比利時硬體錢包製造商 Ngrave 表示，駭客劫持其用於透過公司行動應用程式發送安全警報的第三方系統後，竊取客戶約 256 萬美元。該公司於 10 月 19 日在官方事件報告中披露此次入侵事件。

根據披露內容，攻擊者取得了 Ngrave 的 LIQUID 配套應用程式所用通知供應商的控制權。10 月 17 日，他們利用該存取權限，透過應用程式發送合法警報的同一管道，直接向用戶裝置推送假安全警告。

該訊息聲稱用戶的投資組合已與莫斯科的一台 Pixel 9 裝置同步。點擊警報後會開啟一個假冒的 Ngrave 網站，顯示倒數計時器並提供兩個按鈕：一個批准該活動，一個拒絕。兩個按鈕都通向同一個陷阱。繼續操作的用戶被要求輸入其 24 個單詞的助記詞或 Perfect Key，任一項都會讓攻擊者完全存取其錢包。助記詞的作用是在新裝置上還原錢包，絕不應在任何網站上輸入——而這個假冒頁面正是為了讓用戶違反這一規則而設計的。自動化腳本隨後在數分鐘內清空了受影響的帳戶。

Ngrave 追蹤到損失遍布四條區塊鏈網路上的 70 個錢包地址。比特幣佔被竊資金的最大部分，達 177 萬美元。竊賊還竊取了 45.4 萬美元的 XRP、31.6 萬美元的以太坊系資產以及 1.8 萬美元的 Stellar。

攻擊如何展開

Ngrave 的事件報指出，未經授權的存取可能始於 10 月 11 日，即假警報發出的六天前。調查人員認為，攻擊者取得了一把存取金鑰，並利用它獲取了權限更大的第二把金鑰，包括存取部分分析數據的權限。

該公司表示，在 10 月 17 日晚上 9:30（UTC）假警報出現後的一分鐘內就發現了問題。儘管如此，第一個錢包仍在六分鐘後被清空。Ngrave 於晚上 10:45 之前關閉了其通知系統。但已遭入侵錢包的失竊一直持續到隔天凌晨 3:51。

該公司堅稱，其 ZERO 硬體錢包及其上儲存的私鑰從未被入侵。攻擊者並未攻破裝置本身，而是誘騙客戶主動交出自己的恢復資訊。

被竊資金經由交易所、區塊鏈跨鏈橋和新建立的地址轉移。Ngrave 追蹤到比特幣流入 12 個地址，而 XRP 則經過 54 筆轉帳。區塊鏈分析公司 Bitquery 在其自己的報告中表示，「大部分資金現在以 Monero 代幣的形式停留在 Hyperliquid 上」，並估計約 81% 的資金最終流入了這家去中心化永續合約交易所。

執行長承認失敗

Ngrave 的執行長在事件報告中發表了異常直率的聲明。「以我拙見，加密安全公司的首要職責正是提供安全。在這一點上，我們徹徹底底地失敗了，」他說。

他承認，幾個月前他接任領導者時，公司的安全措施並不夠完善。Ngrave 還披露，裝置資訊、錢包活動、IP 位址和大致位置可能在此次事件中遭到外洩。

此次入侵事件使硬體錢包製造商又度過了艱難的一年。2026 年已發生近十餘起涉及 Ledger、Trezor、Tangem、Safepal、Bitbox02 和 Coldcard 等品牌的安全事件，其中兩起事件的通報損失總額超過 1.8 億美元。

Ngrave 已更換遭入侵的存取金鑰，並計畫對其通知基礎設施實施更嚴格的管控。計畫中的措施包括警報的雙人批准、發送網域以及緊急關閉選項。然而，報告並未說明攻擊者如何取得第一把存取金鑰，而且新的安全防護措施仍處於規劃階段。該公司呼籲受影響的客戶設置新錢包並聯絡其支援團隊。調查仍在進行中。

本文取材自 Ngrave 官方事件報告及 Blockonomi 的原始報導。