Isang Pekeng Babala sa Seguridad
Isang pekeng babala sa seguridad ang lumitaw sa mga crypto wallet, na nagpadala sa mga gumagamit na magmadali upang protektahan ang kanilang mga pondo. Sa halip, ang alerto ay nagdala sa kanila diretso sa mga magnanakaw na umubos ng humigit-kumulang $2.56 milyon, na sinasamantala ang isang pinagkakatiwalaang sistema ng notipikasyon nang hindi kailanman nabasag ang hardware mismo.
Ang Insidente
Inanunsyo ng Belgian hardware wallet maker na Ngrave, na kilala bilang NGRAVE, noong Oktubre 19 na ang mga umaatake ay ninakaw ang isang third-party notification provider na nagsisilbi sa kanilang LIQUID companion app. Ang paglabag ay nagbigay-daan sa mga kriminal na magpadala ng mga mukhang tunay na babala sa seguridad diretso sa mga customer noong Oktubre 17.
“Ang portfolio ng isang gumagamit ay na-synchronize sa isang Pixel 9 device sa Moscow.”
Ang pag-click sa alerto ay nagbukas ng isang pekeng website ng Ngrave na may countdown timer at isang nakababahalang pagpipilian upang aprubahan o tanggihan ang kahina-hinalang aktibidad. Parehong daan ang nagdala sa parehong bitag. Ang mga gumagamit ay pinasok na ilagay ang kanilang 24-word recovery phrase o Perfect Key, na ibinibigay sa mga umaatake ang lahat ng kinakailangan upang muling likhain ang kanilang mga wallet.
Mga Resulta ng Imbestigasyon
Ang mga automated script ay umubos ng mga compromised account sa loob ng ilang minuto. Ang imbestigasyon ng Ngrave ay nag-trace ng humigit-kumulang $2.56 milyon na ninakaw mula sa 70 wallet addresses sa apat na network. Ang Bitcoin ay nagkakahalaga ng $1.77 milyon, sinundan ng $454,000 sa XRP, $316,000 sa mga asset na batay sa Ethereum at $18,000 sa Stellar.
Ang ulat ng insidente ng kumpanya ay nagpapakita na ang hindi awtorisadong pag-access ay maaaring nagsimula noong Oktubre 11, anim na araw bago lumitaw ang mga pekeng notipikasyon. Nakakuha ang mga umaatake ng isang access key at ginamit ito upang makakuha ng isa pang may mas malawak na pahintulot, kabilang ang pag-access sa ilang impormasyon sa analytics.
Mga Hakbang ng Ngrave
Nabatid ng Ngrave ang mga mapanlinlang na alerto sa loob ng isang minuto mula sa kanilang paglitaw sa 9:30 p.m. UTC noong Oktubre 17. Gayunpaman, ang unang wallet ay naubos anim na minuto mamaya. Pinatay ng kumpanya ang kanilang notification system sa 10:45 p.m., ngunit nagpatuloy ang mga pagnanakaw mula sa mga naunang compromised wallet hanggang 3:51 a.m. kinabukasan.
Mahalaga, pinanatili ng Ngrave na ang kanilang ZERO hardware wallets at private keys ay nanatiling hindi nahawakan. Sa halip, pinilit ng mga kriminal ang mga customer na isuko ang kanilang sariling mga kredensyal.
Mga Alalahanin sa Seguridad
Ang mga ninakaw na pondo ay naglakbay sa pamamagitan ng mga exchange, blockchain bridges, at mga bagong address. Sinubaybayan ng Ngrave ang bitcoin sa 12 address, habang ang XRP ay lumipat sa 54 na transaksyon. Inamin din ng kumpanya ang potensyal na pagkalantad ng impormasyon ng device, aktibidad ng wallet, IP address, at mga tinatayang lokasyon, na nagdulot ng mga alalahanin tungkol sa mga susunod na targeted scams.
“Kadalasan ay nakaupo na ito sa Hyperliquid bilang isang Monero token.”
Tinataya ng ulat ng Bitquery na humigit-kumulang 81% ay nakarating sa sikat na perps DEX exchange. Sa ulat ng insidente, nagsalita ang senior executive ng Ngrave tungkol sa isyu. Nag-alok ang CEO nito ng isang hindi pangkaraniwang tapat na pagsusuri, na nagsasaad:
“Sa aking mapagpakumbabang opinyon, ang unang tungkulin ng isang crypto security company ay upang magbigay ng eksaktong iyon: seguridad. Sa bagay na ito, kami ay talagang nabigo.”
Mga Hakbang na Isinagawa
Inamin niya na ang seguridad ng kumpanya ay hindi sapat nang siya ay umupo sa pamunuan ilang buwan na ang nakalipas. Mula noon, pinalitan ng Ngrave ang mga compromised keys at naglatag ng mas mahigpit na kontrol sa notipikasyon, kabilang ang dalawang tao na pag-apruba, mga pinaghihigpitang domain at mga kakayahan sa emergency shutdown.
Ang mga apektadong customer ay hinihimok na magtatag ng mga bagong wallet at makipag-ugnayan sa suporta. Ang imbestigasyon ay nagpapatuloy, na nag-iiwan ng isang nakababahalang pagkakaiba: ang hardware ay nanatiling matatag, ngunit ang mga pinagkakatiwalaang mensahe sa paligid nito ay naging sandata.
Konklusyon
Ito ay naging isang mahirap na taon para sa mga tagagawa ng hardware wallet habang ang 2026 ay puno ng mga isyu sa seguridad. Halos isang dosenang dokumentadong insidente ng seguridad ng hardware wallet na kinasasangkutan ang Ledger, Trezor, Tangem, Safepal, Bitbox02, at Coldcard. Ang mga naitalang pagkalugi ay lumampas sa $180 milyon sa dalawang insidente, na nagbukas ng mga kahinaan sa firmware, mga third-party vendor, pisikal na seguridad, at phishing, sa halip na direktang mga remote na pag-atake sa mga recovery phrase.
