Il produttore belga di hardware wallet Ngrave dichiara che ladri hanno rubato circa 2,56 milioni di dollari ai suoi clienti dopo aver compromesso un sistema di terze parti utilizzato per inviare avvisi di sicurezza attraverso l'applicazione mobile dell'azienda. La società ha reso noto la violazione il 19 ottobre in un rapporto ufficiale sull'incidente.

Secondo la comunicazione, gli aggressori hanno ottenuto il controllo di un fornitore di notifiche utilizzato dall'app complementare LIQUID di Ngrave. Il 17 ottobre hanno sfruttato tale accesso per inviare falsi avvisi di sicurezza direttamente ai dispositivi degli utenti attraverso lo stesso canale che l'app utilizza per i propri avvisi legittimi.

Il messaggio sosteneva che il portafoglio di un utente era stato sincronizzato con un dispositivo Pixel 9 a Mosca. Toccando l'avviso si apriva un sito Ngrave contraffatto con un conto alla rovescia e due pulsanti: uno per approvare l'attività e uno per negarla. Entrambi i pulsanti portavano alla stessa trappola. Gli utenti che proseguivano venivano invitati a inser la propria frase di recupero di 24 parole o la propria Perfect Key, con le quali gli aggressori ottenevano l'accesso completo ai wallet. La frase di recupero esiste per ripristinare un wallet su un nuovo dispositivo e non dovrebbe mai essere inserita su alcun sito web — una regola che la pagina contraffatta era costruita per far violare agli utenti. Script automatici hanno quindi svuotato gli account interessati in pochi minuti.

Ngrave ha fatto risalire le perdite a 70 indirizzi wallet su quattro reti blockchain. Il Bitcoin rappresentava la quota maggiore dei fondi rubati, con 1,77 milioni di dollari. I ladri hanno anche sottratto 454.000 dollari in XRP, 316.000 dollari in asset basati su Ethereum e 18.000 dollari in Stellar.

Come si è svolto l'attacco

Il rapporto sull'incidente di Ngrave indica che l'accesso non autorizzato potrebbe essere iniziato l'11 ottobre, sei giorni prima dell'invio dei falsi avvisi. Gli investigatori ritengono che gli aggressori abbiano ottenuto una chiave di accesso e la abbiano utilizzata per acquisirne una seconda con permessi più ampi, incluso l'accesso ad alcuni dati analitici.

L'azienda afferma di aver individuato gli avvisi fraudolenti entro un minuto dalla loro comparsa, alle 21:30 UTC del 17 ottobre. Ciononostante, il primo wallet è stato svuotato sei minuti dopo. Ngrave ha spento il proprio sistema di notifiche entro le 22:45. I furti dai wallet già compromessi sono continuati fino alle 3:51 del mattino successivo.

La società sostiene che i suoi hardware wallet ZERO e le chiavi private ivi memorizzate non siano mai stati compromessi. Invece di aggirare i dispositivi stessi, gli aggressori hanno ingannato i clienti spingendoli a consegnare volontariamente le proprie informazioni di recupero.

I fondi rubati sono passati attraverso exchange, bridge blockchain e indirizzi di nuova creazione. Ngrave ha tracciato il bitcoin in 12 indirizzi, mentre l'XRP è stato spostato tramite 54 trasferimenti. La società di analisi blockchain Bitquery ha dichiarato nel proprio rapporto che "la maggior parte ora si trova su Hyperliquid come token Monero", stimando che circa l'81% dei fondi sia finito sull'exchange decentralizzato di perpetuals.

L'amministratore delegato ammette il fallimento

L'amministratore delegato di Ngrave ha rilasciato una dichiarazione insolitamente diretta nel rapporto sull'incidente. "A mio modesto avviso, il primo dovere di un'azienda di sicurezza crypto è fornire esattamente questo: sicurezza. In questo abbiamo assolutamente e completamente fallito", ha detto.

Ha riconosciuto che la sicurezza dell'azienda non era sufficientemente solida quando ha assunto la guida alcuni mesi prima. Ngrave ha inoltre rivelato che informazioni sui dispositivi, attività dei wallet, indirizzi IP e località approssimative potrebbero essere stati esposti nell'incidente.

La violazione si aggiunge a un anno difficile per i produttori di hardware wallet. Quasi una dozzina di incidenti di sicurezza nel 2026 hanno coinvolto marchi come Ledger, Trezor, Tangem, Safepal, Bitbox02 e Coldcard, con perdite dichiarate superiori a 180 milioni di dollari in due incidenti.

Ngrave ha sostituito le chiavi di accesso compromesse e prevede controlli più rigorosi sulla propria infrastruttura di notifiche. Le misure pianificate includono approvazioni a due persone per gli avvisi, restrizioni sui domini di invio e un'opzione di spegnimento d'emergenza. Il rapporto, tuttavia, non spiega come gli aggressori abbiano ottenuto la prima chiave di accesso, e le nuove salvaguardie restano in fase di pianificazione. L'azienda invita i clienti interessati a creare nuovi wallet e a contattare il team di supporto. L'indagine è ancora in corso.

Questo articolo si basa sul rapporto ufficiale sull'incidente di Ngrave e sulla copertura originale di Blockonomi.