De Belgische hardware-walletfabrikant Ngrave zegt dat dieven ongeveer $2,56 miljoen van haar klanten hebben gestolen nadat ze een extern systeem dat via de mobiele app van het bedrijf securitywaarschuwingen verstuurt, hebben overgenomen. Het bedrijf maakte het lek op 19 oktober bekend in een officieel incidentrapport.

Volgens de bekendmaking kregen aanvallers controle over een notificatieleverancier die door Ngraves LIQUID-companionapp wordt gebruikt. Op 17 oktober misbruikten ze die toegang om valse securitywaarschuwingen rechtstreeks naar de apparaten van gebruikers te sturen, via hetzelfde kanaal dat de app gebruikt voor haar legitieme meldingen.

Het bericht beweerde dat de portfolio van een gebruiker was gesynchroniseerd met een Pixel 9-apparaat in Moskou. Het aantikken van de melding opende een namaakwebsite van Ngrave met een aftelklok en twee knoppen: één om de activiteit goed te keuren en één om deze af te keuren. Beide knoppen leidden naar dezelfde valstrik. Gebruikers doorklikten werd gevraagd hun herstelzin van 24 woorden of hun Perfect Key in te voeren, waarmee de aanvallers volledige toegang tot hun wallets kregen. Een herstelzin bestaat om een wallet op een nieuw apparaat te herstellen en mag nooit op een website worden ingevoerd — een regel die de namaakpagina erop gericht was gebruikers te laten breken. Geautomatiseerde scripts leegden vervolgens binnen enkele minuten de getroffen accounts.

Ngrave herleidde de verliezen tot 70 walletadressen op vier blockchainnetwerken. Bitcoin vormde met $1,77 miljoen het grootste deel van de buit. Dieven namen ook $454.000 aan XRP, $316.000 aan op Ethereum gebaseerde assets en $18.000 aan Stellar.

Hoe de aanval verliep

Volgens Ngraves incidentrapport begon de ongeautoriseerde toegang mogelijk op 11 oktober, zes dagen voordat de valse waarschuwingen werden verstuurd. Onderzoekers vermoeden dat de aanvallers één toegangssleutel bemachtigden en deze gebruikten om een tweede sleutel met ruimere rechten te verkrijgen, waaronder toegang tot enkele analyticsgegevens.

Het bedrijf zegt de frauduleuze meldingen binnen een minuut na hun verschijning op 17 oktober om 21:30 UTC te hebben opgemerkt. Toch werd de eerste wallet zes minuten later al leeggehaald. Ngrave schakelde het notificatiesysteem uiterlijk om 22:45 uur uit. Diefstal uit reeds gecompromitteerde wallets ging door tot 3:51 uur de volgende ochtend.

Het bedrijf houdt vol dat de ZERO-hardwarewallets en de daarop opgeslagen privésleutels nooit zijn gecompromitteerd. In plaats van de apparaten zelf te verslaan, brachten de aanvallers klanten ertoe hun eigen herstelgegevens vrijwillig af te staan.

Het gestolen geld werd verplaatst via beurzen, blockchainbruggen en nieuw aangemaakte adressen. Ngrave herleidde de bitcoin naar 12 adressen, terwijl de XRP via 54 transacties werd verplaatst. Blockchain-analyticsbedrijf Bitquery zei in een eigen rapport dat "het grootste deel nu op Hyperliquid ligt als een Monero-token", met een schatting dat ongeveer 81% van het geld terechtkwam op de gedecentraliseerde perpetuals-beurs.

CEO geeft mislukking toe

Ngraves chief executive leverde in het incidentrapport een ongebruikelijk directe verklaring af. "Na mijn bescheiden mening is de eerste plicht van een crypto-securitybedrijf precies dat te leveren: veiligheid.arin zijn we volkomen en totaal gefaald", aldus de CEO.

Hij gaf toe dat de beveiliging van het bedrijf niet sterk genoeg was toen hij maanden eerder de leiding overnam. Ngrave meldde eveneens dat apparaatinformatie, walletactiviteit, IP-adressen en benaderde locaties mogelijk zijn blootgesteld bij het incident.

Het lek voegt zich bij een moeilijk jaar voor hardware-walletfabrikanten. Bijna twaalf beveiligingsincidenten in 2026 betreffen merken als Ledger, Trezor, Tangem, Safepal, Bitbox02 en Coldcard, met gerapporteerde verliezen van meer dan $180 miljoen over twee incidenten.

Ngrave heeft de gecompromitteerde toegangssleutels vervangen en plant strengere controles op de notificatie-infrastructuur. Geplande maatregelen omvatten goedkeuring door twee personen voor meldingen, beperkingen op verzendende domeinen en een noodstopoptie. Het rapport legt echter niet uit hoe de aanvallers de eerste toegangssleutel verkregen, en de nieuwe waarborgen verkeren nog in de planningsfase. Het bedrijf roept getroffen klanten op nieuwe wallets aan te maken en contact op te nemen met de supportafdeling. Het onderzoek loopt nog.

Dit artikel is gebaseerd op Ngraves officieel incidentrapport en Blockonomis oorspronkelijke berichtgeving.