Бельгийский производитель аппаратных кошельков NGRAVE раскрыл инцидент, в результате которого злоумышленники скомпрометировали сторонний сервис push-уведомлений приложения LIQUID и похитили около $2,56 млн у пользователей. Атака произошла 17 октября 2026 года: через официальный канал уведомлений клиентам поступило сообщение о том, что портфель синхронизирован с устройством Pixel 9 в Москве, и требовалось немедленно проверить активность.
Поскольку уведомление пришло по тому же каналу, что и легитимные сообщения NGRAVE, оно выглядело достоверно. После перехода по ссылке пользователи попадали на поддельный сайт, имитировавший ресурс компании. На странице отображался таймер обратного отсчёта и варианты «одобрить» или «отклонить» операцию, однако оба варианта вели к одному требованию: ввести 24-словную seed-фразу или Perfect Key. После ввода данных автоматизированные скрипты восстанавливали кошельки и опустошали счета в течение нескольких минут.
По оценке NGRAVE, атака затронула около 70 адресов в четырёх блокчейнах. На 17 октября сумма ущерба составила примерно $2,56 млн: биткоин (BTC) — около $1,77 млн, XRP — около $454 тыс., активы на базе Ethereum (ETH) — около $316 тыс., Stellar (XLM) — $18 тыс. В компании подчеркнули, что аппаратные устройства ZERO и хранящиеся на них приватные ключи не были скомпрометированы: потери стали следствием того, что пользователи сами ввели секретные данные на фишинговом сайте.
Несанкционированный доступ к провайдеру уведомлений мог начаться ещё 11 октября. Сначала злоумышленники получили один ключ доступа, а затем с его помощью — второй, с более широкими правами, включая отправку сообщений и просмотр части аналитических данных. Вредоносные уведомления были обнаружены примерно через минуту после появления около 21:30 UTC 17 октября. Первый кошелёк тем не менее опустошили через шесть минут. Первый ключ отключили к 21:40 UTC, но рассылка продолжалась через второй ключ, пока отправка уведомлений не была полностью остановлена в 22:45 UTC. Вывод средств из уже скомпрометированных кошельков продолжался ещё несколько часов, последний зафиксированный случай — в 03:51 UTC 18 октября.
Украденные средства быстро перемещались через биржи, мосты и новые адреса. Биткоин дробился на несколько новых адресов, XRP десятками транзакций направлялся на биржу, а активы Ethereum переводились через мосты. NGRAVE передаёт адреса злоумышленников и детали транзакций правоохранительным органам, а также просит биржи и операторов мостов заморозить связанные средства. Генеральный директор компании заявил, что NGRAVE «абсолютно и полностью провалила» свою основную обязанность по обеспечению безопасности.
В ответ на инцидент компания заменила скомпрометированные ключи и внедряет более строгие меры контроля: двойное подтверждение уведомлений, доменные ограничения, не позволяющие оповещениям открывать внешние сайты, короткоживущие ключи и механизм экстренного отключения всей системы уведомлений. Пользователям, которые ввели восстановительные данные, рекомендовано считать исходные кошельки скомпрометированными во всех сетях, переместить оставшиеся средства на новые кошельки и обратиться в поддержку NGRAVE. Тем, кто только открыл уведомление, но не вводил данные, по мнению компании, ничего не угрожает, однако возможны повторные фишинговые попытки, поскольку часть данных об устройствах и активности могла быть раскрыта.
Инцидент показывает, что даже аппаратные кошельки с воздушным зазором остаются уязвимыми, если злоумышленникам удаётся манипулировать доверием пользователей и окружающими программными каналами. NGRAVE продолжает расследование и обещает дополнительные обновления по мере отслеживания и ответных мер.
