Der belgische Hardware-Wallet-Hersteller Ngrave teilt mit, dass Angreifer nach der Übernahme eines Drittanbieter-Systems, das zur Versendung von Sicherheitswarnungen über die mobile Anwendung des Unternehmens genutzt wird,approximately 2,56 Millionen US-Dollar von seinen Kunden gestohlen haben. Das Unternehmen gab die Sicherheitsverletzung am 19. Oktober in einem offiziellen Zwischenfallbericht bekannt.

Laut der Mitteilung erlangten die Angreifer die Kontrolle über einen Benachrichtigungsdienst, der von Ngraves LIQUID-Companion-App genutzt wird. Am 17. Oktober nutzten sie diesen Zugriff, um gefälschte Sicherheitswarnungen direkt auf die Geräte der Nutzer zu übermitteln – über denselben Kanal, den die App für ihre legitimen Warnungen verwendet.

Die Nachricht behauptete, das Portfolio eines Nutzers sei mit einem Pixel 9-Gerät in Moskau synchronisiert worden. Ein Antippen der Warnung öffnete eine gefälschte Ngrave-Website mit einem Countdown-Timer und zwei Schaltflächen: einer zum Genehmigen und einer zum Ablehnen der Aktivität. Beide Schaltflächen führten in dieselbe Falle. Nutzer, die fortfuhren, wurden aufgefordert, ihre 24-Wörter-Wiederherstellungsphrase oder ihren Perfect Key einzugeben – beides gab den Angreifern vollständigen Zugriff auf ihre Wallets. Eine Wiederherstellungsphrase dient dazu, eine Wallet auf einem neuen Gerät wiederherzustellen und sollte niemals auf einer eingegeben werden – eine Regel, die die gefälschte Seite darauf auslegte, von den Nutzern zu brechen. Automatisierte Skripte leerten dann innerhalb weniger Minuten die betroffenen Konten.

Ngrave verfolgte die Verluste zu 70 Wallet-Adressen über vier Blockchain-Netzwerke hinweg zurück. Bitcoin machte mit 1,77 Millionen US-Dollar den größten Teil der gestohlenen Mittel aus. Die Diebe erbeuteten außerdem 454.000 US-Dollar in XRP, 316.000 US-Dollar in Ethereum-basierten Assets und 18.000 US-Dollar in Stellar.

So verlief der Angriff

Laut Ngraves Zwischenfallbericht könnte der unbefugte Zugriff am 11. Oktober begonnen haben, sechs Tage bevor die gefälschten Warnungen versendet wurden. Ermittler gehen davon aus, dass die Angreifer einen Zugriffsschlüssel erlangten und diesen nutzten, um einen zweiten Schlüssel mit weiterreichenden Berechtigungen zu erhalten, darunter der Zugriff auf einige Analysedaten.

Das Unternehmen gab an, die betrügerischen Warnungen innerhalb einer Minute nach ihrem Auftauchen um 21:30 Uhr UTC am 17. Oktober erkannt zu haben. Dennoch wurde die erste Wallet sechs Minuten später geleert. Ngrave schaltete sein Benachrichtigungssystem bis 22:45 Uhr ab. Diebstähle aus bereits kompromittierten Wallets setzten bis 3:51 Uhr am nächsten Morgen fort.

Das Unternehmen betont, dass seine ZERO-Hardware-Wallets und die darauf gespeicherten privaten Schlüssel niemals kompromittiert wurden. Statt die Geräte selbst zu überwinden, brachten die Angreifer die Kunden dazu, ihre eigenen Wiederherstellungsdaten freiwillig preiszugeben.

Die gestohlenen Mittel flossen über Börsen, Blockchain-Bridges und neu erstellte Adressen. Ngrave verfolgte die Bitcoin zu 12 Adressen zurück, während das XRP über 54 Transfers bewegt wurde. Die Blockchain-Analysefirma Bitquery erklärte in ihrem eigenen Bericht, dass „der Großteil davon nun als Monero-Token auf Hyperliquid liegt“, und schätzte, dass rund 81 % der Mittel auf der dezentralen Perpetuals-Börse landeten.

CEO gibt Versagen zu

Ngraves Geschäftsführer äußerte sich im Zwischenfallbericht ungewöhnlich direkt. „Nach meiner bescheidenen Meinung ist erste Pflicht eines Krypto-Sicherheitsunternehmens, genau das zu bieten: Sicherheit. Darin haben wir absolut und vollständig versagt“, sagte er.

Er räumte ein, dass die Sicherheit des Unternehmens nicht stark genug war, als er vor einigen Monaten die Führung übernahm. Ngrave gab außerdem an, dass Geräteinformationen, Wallet-Aktivitäten, IP-Adressen und ungefähre Standorte durch den Vorfall offengelegt worden sein könnten.

Die Sicherheitsverletzung fügt sich in ein schwieriges Jahr für Hardware-Wallet-Hersteller ein. Fast ein Dutzend Sicherheitsvorfälle im Jahr 2026 betrafen Marken wie Ledger, Trezor, Tangem, Safepal, Bitbox02 und Coldcard, wobei die gemeldeten Verluste über zwei Vorfälle hinweg 180 Millionen US-Dollar überstiegen.

Ngrave hat die kompromittierten Zugriffsschlüssel ersetzt und plant strengere Kontrollen über seine Benachrichtigungsinfrastruktur. Zu den geplanten Maßnahmen gehören Zwei-Personen-Freigaben für Warnungen, Einschränkungen der Absender-Domains und eine Notabschaltoption. Der Bericht erklärt jedoch nicht, wie die Angreifer den ersten Zugriffsschlüssel erlangt haben, und die neuen Schutzmaßnahmen befinden sich noch in der Planungsphase. Das Unternehmen fordert betroffene Kunden auf, neue Wallets einzurichten und das Support-Team zu kontaktieren. Die Untersuchung läuft weiterhin.

Dieser Artikel stützt sich auf Ngraves offiziellen Zwischenfallbericht und Blockonomis ursprüngliche Berichterstattung.