Мошенники подделали уведомления Ngrave и украли 2,56 млн долларов с 70 кошельков

Бельгийский производитель аппаратных кошельков Ngrave (NGRAVE) 19 октября раскрыл детали кражи: с 70 адресов в четырёх блокчейн-сетях вывели около 2,56 млн долларов ≈ 7,61 млн BYN. Деньги ушли не через взлом устройств, а через поддельные уведомления в сопутствующем приложении LIQUID. Об этом компания сообщила в отчёте о расследовании.

Атака началась с третьей стороны. Злоумышленники получили доступ к поставщику, который обслуживает систему оповещений приложения. По данным Ngrave, несанкционированный вход произошёл, вероятно, 11 октября — за шесть дней до рассылки. Преступники добыли один ключ доступа, а с его помощью — второй, с более широкими правами, включая доступ к части аналитической информации.

Как выглядело фальшивое предупреждение

17 октября в 21:30 по UTC клиенты начали получать сообщения о том, что их кошелёк синхронизирован с устройством Pixel 9 в Москве. При нажатии открывался поддельный сайт Ngrave с таймером обратного отсчёта и выбором: одобрить подозрительную активность или отклонить её. Оба варианта вели к одному и тому же — вводу 24-словной фразы восстановления или Perfect Key. Получив их, автоматизированные скрипты за считанные минуты опустошали счета.

Ngrave заметила вредоносные уведомления в течение минуты после начала рассылки. Но средства с первого кошелька вывели уже через шесть минут. Систему оповещений отключили к 22:45, однако кражи с ранее скомпрометированных кошельков продолжались до 3:51 следующего утра.

Куда ушли деньги

Распределение украденного по сетям: 1,77 млн долларов ≈ 5,26 млн BYN в биткоине, 454 000 долларов ≈ 1,35 млн BYN в XRP, 316 000 долларов ≈ 939 тыс. BYN в активах на базе Ethereum и 18 000 долларов ≈ 53,5 тыс. BYN в Stellar. Биткоины прошли через 12 адресов, XRP — через 54 транзакции. Средства прогоняли через биржи, блокчейн-мосты и новые адреса.

Аналитическая компания Bitquery в своём отчёте указала, что большая часть похищенного сейчас находится на платформе Hyperliquid в виде токенов Monero. По оценке Bitquery, около 81% средств попало на популярную децентрализованную биржу.

Ngrave также признала возможную утечку данных об устройствах, активности кошельков, IP-адресах и примерном местоположении клиентов. Это создаёт риск повторных адресных атак на пострадавших.

Что признала компания

Аппаратные кошельки ZERO и приватные ключи, по утверждению Ngrave, остались нетронутыми. Генеральный директор компании дал прямую оценку случившемуся: «По моему скромному мнению, главная обязанность компании, занимающейся криптовалютной безопасностью, — это обеспечение именно безопасности. В этом мы потерпели абсолютный и полный провал».

Он признал, что уровень защиты был недостаточным, когда он возглавил компанию несколько месяцев назад. После инцидента Ngrave заменила скомпрометированные ключи и ужесточила контроль над уведомлениями: ввела утверждение двумя сотрудниками, ограничение доменов и возможность экстренного отключения. Пострадавшим клиентам рекомендуют создать новые кошельки и обратиться в поддержку. Расследование продолжается.

Инцидент стал одним из серии подобных в 2026 году: проблемы с безопасностью затронули Ledger, Trezor, Tangem, Safepal, Bitbox02 и Coldcard — почти дюжину случаев. В двух из них уязвимости в прошивке и у сторонних поставщиков привели к убыткам более чем на 180 млн долларов ≈ 535 млн BYN.