Криптозлодії перехопили сповіщення Ngrave і втекли з 2,56 млн доларів

Фальшиве попередження про безпеку, яке обійшлося в 2,56 мільйона доларів

Бельгійський виробник апаратних гаманців Ngrave, широко відомий як NGRAVE, 19 жовтня повідомив, що зловмисники захопили контроль над стороннім постачальником сповіщень, який обслуговував супутній додаток LIQUID. Цей злом дозволив злочинцям 17 жовтня надсилати клієнтам попередження про безпеку, що виглядали як справжні. У повідомленні стверджувалося, що портфель користувача було синхронізовано з пристроєм Pixel 9 у Москві. Натискання на сповіщення відкривало підроблений веб-сайт Ngrave з таймером зворотного відліку та загрозливим вибором: схвалити чи відхилити підозрілу активність.

Обидва варіанти призводили до однієї й тієї ж пастки. Користувачам пропонували ввести свою 24-слівну фразу відновлення або Perfect Key, надаючи зловмисникам усе необхідне для відтворення їхніх гаманців. Автоматизовані скрипти спустошили зламані рахунки за лічені хвилини. Розслідування Ngrave дозволило відстежити приблизно 2,56 млн доларів, викрадених з 70 адрес гаманців у чотирьох мережах. На біткойн припадало 1,77 млн доларів, за ним йшли 454 000 доларів у XRP, 316 000 доларів у активах на базі Ethereum та 18 000 доларів у Stellar.

Зловмисники скористалися ключами для сповіщень, а не апаратним забезпеченням

Звіт компанії про інцидент показує, що несанкціонований доступ, ймовірно, почався 11 жовтня, за шість днів до появи шахрайських сповіщень. Зловмисники отримали один ключ доступу та використали його для отримання іншого з ширшими правами, зокрема доступу до певної аналітичної інформації. Ngrave виявила зловмисні сповіщення вже через хвилину після їхньої появи о 21:30 за UTC 17 жовтня. Проте перший гаманець було спустошено вже через шість хвилин.

Компанія вимкнула свою систему сповіщень до 22:45, але крадіжки з раніше скомпрометованих гаманців тривали аж до 3:51 наступного ранку. Важливо, що, за запевненням Ngrave, її апаратні гаманці ZERO та приватні ключі залишилися недоторканими. Натомість злочинці маніпулювали клієнтами, змушуючи їх розкривати власні облікові дані.

Генеральний директор Ngrave визнає, що компанія «абсолютно й цілковито зазнала поразки»

Викрадені кошти проходять через біржі, блокчейн-містки та нові адреси. Ngrave відстежила біткойни на 12 адресах, тоді як XRP пройшов через 54 транзакції. Компанія також визнала можливий витік інформації про пристрої, активність гаманців, IP-адреси та приблизні місцезнаходження, що викликає занепокоєння щодо подальших цілеспрямованих шахрайських дій.

Аналітична компанія Bitquery також опублікувала звіт з цього приводу, зазначивши, що, що стосується вкрадених коштів, «більша їх частина зараз знаходиться на біржі Hyperliquid у вигляді токенів Monero». У звіті Bitquery оцінюється, що близько 81% коштів потрапило на популярну децентралізовану біржу DEX. У звіті про інцидент старший керівник Ngrave висловився з цього приводу.

Генеральний директор компанії дав надзвичайно відверту оцінку, заявивши:

«На мою скромну думку, головний обов’язок компанії, що займається безпекою криптовалют, полягає саме в цьому: у забезпеченні безпеки. У цьому ми зазнали абсолютної та повної поразки».

Він визнав, що рівень безпеки компанії був недостатнім, коли він обійняв керівну посаду кілька місяців тому. З того часу Ngrave замінила скомпрометовані ключі та запровадила більш суворі заходи контролю повідомлень, зокрема затвердження двома особами, обмеження доменів та можливості аварійного вимкнення.

Постраждалим клієнтам настійно рекомендується створити нові гаманці та звернутися до служби підтримки. Розслідування триває, залишаючи незмінним тривожний факт: апаратне забезпечення витримало випробування, але надійні повідомлення, що його оточували, стали зброєю.

Це був важкий рік для виробників апаратних гаманців, оскільки 2026 рік був сповнений проблем із безпекою. Було задокументовано майже десяток інцидентів із безпекою апаратних гаманців, у яких були задіяні Ledger, Trezor, Tangem, Safepal, Bitbox02 та Coldcard. Зареєстровані збитки перевищили 180 мільйонів доларів у двох інцидентах, що викрило вразливості у прошивці, сторонніх постачальниках, фізичній безпеці та фішингу, а не прямі віддалені атаки на фрази відновлення.