比利时硬件钱包制造商 Ngrave 表示，攻击者劫持了该公司用于通过其移动应用发送安全警报的第三方系统，从客户处窃取了约 256 万美元。该公司于 10 月 19 日在官方事件报告中披露了这一入侵事件。

据披露，攻击者控制了 Ngrave 的 LIQUID 伴侣应用所使用的一家通知服务商。10 月 17 日，他们利用这一访问权限，通过应用发送合法警报的同一渠道，直接向用户设备推送伪造的安全警告。

该消息声称用户投资组合已同步至莫斯科的一台 Pixel 9 设备。点击警报后会打开一个假冒的 Ngrave 网站，页面上显示倒计时器以及两个按钮：一个用于批准该活动，一个用于拒绝。但两个按钮都指向同一个陷阱。继续操作的 用户被要求输入 24 个单词的助记词或 Perfect Key，任一项都会让攻击者完全控制其钱包。助记词的存在仅用于在新设备上恢复钱包，绝不应在任何网站上输入——而假冒页面正是为了诱导用户违反这一原则而设计的。随后，自动脚本在数分钟内清空了受影响的账户。

Ngrave 追踪到损失分布在四条区块链网络上的 70 个钱包地址。比特币占被盗资金的最大份额，达 177 万美元。攻击者还窃取了 45.4 万美元的 XRP、31.6 万美元的基于以太坊的资产以及 1.8 万美元的 Stellar。

攻击如何展开

Ngrave 的事件报告称，未经授权的访问可能始于 10 月 11 日，即伪造警报发出前六天。调查人员认为，攻击者获取了一把访问密钥，并利用它获得了权限更广的第二把密钥，其中包括对部分分析数据的访问权限。

该公司表示，在 10 月 17 日 21:30（UTC）伪造警报出现后的一分钟内即被发现。即便如此，第一个钱包仍在六分钟后被清空。Ngrave 于当晚 22:45 之前关闭了其通知系统。但已被入侵钱包的盗窃行为一直持续到次日凌晨 3:51。

该公司坚称，其 ZERO 硬件钱包及其上存储的私钥从未被破。攻击者并非攻克设备本身，而是诱骗客户主动交出自己的恢复信息。

被盗资金经由交易所、跨链桥和新创建的地址转移。Ngrave 追踪到比特币流入 12 个地址，而 XRP 则经过 54 笔转账。区块链分析公司 Bitquery 在其报告中表示，"其中大部分目前以门罗币代币的形式存放在 Hyperliquid 上"，估计约 81% 的资金最终流入了这一去中心化永续合约交易所。

CEO 承认失败

Ngrave 的首席执行官在事件报告中发表了异常直接的声明。他说："在我看来，加密安全公司的首要职责恰恰就是提供安全。而在这件事上，我们彻底失败了。"

他承认，自己在数月前接手领导该公司时，公司的安全措施并不够完善。Ngrave 还披露，设备信息、钱包活动、IP 地址和大致位置可能在此次事件中被泄露。

此次入侵令硬件钱包制造商艰难的一年雪上加霜。2026 年已发生近十起涉及 Ledger、Trezor、Tangem、Safepal、Bitbox02 和 Coldcard 等品牌的安全事件，其中两起事件的报告损失合计超过 1.8 亿美元。

Ngrave 已更换被入侵的访问密钥，并计划对其通知基础设施实施更严格的管控。计划中的措施包括警报双人审批、发送域名限制以及紧急关停选项。不过，报告并未说明攻击者是如何获得第一把访问密钥的，而新的安全防护措施仍处于规划阶段。该公司正敦促受影响的客户设置新钱包并联系其支持团队。调查仍在进行中。

本文基于 Ngrave 的官方事件报告和 Blockonomi 的原始报道。