Бельгийский производитель аппаратных кошельков Ngrave сообщает, что злоумышленники похитили примерно $2,56 млн средств его клиентов, получив контроль над сторонней системой рассылки оповещений о безопасности через мобильное приложение компании. О взломе компания сообщила 19 октября в официальном отчёте об инциденте.

Согласно сообщению, атакующие получили контроль над провайдером уведомлений, используемым приложением-компаньоном Ngrave LIQUID. 17 октября они воспользовались этим доступом, чтобы рассылать поддельные предупреждения о безопасности напрямую на устройства пользователей через тот же канал, который приложение использует для легитимных оповещений.

В сообщении утверждалось, что портфель пользователя был синхронизирован с устройством Pixel 9 в Москве. Нажатие на оповещение открывало поддельный сайт Ngrave с таймером обратного отсчёта и двумя кнопками: одна — подтвердить операцию, другая — отклонить её. Обе кнопки вели в одну и ту же ловушку. Пользователям, продолжившим действия, предлагалось ввести свою seed-фразу из 24 слов или Perfect Key — любое из этих действий давало атакующим полный доступ к кошелькам. Seed-фраза существует для восстановления кошелька на новом устройстве, и её ни в коем случае нельзя вводить на каком-либо сайте — именно это правило поддельная страница была создана, чтобы заставить пользователей нарушить. Затем автоматизированные скрипты в течение нескольких минут опустошили затутые счета.

Ngrave отследила убытки до 70 адресов кошельков в четырёх блокчейн-сетях. Наибольшую долю похищенных средств составил биткоин — $1,77 млн. Злоумышленники также похитили $454 тыс. в XRP, $316 тыс. в активах на базе Ethereum и $18 тыс. в Stellar.

Как развивалась атака

Согласно отчёту Ngrave об инциденте, несанкционированный доступ мог быть получен ещё 11 октября — за шесть дней до рассылки поддельных оповещений. По мнению расследователей, атакующие получили один ключ доступа и использовали его для получения второго ключа с более широкими полномочиями, включая доступ к некоторым аналитическим данным.

Компания заявляет, что обнаружила мошеннические оповещения в течение минуты после их появления в 21:30 UTC 17 октября. Тем не менее первый кошелёк был опустошён шесть минут спустя. К 22:45 Ngrave отключила систему уведомлений. Кражи с уже скомпрометированных кошельков продолжались до 3:51 ночи следующего дня.

Компания подчёркивает, что её аппаратные кошельки ZERO и хранящиеся на них приватные ключи не были скомпрометированы. Вместо того чтобы взломать сами устройства, атакующие обманом вынудили клиентов добровольно передать собственные данные для восстановления.

Похищенные средства перемещались через биржи, блокчейн-мосты и вновь созданные адреса. Ngrave отследила биткоин по 12 адресам, а XRP перемещался через 54 транзакции. Компания блокчейн-аналитики Bitquery в собственном отчёте заявила, что «большая часть средств сейчас находится на Hyperliquid в виде токена Monero», оценив, что около 81% средств в итоге осело на децентрализованной бирже бессрочных контрактов.

Генеральный директор признаёт провал

Генеральный директор Ngrave сделал необычно прямой заявление в отчёте об инциденте. «По моему скромному мнению, первая обязанность компании в области криптобезопасности — обеспечивать именно это: безопасность. С этим мы потерпели абсолютный и полный провал», — сказал он.

Он признал, что безопасность компании была недостаточно сильной, когда он несколько месяцев назад принял руководство. Ngrave также сообщила, что в результате инцидента могла быть раскрыта информация об устройствах, активности кошельков, IP-адресах и приблизительном местоположении пользователей.

Этот взлом дополняет трудный год для производителей аппаратных кошельков. Почти дюжина инцидентов безопасности в 2026 году затронула такие бренды, как Ledger, Trezor, Tangem, Safepal, Bitbox02 и Coldcard, при этом заявленные потери по двум инцидентам превысили $180 млн.

Ngrave заменила скомпрометированные ключи доступа и планирует ужесточить контроль над инфраструктурой уведомлений. Плруемые меры включают подтверждение оповещений двумя сотрудниками, ограничение доменов отправки и функцию экстренного отключения. Однако в отчёте не объясняется, как атакующие получили первый ключ доступа, а новые меры защиты пока остаются на стадии планирования. Компания призывает пострадавших клиентов создать новые кошельки и обратиться в службу поддержки. Расследование продолжается.

Эта статья основана на официальном отчёте Ngrave об инциденте и оригинальном материале Blockonomi.