ベルギーのハードウェアウォレットメーカーNgraveは、同社のモバイルアプリを通じてセキュリティ警告を送信するサードパーティのシステムが乗っ取られ、顧客から約256万ドルが盗まれたと発表した。同社は10月19日、公式のインシデントレポートにてこの侵害を明らかにした。

発表によると、攻撃者はNgraveのLIQUIDコンパニオンアプリが使用する通知プロバイダーの制御を掌握した。10月17日、攻撃者はこのアクセス権を悪用し、アプリが正規の警告に使用するのと同じチャネルを通じて、偽のセキュリティ警告をユーザーのデバイスに直接送りつけた。

そのメッセージは、ユーザーのポートフォリオがモスクワのPixel 9デバイスと同期されたと主張するものだった。警告をタップすると、カウントダウンタイマーを表示し、アクティビティを承認または拒否する2つのボタンがある偽のNgraveウェブサイトが開いた。どちらのボタンも同じ罠につながっていた。先に進んだユーザーは、24語のリカバリーフーズまたはPerfect Keyの入力を求められ、いずれかを入力すれば攻撃者はウォレットへの完全なアクセス権を得られた。リカバリーフレーズは新しいデバイスでウォレットを復元するために存在するものであり、いかなるウェブサイトにも入力してはならない — 偽ページはまさにユーザーにこのルールを破らせるために作られていた。その後、自動スクリプトが数分のうちに被害を受けたアカウントを空にした。

Ngraveの調査により、損失は4つのブロックチェーンネットワーク上の70のウォレットアドレスに及ぶことが判明した。盗まれた資金の最大の割合を占めたのは177万ドルのビットコインだった。さらに、攻撃者は45万4,000ドルのXRP、31万6,000ドルのイーサリアム系資産、1万8,000ドルのステラ(XLM)も盗んだ。

攻撃の経緯

Ngraveのインシデントレポートによると、不正アクセスは偽の警告が送信される6日前の10月11日に始まった可能性があるという。調査担当者は、攻撃者が1つのアクセスキーを入手し、それを使って分析データを含むより広い権限を持つ2つ目のキーを取得したと考えている。

同社は、10月17日21時30分(UTC)に偽の警告が出現してから1分以内に検知したと説明している。それでも、最初のウォレットは6分後に空にされた。Ngraveは22時45分までに通知システムを停止した。すでに侵害されていたウォレットからの盗難は翌朝3時51分まで続いた。

同社は、ZEROハードウェアウォレットおよびそこに保存された秘密鍵は決して侵害されていないと主張している。攻撃者はデバイスそのものを破るのではなく、顧客をだまして自らのリカバリー情報を自発的に手放させたのだ。

盗まれた資金は取引所、ブロックチェーンブリッジ、新しく作成されたアドレスを経由して移動した。Ngraveはビットコインを12のアドレスまで追跡し、XRPは54回の送金で移動していた。ブロックチェーン分析企業Bitqueryは独自のレポートで「その大部分は現在、モネロ(XMR)トークンとしてHyperliquid上に存在する」と述べ、資金の約81%が分散型永久先物取引所に流出したと推定している。

CEOが失敗を認める

Ngraveの最高経営責任者(CEO)はインシデントレの中で、異例なまでに率直な声明を発表した。「私の謙虚な意見では、暗号資産セキュリティ企業の第一の義務は、まさにそのセキュリティを提供することです。この点で、私たちは完全に徹底的に失敗しました」と述べた。

CEOは、数か月前に経営を引き継いだ時点で同社のセキュリティは十分に強固ではなかったことを認めた。Ngraveはまた、このインシデントでデバイス情報、ウォレットのアクティビティ、IPアドレス、おおよその位置情報が漏えいした可能性があることも明らかにした。

今回の侵害は、ハードウェアウォレットメーカーにとって厳しい1年にさらに追い打ちをかけるものとなった。2026年には、Ledger、Trezor、Tangem、Safepal、Bitbox02、Coldcardなどのブランドに関わるセキュリティインシデントがほぼ12件発生しており、2つのインシデントだけで報告されている損失は1億8,000万ドルを超えている。

Ngraveは侵害されたアクセスキーを交換し、通知インフラに対するより厳格な管理を計画している。計画されている対策には、警告の承認に必要な2人制、送信ドメインの制限、緊急シャットダウンオプションが含まれる。ただし、レポートは攻撃者が最初のアクセスキーをどう入手したかについては説明しておらず、新たな安全策は still 計画段階にとどまっている。同社は影響を受けた顧客に新しいウォレットの設定とサポートチームへの連絡を呼びかけている。調査は継続中である。

本記事はNgraveの公式インシデントレポートおよびBlockonomiのオリジナル報道に基づく。