Belgijski producent portfeli sprzętowych Ngrave poinformował, że złodzieje ukradli jego klientom około 2,56 mln USD po przejęciu zewnętrznego systemu służącego do wysyłania alertów bezpieczeństwa przez mobilną aplikację firmy. Firma ujawniła naruszenie 19 października w oficjalnym raporcie o incydencie.

Zgodnie z informacją atakujący przejęli kontrolę nad dostawcą powiadomień używanym przez aplikację towarzyszącą Ngrave LIQUID. 17 października wykorzystali ten dostęp, aby wysłać fałszywe ostrzeżenia bezpieczeństwa bezpośrednio na urządzenia użytkowników — tym samym kanałem, którym aplikacja wysyła swoje legalne alerty.

Wiadomość informowała, że portfel użytkownika został zsynchronizowany z urządzeniem Pixel 9 w Moskwie. Dotknięcie alertu otwierało podrobioną stronę Ngrave z licznikiem odliczającym i dwoma przyciskami: jednym do zatwierdzenia aktywności, drugim do jej odrzucenia. Oba przyciski prowadziły do tej samej pułapki. Użytkownicy, którzy kontynuowali, byli proszeni o wprowadzenie swojej 24-wyrazowej frazy odzyskiwania lub Perfect Key — co dawało atakującym pełny dostęp do ich portfeli. Frazy odzyskiwania służą do przywrócenia portfela na nowym urządzeniu i nigdy nie powinny być wprowadzane na żadnej stronie internetowej — podrobiona strona została zaprojektowana tak, aby skłonić użytkowników do złania tej zasady. Zautomatyzowane skrypty opróżniły następnie dotknięte konta w ciągu kilku minut.

Ngrave prześledziło straty do 70 adresów portfeli w czterech sieciach blockchain. Bitcoin stanowił największą część skradzionych środków — 1,77 mln USD. Złodzieje zabrali także 454 000 USD w XRP, 316 000 USD w aktywach opartych na Ethereum oraz 18 000 USD w Stellar.

Jak przebiegł atak

Według raportu o incydencie Ngrave nieautoryzowany dostęp mógł rozpocząć się 11 października, sześć dni przed wysłaniem fałszywych alertów. Śledczy uważają, że atakujący uzyskali jeden klucz dostępu i użyli go do zdobycia drugiego klucza o szerszych uprawnieniach, w tym dostępu do niektórych danych analitycznych.

Firma informuje, że wykryła fałszywe alerty w ciągu minuty od ich pojawienia się o 21:30 UTC 17 października. Mimo to pierwszy portfeł został opróżniony sześć minut później. Ngrave wyłączyło system powiadomień do 22:45. Kradzieże z już skompromitowanych portfeli trwały do 3:51 nad ranem następnego dnia.

Firma podtrzymuje, że jej portfele sprzętowe ZERO oraz przechowywane na nich klucze prywatne nigdy nie zostały naruszone. Zamiast pokonywać same urządzenia, atakujący nakłonili klientów do dobrowolnego przekazania własnych danych odzyskiwania.

Skradzione środki przepływały przez giełdy, mosty blockchain i nowo utworzone adresy. Ngrave prześledziło bitcoiny do 12 adresów, natomiast XRP przemieszczono w ramach 54 transferów. Firma analityczna Bitquery stwierdziła we własnym raporcie, że „większość środków znajduje się obecnie na Hyperliquid jako token Monero”, szacując, że około 81% środków trafiło na zdecentralizowaną giełdę kontraktów perpetual.

Dyrektor generalny przyznaje się do porażki

Dyrektor generalny Ngrave złożył w raporcie o incydencie niezwykle bezpośrednie oświadczenie. „Moim skromnym zdaniem pierwszym obowiązkiem firmy zajmującej się bezpieczeństwem kryptowalut jest dostarczanie właśnie tego: bezpieczeństwa. W tym całkowicie zawiedliśmy”, powiedział.

Przyznał, że bezpieczeństwo firmy nie było wystarczająco silne, gdy kilka miesięcy wcześniej objął stanowisko kierownicze. Ngrave poinformowało również, że w wyniku incydentu mogły zostać ujawnione informacje o urządzeniach, aktywność portfeli, adresy IP oraz przybliżone lokalizacje.

To naruszenie dołącza do trudnego roku dla producentów portfeli sprzętowych. W 2026 roku prawie tuzin incydentów bezpieczeństwa dotyczył marek takich jak Ledger, Trezor, Tangem, Safepal, Bitbox02 i Coldcard, a zgłoszone straty dwóch incydentach przekroczyły 180 mln USD.

Ngrave wymieniło skompromitowane klucze dostępu i planuje zaostrzenie kontroli nad infrastrukturą powiadomień. Planowane środki obejmują zatwierdzanie alertów przez dwie osoby, ograniczenia domen wysyłających oraz opcję awaryjnego wyłączenia. Raport nie wyjaśnia jednak, w jaki sposób atakujący uzyskali pierwszy klucz dostępu, a nowe zabezpieczenia pozostają na etapie planowania. Firma wzywa poszkodowanych klientów do założenia nowych portfeli i skontaktowania się z zespołem wsparcia. Dochodzenie trwa.

Artykuł opiera się na oficjalnym raporcie o incydencie Ngrave oraz oryginalnym opracowaniu Blockonomi.