Le fabricant belge de wallets matériels Ngrave indique que des voleurs ont dérobé environ 2,56 millions de dollars à ses clients après avoir détourné un système tiers utilisé pour envoyer des alertes de sécurité via l'application mobile de l'entreprise. La société a révélé la faille le 19 octobre dans un rapport d'incident officiel.

Selon cette révélation, les attaquants ont pris le contrôle d'un fournisseur de notifications utilisé par l'application compagnon LIQUID de Ngrave. Le 17 octobre, ils ont exploité cet accès pour pousser de fausses alertes de sécurité directement sur les appareils des utilisateurs, via le même canal que celui utilisé pour les alertes légitimes de l'application.

Le message prétendait que le portefeuille d'un utilisateur avait été synchronisé avec un appareil Pixel 9 à Moscou. En touchant l'alerte, une fenêtre s'ouvrait sur un site Ngrave contrefait affichant un compte à rebours et deux boutons : l'un pour approuver l'activité, l'autre pour la refuser. Les deux boutons menaient au même piège. Les utilisateurs qui poursuivaient étaient invités à saisir leur phrase de récupération de 24 mots ou leur Perfect Key, l'un ou l'autre donnant aux attaquants un accès complet à leurs wallets. Une phrase de récupération existe pour restaurer un wallet sur un nouvel appareil et ne doit jamais être saisie sur un site web — une règle que la page contrefaite était conçue pour faire enfreindre. Des scripts automatisés ont ensuite vidé les comptes touchés en quelques minutes.

Ngrave a retracé les pertes jusqu'à 70 adresses de wallets sur quatre réseaux blockchain. Le Bitcoin représentait la plus grande part des fonds volés, avec 1,77 million de dollars. Les voleurs ont également pris 454 000 dollars en XRP, 316 000 dollars en actifs basés sur Ethereum et 18 000 dollars en Stellar.

Comment'attaque s'est déroulée

Selon le rapport d'incident de Ngrave, l'accès non autorisé a peut-être commencé le 11 octobre, six jours avant l'envoi des fausses alertes. Les enquêteurs estiment que les attaquants ont obtenu une première clé d'accès et l'ont utilisée pour acquérir une seconde clé avec des permissions plus étendues, incluant l'accès à certaines données d'analyse.

La société affirme avoir repéré les alertes frauduleuses moins d'une minute après leur apparition à 21 h 30 UTC le 17 octobre. Malgré cela, le premier wallet a été vidé six minutes plus tard. Ngrave a coupé son système de notifications avant 22 h 45. Les vols depuis des wallets déjà compromis se sont poursuivis jusqu'à 3 h 51 le lendemain matin.

L'entreprise soutient que ses wallets matériels ZERO et les clés privées qui y sont stockées n'ont jamais été compromis. Plutôt que de s'attaquer aux appareils eux-mêmes, les attaquants ont trompé les clients pour qu'ils livrent volontairement leurs propres informations de récupération.

Les fonds volés ont transité par des plateformes d'échange, des bridges blockchain et des adresses nouvellement créées. Ngrave a retracé le bitcoin jusqu'à 12 adresses, tandis que le XRP a été déplacé via 54 transferts. La société d'analyse blockchain Bitquery a indiqué dans son propre rapport que « l'essentiel se trouve désormais sur Hyperliquid sous forme de jeton Monero », estimant qu'environ 81 % des fonds ont fini sur la plateforme décentralisée de perpetuals.

Le PDG de Ngrave reconnaît l'échec

Le directeur général de Ngrave a fait une déclaration inhabituellement directe dans le rapport d'incident. « De mon humble avis, le premier devoir d'une entreprise de sécurité crypto est de fournir précisément cela : de la sécurité. Sur ce point, nous avons absolument et totalement échoué », a-t-il déclaré.

Il a reconnu que la sécurité de l'entreprise n'était pas assez solide lorsqu'il en a pris la direction quelques mois plus tôt. Ngrave a également révélé que des informations sur les appareils, l'activité des wallets, les adresses IP et les localisations approximatives ont pu être exposées lors de l'incident.

Cette faille s'ajoute à une année difficile pour les fabricants de wallets matériels. Près d'une douzaine d'incidents de sécurité en 2026 ont impliqué des marques telles que Ledger, Trezor, Tangem, Safepal, Bitbox02 et Coldcard, avec des pertes déclarées dépassant 180 millions de dollars sur deux incidents.

Ngrave a remplacé les clés d'accès compromises et prévoit contrôle plus strict de son infrastructure de notifications. Les mesures envisagées incluent des validations à deux personnes pour les alertes, des restrictions sur les domaines d'envoi et une option d'arrêt d'urgence. Le rapport n'explique toutefois pas comment les attaquants ont obtenu la première clé d'accès, et les nouvelles garanties en restent au stade du projet. L'entreprise invite les clients concernés à créer de nouveaux wallets et à contacter son équipe d'assistance. L'enquête reste en cours.

Cet article s'appuie sur le rapport d'incident officiel de Ngrave et sur la couverture originale de Blockonomi.