Những tên trộm tiền điện tử đã chiếm quyền kiểm soát hệ thống cảnh báo của Ngrave và cuỗm đi 2,56 triệu USD

Một cảnh báo bảo mật giả mạo với giá trị 2,56 triệu USD

Nhà sản xuất ví phần cứng của Bỉ Ngrave, thường được gọi là NGRAVE, đã tiết lộ vào ngày 19 tháng 10 rằng những kẻ tấn công đã chiếm quyền điều khiển một nhà cung cấp thông báo bên thứ ba phục vụ ứng dụng LIQUID của công ty. Vụ vi phạm này đã cho phép bọn tội phạm gửi các cảnh báo bảo mật trông có vẻ xác thực trực tiếp đến khách hàng vào ngày 17 tháng 10. Thông báo này tuyên bố rằng danh mục đầu tư của người dùng đã được đồng bộ hóa với một thiết bị Pixel 9 tại Moscow. Khi nhấp vào cảnh báo, người dùng sẽ được chuyển hướng đến một trang web giả mạo của Ngrave, trên đó có đồng hồ đếm ngược và một lựa chọn đáng ngờ để chấp thuận hoặc từ chối hoạt động đáng ngờ này.

Cả hai lựa chọn đều dẫn đến cùng một cái bẫy. Người dùng được yêu cầu nhập cụm từ khôi phục 24 từ hoặc Perfect Key, qua đó cung cấp cho kẻ tấn công mọi thông tin cần thiết để tái tạo ví của họ. Các skript tự động đã rút sạch số tiền trong các tài khoản bị xâm phạm chỉ trong vài phút. Cuộc điều tra của Ngrave đã xác định được khoảng 2,56 triệu USD bị đánh cắp từ 70 địa chỉ ví trên bốn mạng lưới. Bitcoin chiếm 1,77 triệu USD, tiếp theo là 454.000 USD XRP, 316.000 USD tài sản dựa trên Ethereum và 18.000 USD Stellar.

Kẻ tấn công đã khai thác các khóa thông báo, chứ không phải phần cứng

Báo cáo sự cố của công ty tiết lộ rằng việc truy cập trái phép có thể đã bắt đầu từ ngày 11 tháng 10, sáu ngày trước khi các thông báo lừa đảo xuất hiện. Những kẻ tấn công đã lấy được một khóa truy cập và tận dụng nó để lấy được một khóa khác với quyền hạn rộng hơn, bao gồm quyền truy cập vào một số thông tin phân tích nhất định. Ngrave đã phát hiện các cảnh báo độc hại chỉ trong vòng một phút sau khi chúng xuất hiện vào lúc 9:30 tối theo giờ UTC ngày 17 tháng 10. Tuy nhiên, ví đầu tiên đã bị rút cạn chỉ sáu phút sau đó.

Công ty đã vô hiệu hóa hệ thống thông báo vào lúc 10:45 tối, nhưng các vụ trộm vẫn tiếp diễn từ các ví đã bị xâm nhập trước đó cho đến 3:51 sáng ngày hôm sau. Điều quan trọng là Ngrave khẳng định các ví phần cứng ZERO và khóa riêng của họ vẫn nguyên vẹn. Thay vào đó, bọn tội phạm đã lừa khách hàng tiết lộ thông tin đăng nhập của chính họ.

CEO của Ngrave thừa nhận công ty đã 'thất bại hoàn toàn và triệt để'

Số tiền bị đánh cắp đã được chuyển qua các sàn giao dịch, cầu nối blockchain và các địa chỉ mới. Ngrave đã theo dõi được bitcoin chuyển đến 12 địa chỉ, trong khi XRP đã trải qua 54 lần chuyển khoản. Công ty cũng thừa nhận khả năng thông tin thiết bị, hoạt động ví, địa chỉ IP và vị trí gần đúng có thể bị lộ, gây lo ngại về các vụ lừa đảo nhắm mục tiêu sau này.

Công ty phân tích Bitquery cũng đã công bố một báo cáo về vấn đề này, lưu ý rằng, về số tiền bị đánh cắp, “phần lớn hiện đang nằm trên Hyperliquid dưới dạng token Monero.” Báo cáo của Bitquery ước tính khoảng 81% số tiền này đã được chuyển đến sàn giao dịch phi tập trung (DEX) nổi tiếng Perps. Trong báo cáo sự cố, một giám đốc cấp cao của Ngrave đã lên tiếng về vấn đề này.

Giám đốc điều hành (CEO) của công ty đã đưa ra một đánh giá thẳng thắn bất thường, khẳng định:

"Theo quan điểm khiêm tốn của tôi, nhiệm vụ hàng đầu của một công ty bảo mật tiền điện tử là cung cấp chính xác điều đó: bảo mật. Về mặt này, chúng tôi đã thất bại hoàn toàn và triệt để."

Ông thừa nhận rằng tình trạng an ninh của công ty đã không đủ tốt khi ông đảm nhận vị trí lãnh đạo vài tháng trước. Kể từ đó, Ngrave đã thay thế các khóa bị xâm phạm và đề ra các biện pháp kiểm soát thông báo chặt chẽ hơn, bao gồm quy trình phê duyệt hai người, hạn chế tên miền và khả năng tắt hệ thống khẩn cấp.

Các khách hàng bị ảnh hưởng được khuyến cáo tạo ví mới và liên hệ với bộ phận hỗ trợ. Cuộc điều tra vẫn đang tiếp diễn, để lại một điểm đáng lo ngại: phần cứng vẫn vững vàng, nhưng chính những thông điệp đáng tin cậy xung quanh nó lại trở thành vũ khí.

Năm 2026 thực sự là một năm khó khăn đối với các nhà sản xuất ví phần cứng khi liên tiếp xảy ra các vấn đề bảo mật. Gần một chục sự cố bảo mật liên quan đến ví phần cứng đã được ghi nhận, bao gồm các thương hiệu như Ledger, Trezor, Tangem, Safepal, Bitbox02 và Coldcard. Tổng thiệt hại được báo cáo vượt quá 180 triệu USD trong hai vụ việc, phơi bày các lỗ hổng trong phần mềm cơ sở, nhà cung cấp bên thứ ba, bảo mật vật lý và lừa đảo qua email, thay vì các cuộc tấn công từ xa trực tiếp vào cụm từ khôi phục.