa wyższego szczebla firmy Ngrave.

Dyrektor generalny przedstawił niezwykle szczerą ocenę sytuacji, stwierdzając:

„Moim skromnym zdaniem pierwszym obowiązkiem firmy zajmującej się bezpieczeństwem kryptowalut jest zapewnienie właśnie tego: bezpieczeństwa. W tym zakresie ponieśliśmy absolutną i całkowitą porażkę”.

Przyznał, że stan zabezpieczeń firmy był niewystarczający, gdy kilka miesięcy wcześniej objął stanowisko kierownicze. Od tego czasu firma Ngrave wymieniła naruszone klucze i wprowadziła bardziej rygorystyczne procedury powiadamiania, w tym zatwierdzanie przez dwie osoby, ograniczenia dotyczące domen oraz funkcje awaryjnego wyłączania.

Zachęca się klientów, których dotyczy ta sytuacja, do utworzenia nowych portfeli i skontaktowania się z działem wsparcia. Dochodzenie trwa, a niepokojąca sprzeczność pozostaje niezmienna: sprzęt wytrzymał, ale zaufane komunikaty, które go otaczały, stały się bronią.

To był trudny rok dla producentów portfeli sprzętowych, ponieważ rok 2026 obfitował w problemy związane z bezpieczeństwem. Odnotowano prawie tuzin udokumentowanych incydentów związanych z bezpieczeństwem portfeli sprzętowych, dotyczących marek takich jak Ledger, Trezor, Tangem, Safepal, Bitbox02 i Coldcard. Zgłoszone straty przekroczyły 180 milionów dolarów w dwóch incydentach, ujawniając luki w oprogramowaniu sprzętowym, u zewnętrznych dostawców, w zabezpieczeniach fizycznych oraz w związku z phishingiem, a nie bezpośrednie zdalne ataki na frazy odzyskiwania.