Attaque d’hameçonnage NGRAVE LIQUID : ce qui s’est passé et votre wallet est-il en sécurité ?

2026/10/21 16:18:00

Une attaque d’hameçonnage ciblant l’application complémentaire LIQUID de NGRAVE a été liée à environ 2,65 million de dollars en cryptomonnaies perdues sur 84 wallets, selon l’entreprise d’analyse blockchain Bitquery. L’incident a commencé le 17 octobre 2026, lorsque les attaquants ont exploité un service de notifications push tiers pour diffuser des alertes de sécurité frauduleuses qui semblaient provenir de l’application wallet. Les victimes ayant suivi ces alertes ont été redirigées vers un site web contrefait leur demandant leurs phrases de récupération ou leurs NGRAVE Perfect Keys, permettant aux attaquants de recréer des wallets et de transférer les actifs sans accéder physiquement aux appareils matériels d’origine.

L'incident met en lumière une distinction cruciale en matière de sécurité des cryptomonnaies : un hardware wallet peut protéger les clés privées contre de nombreuses menaces en ligne, mais il ne peut pas empêcher les pertes si les utilisateurs révèlent les identifiants nécessaires pour récupérer leurs wallets. NGRAVE a déclaré que son wallet matériel ZERO et les clés privées stockées sur l'appareil n'ont pas été directement compromises. Toutefois, cette attaque soulève des questions plus larges sur la sécurité des services tiers, les notifications d'applications de confiance et les responsabilités des fournisseurs de auto-gestion. Comprendre comment l'attaque s'est déroulée, où les fonds volés ont été transférés et quels utilisateurs pourraient encore être en danger est essentiel pour toute personne gérant des actifs numériques.

Points clés

Les pertes estimées ont atteint 2,65 millions de dollars : Bitquery a traqué des transferts de cryptomonnaies provenant de 84 wallets sur six réseaux blockchain. NGRAVE a également signalé environ 2,56 millions de dollars de pertes sur environ 70 adresses sur quatre réseaux. Les estimations reflètent des portées d'enquête différentes, et chaque adresse dans l'analyse de Bitquery ne peut pas être attribuée de manière concluante à un client NGRAVE.
L'attaque a exploité un canal de communication de confiance : les attaquants ont compromis l'accès lié à un service tiers chargé des notifications push LIQUID et l'ont utilisé pour diffuser des avertissements de sécurité frauduleux.
Les identifiants de récupération étaient la cible principale : les victimes ont été incitées à saisir leurs phrases de récupération ou leurs clés NGRAVE Perfect sur un site web contrefait, permettant aux attaquants de restaurer les wallets ailleurs et de transférer les fonds.
La plupart des fonds traçables ont été convertis en XMR1 : Bitquery a indiqué qu'environ 2,16 million de dollars ont été utilisés pour acheter 3 592,71 jetons XMR1 sur 39 nouveaux comptes Hyperliquid. Cela représentait la position observée au 19 octobre, et non un solde actuel confirmé.
Les utilisateurs doivent réagir en fonction de leur niveau d'exposition : ceux qui n'ont cliqué qu'un lien encourent un risque différent de ceux qui ont soumis des identifiants de récupération. Toute personne ayant divulgué une phrase de récupération doit considérer le wallet correspondant comme compromis.

Qu'est-ce qui s'est passé lors de l'attaque d'hameçonnage NGRAVE LIQUID ?

L'attaque a exploité la confiance des utilisateurs dans les notifications provenant de LIQUID, l'application mobile complémentaire du portefeuille matériel NGRAVE ZERO. Selon le rapport d'incident officiel de NGRAVE, publié le 19 octobre, les attaquants ont pris le contrôle des accès associés à un fournisseur de notifications tiers et ont envoyé des alertes de sécurité frauduleuses le 17 octobre. Les messages avertissaient les destinataires que leurs portefeuilles de cryptomonnaies avaient été synchronisés avec un nouvel appareil, créant l'impression qu'une personne non autorisée avait accédé à leurs comptes.

Les alertes redirigeaient les utilisateurs vers un site web contrefait conçu pour ressembler à l'interface officielle de NGRAVE. La page présentait un écran de confirmation de sécurité avec un compte à rebours et une option pour refuser la synchronisation supposée. En sélectionnant cette option, les utilisateurs étaient redirigés vers une autre page leur demandant leurs identifiants de récupération. Cette séquence donnait l'impression que la demande était une procédure de sécurité nécessaire, plutôt qu'une tentative de vol d'accès au wallet.

Le premier retrait de wallet identifié publiquement a eu lieu environ à 21:36 UTC le 17 octobre, selon Bitquery. Les vols se sont poursuivis jusqu'au 18 octobre, la dernière transaction de sa séquence suivie ayant eu lieu peu avant 04:00 UTC. NGRAVE a indiqué qu'elle avait désactivé la fonctionnalité de notification affectée, puis restauré le service LIQUID après avoir pris des mesures correctives. L'incident démontre comment les attaquants peuvent exploiter un canal de communication légitime sans avoir besoin de contourner les protections cryptographiques sous-jacentes du wallet.

Comment le mécanisme d’hameçonnage a fonctionné

L'attaque a suivi un schéma classique d'ingénierie sociale, mais la légitimité apparente de la notification la rendait particulièrement préoccupante.

Premièrement, le message frauduleux créait une urgence en suggérant qu’un nouvel appareil avait accédé au portefeuille de l’utilisateur. Deuxièmement, le site web contrefait présentait un processus de sécurité apparemment légitime. Enfin, la demande de crédentials de récupération a fourni aux attaquants les informations nécessaires pour reconstituer les portefeuilles affectés.

La démarche décisive n'était pas simplement d'ouvrir la notification. Il s'agissait de divulguer des identifiants pouvant être utilisés pour récupérer le wallet. Selon l'enquête de Bitquery, NGRAVE a indiqué que les utilisateurs ayant uniquement cliqué sur le lien, sans saisir d'informations ni télécharger quoi que ce soit, étaient à l'abri du mécanisme spécifique de vol d'identifiants décrit dans l'incident. Les utilisateurs ayant soumis des identifiants de récupération, en revanche, faisaient face à un risque nettement plus grave.

Combien a été volé et où sont allés les fonds ?

Bitquery a estimé qu'environ 2,65 millions de dollars ont été volés auprès de 84 wallets sur Bitcoin, XRP, Ethereum, Solana, Dogecoin et Stellar. L'enquête menée par NGRAVE a identifié des pertes d'environ 2,56 millions de dollars impliquant environ 70 adresses sur quatre réseaux et a qualifié ce chiffre de minimum. Ces estimations doivent rester séparées car les enquêtes ont porté sur des ensembles d'adresses et d'actifs différents. Bitquery a également reconnu que les registres de transactions blockchain seuls ne permettent pas d'établir que chaque wallet suivi appartenait à un client de NGRAVE.

Le bitcoin a représenté la plus grande part des pertes, suivi des actifs XRP et liés à l'ethereum. Les chiffres suivants sont basés sur l'analyse sur chaîne de Bitquery, avec des valeurs arrondies pour plus de lisibilité.

Blockchain	Pertes estimées	Part du total
Bitcoin (BTC)	1,76 million $	66,40 %
XRP	453 000 $	17,10 %
Ethereum et les jetons associés	315 000 $	11,90 %
Solana (SOL)	77 000 $	2,90 %
Dogecoin (DOGE)	21 000 $	0,80 %
Stellar (XLM)	19 000 $	0,70 %
Total	Environ 2,65 million $	100 %

Comment la cryptomonnaie volée a été transférée

La trace sur chaîne suggère que l'attaquant a utilisé différentes voies selon l'actif concerné. Le bitcoin a été transféré via Chainflip, un service d'échange interchaînes, et converti principalement en Ether. Les actifs ethereum ont été regroupés et transférés via des wallets supplémentaires. Les fonds Solana ont été échangés contre USDC et déplacés entre réseaux à l'aide de services de pont.

Bitquery a suivi des parties de ces fonds à travers des services incluant LI.FI et Mayan avant qu'ils n'atteignent Hyperliquid. Les fonds ont été répartis entre 39 comptes nouvellement créés, qui ont acheté XMR1, un jeton conçu pour suivre le prix de Monero et disponible en retrait sous forme de la cryptomonnaie sous-jacente selon les mécanismes de la plateforme concernée.

Selon Bitquery, les comptes ont acheté un total de 3 592,71 XMR pour environ 2,16 millions de dollars. À 09:00 UTC le 19 octobre, les avoirs étaient évalués à environ 2,12 millions de dollars, et Bitquery a indiqué que les jetons suivis n'avaient pas été vendus ou retirés à ce moment-là. Ces observations sont spécifiques à l'heure : des transactions ultérieures pourraient modifier les soldes et rendre une traçabilité supplémentaire plus difficile. Bitquery n'a pas non plus pu déterminer la destination finale de tous les fonds en XRP, Dogecoin et Stellar.

Le NGRAVE ZERO a-t-il été piraté ?

La distinction entre le service de notification compromis et le wallet matériel lui-même est essentielle pour comprendre l'incident. NGRAVE a déclaré que l'attaque n'a pas directement compromis l'appareil ZERO ni les clés privées stockées dessus. Au lieu de cela, les attaquants ont utilisé un service tiers associé aux notifications LIQUID pour contacter les utilisateurs et les inciter à révéler leurs informations de récupération.

NGRAVE ZERO est conçu pour garder les clés privées hors ligne, tandis que LIQUID permet aux utilisateurs de consulter les informations de leur portefeuille et de gérer les transactions prises en charge. Selon la documentation produit LIQUID de NGRAVE, l'application n'a pas accès aux clés privées stockées sur ZERO. Les deux produits communiquent via des codes QR dans le cadre du flux de transaction prévu. Ces protections peuvent réduire l'exposition aux attaques à distance, mais elles ne peuvent pas empêcher un attaquant de restaurer un wallet ailleurs après avoir obtenu les informations de récupération.

Une phrase de récupération, ou la clé parfaite correspondante selon la terminologie de NGRAVE, fournit les informations nécessaires pour reconstituer l'accès au wallet. Une fois ces informations divulguées, un attaquant peut accéder aux adresses blockchain prises en charge et transférer les actifs sans posséder l'appareil matériel d'origine. C'est pourquoi l'absence d'une vulnérabilité matérielle confirmée ne diminue pas la gravité des pertes.

Ce que l'incident révèle sur la sécurité des wallets matériels

L'attaque illustre que la sécurité des portefeuilles matériels va au-delà de l'appareil physique. L'écosystème environnant comprend les applications complémentaires, les fournisseurs de notifications, les systèmes de gestion de compte, les mises à jour logicielles et les processus de support client. Une faiblesse dans l'un de ces composants peut créer une opportunité d'attaquer les utilisateurs, même si le mécanisme central de stockage des clés reste intact.

Il est donc important de distinguer une compromission cryptographique d’une attaque d’ingénierie sociale. Les preuves disponibles soutiennent cette dernière explication pour cet incident. Elles ne démontrent pas que l’architecture de sécurité de l’appareil ZERO a été compromise, bien que l’incident plus large soulève des questions légitimes sur les contrôles d’accès aux tiers et la manière dont les notifications sensibles en matière de sécurité doivent être authentifiées.

Comment NGRAVE a répondu à l'incident

NGRAVE a indiqué avoir détecté les activités de notifications frauduleuses, révoqué les accès concernés et désactivé l'envoi de notifications pendant l'enquête sur l'incident. Sa réponse publiée a décrit la compromission de l'accès à un fournisseur tiers comme point d'entrée. L'entreprise a ensuite rétabli LIQUID après avoir pris des mesures correctives et exposé des mesures visant à renforcer le système de notifications.

Les modifications annoncées incluent des restrictions plus strictes sur les liens de notification, des exigences supplémentaires d'approbation pour l'envoi de notifications, ainsi que des améliorations à la gestion des clés d'accès et aux procédures d'arrêt d'urgence. Ces mesures corrigent plusieurs des faiblesses mises à jour par l'attaque : des autorisations excessives accordées aux tiers, une séparation insuffisante des responsabilités et le potentiel pour un canal de notification compromis d'atteindre les utilisateurs à grande échelle.

NGRAVE a également indiqué que les attaquants ont accédé à certaines informations liées au système de notification. Les informations potentiellement exposées incluaient les détails des appareils, les informations de pays et de fuseau horaire, les données d'utilisation et les adresses IP. La portée précise de toute exposition de données personnelles doit être distinguée des pertes de cryptomonnaies confirmées, et les utilisateurs doivent se fier aux communications officielles ultérieures pour obtenir des mises à jour sur l'enquête et les mesures de correction.

La réponse soulève également une question plus large au sein de l'industrie : une application de wallet devrait-elle être en mesure d'envoyer une notification de sécurité redirigeant les utilisateurs vers une page demandant des informations de récupération ? Des contrôles plus stricts peuvent réduire le risque d'un service de notification compromis, mais les messages de sécurité doivent également clarifier que les phrases de récupération et les clés privées ne doivent jamais être saisies sur des sites web ni soumises au personnel d'assistance.

Votre wallet NGRAVE est-il sécurisé ? Ce que les utilisateurs doivent faire

La réponse appropriée dépend de ce qu'un utilisateur a fait après avoir reçu une notification suspecte. Recevoir simplement un message ne signifie pas qu'un wallet a été compromis, et cliquer sur un lien n'équivaut pas à divulguer les identifiants de récupération. Toutefois, les utilisateurs ne doivent pas supposer qu'un wallet reste sécurisé uniquement parce que l'appareil matériel d'origine est toujours en leur possession.

Situation de l'utilisateur	Évaluation des risques	Action recommandée
Notification reçue mais non ouverte	Aucune exposition d'identifiants provenant de la notification elle-même	Ignorez le message et vérifiez les annonces via des canaux officiels accessibles indépendamment.
Ouvert le lien, mais aucune information saisie et aucun téléchargement effectué	Moins de risques avec la méthode d'hameçonnage décrite	Fermez la page et évitez toute interaction supplémentaire. Vérifiez la présence de téléchargements, d'installations ou de permissions accordées.
Saisi une phrase de récupération ou une Clé Parfaite	Considérez le wallet correspondant comme compromis	Créez un nouveau wallet avec de nouvelles informations de récupération via un processus de confiance, puis transférez les actifs restants dès que possible en toute sécurité.
Trouvé des transactions non autorisées ou des actifs manquants	Les actifs ont peut-être déjà été transférés au-delà de toute récupération directe	Conservez les hachages de transaction, les adresses wallet, les horodatages, les captures d’écran et les URLs suspectes ; contactez le support officiel et les autorités compétentes ou les plateformes d’échange concernées.

Que faire si vous avez saisi votre phrase de récupération

Si vous avez soumis votre phrase de récupération ou votre Clé Parfaite au site web frauduleux, considérez chaque wallet pouvant être reconstitué à partir de ces identifiants comme potentiellement compromis. N'utilisez plus ces identifiants exposés, et ne supposez pas que déplacer l'appareil matériel d'origine à un autre emplacement restaurera la sécurité.

En utilisant un appareil de confiance et une procédure de récupération vérifiée, créez un nouveau wallet avec de nouvelles informations de récupération complètement nouvelles. Transférez tous les actifs restants du wallet compromis vers le nouveau wallet, en vérifiant soigneusement chaque adresse de destination. Si les identifiants d'origine protègent des actifs sur plusieurs réseaux, examinez chaque réseau pris en charge plutôt que de vérifier uniquement le wallet où la première transaction suspecte est apparue.

Les utilisateurs doivent également être vigilants face aux arnaques de suivi. Les attaquants peuvent se faire passer pour des représentants du service client, promettre de récupérer des actifs volés ou demander des identifiants et des frais supplémentaires. Les phrases de récupération et les clés privées ne doivent jamais être partagées avec un agent de support ni saisies sur un site web uniquement parce qu'un message affirme que cette action est nécessaire pour sécuriser les fonds.

Toute personne ayant perdu des actifs doit conserver les preuves de transaction et signaler l'incident rapidement. Les transferts de cryptomonnaies sont généralement difficiles à annuler une fois confirmés, mais une documentation et un signalement opportuns peuvent aider les enquêtes ou permettre aux plateformes d'identifier des fonds suspects.

Ce que l'attaque signifie pour la sécurité des wallets matériels

L'incident NGRAVE met en lumière trois leçons plus larges pour l'industrie des cryptomonnaies. Premièrement, les fournisseurs de services tiers peuvent devenir un point faible de sécurité, même lorsque le produit principal est conçu pour garder les identifiants sensibles hors ligne. Les fabricants de wallets doivent appliquer des contrôles d'accès stricts, minimiser les privilèges des tiers, renouveler les identifiants lorsque cela est approprié, surveiller les activités inhabituelles et maintenir un moyen efficace de désactiver les services compromis.

Deuxièmement, les notifications fiables ne doivent pas remplacer la vérification indépendante. Les utilisateurs sont habitués à considérer les messages provenant d'applications installées comme plus crédibles que les courriels non sollicités ou les publications sur les réseaux sociaux. Cette attaque a exploité précisément cette hypothèse. Les fournisseurs de wallets doivent concevoir les alertes de sécurité de manière à ce que les utilisateurs puissent les vérifier indépendamment et ne doivent jamais normaliser les demandes de saisir des phrases de récupération dans un formulaire web.

Troisièmement, la garde autonome exige bien plus qu'un simple achat d'un appareil matériel. Elle dépend également de la protection des identifiants de récupération, de la vérification des transactions, des pratiques sécurisées pour les appareils et de la compréhension de ce à quoi devrait ressembler un processus de récupération légitime. Les wallets matériels peuvent réduire certains risques techniques, mais aucun produit ne peut protéger entièrement un utilisateur qui divulgue volontairement les identifiants contrôlant ses actifs.

Pour les fabricants de wallets, cet incident souligne la nécessité de considérer l'ensemble de l'expérience utilisateur comme faisant partie de la frontière de sécurité. Pour les utilisateurs, le principe le plus important reste simple : les crédentials de récupération doivent rester privés et hors ligne, et toute demande inattendue de les divulguer doit être considérée comme un signe d'alerte sérieux.

Conclusion

L'attaque de phishing NGRAVE LIQUID démontre que la sécurité des portefeuilles matériels dépend de plus que de simplement garder les clés privées hors ligne. Les attaquants auraient exploité un service de notification tiers, utilisé des alertes de sécurité frauduleuses pour gagner la confiance des utilisateurs, et obtenu des informations de récupération leur permettant de transférer des cryptomonnaies sans accéder directement aux appareils matériels d'origine. Bitquery a estimé les pertes suivies à environ 2,65 millions de dollars, tandis que NGRAVE a signalé une estimation minimale distincte d'environ 2,56 millions de dollars. Ces deux chiffres soulignent les conséquences financières d'une chaîne de communication compromise et d'un ingénierie sociale réussie.

Pour les utilisateurs, la priorité immédiate est de déterminer si les identifiants de récupération ont été divulgués et d'agir en conséquence. Pour les fournisseurs de wallets, cet incident souligne l'importance de contrôles d'accès stricts aux tiers, de notifications de sécurité vérifiables indépendamment et d'avertissements clairs contre le partage d'informations de récupération. Un wallet matériel reste un outil important d'auto-gestion, mais sa protection dépend de la confidentialité des identifiants permettant de restaurer l'accès aux actifs des utilisateurs.

🔥 Au-delà des titres : ce que KuCoin 5.0 signifie pour vous

Les actualités du marché évoluent rapidement — mais où vous agissez dessus compte tout autant. Ce octobre, KuCoin lance KuCoin 5.0, transformant KuCoin en une plateforme entièrement重构. Voici ce qui change réellement pour vous :

Un seul compte pour tout. Les anciennes plateformes répartissaient votre argent entre des comptes séparés « spot », « marge » et « futures » et s'attendaient à ce que vous compreniez pourquoi. Le compte unifié de KuCoin 5.0 élimine complètement cela — déposez une seule fois, et tout est simplement disponible (actuellement uniquement disponible pour les VIP).
Actions, indices et matières premières. KuCoin 5.0 s'étend au-delà du crypto vers les marchés mondiaux. Lorsque le crypto stagne et que les actions progressent (ou l'inverse), vous effectuez une rotation en quelques minutes au lieu d'ouvrir un compte de courtage et d'attendre des jours pour les voies monétaires.
Actifs du monde réel (RWA). Une exposition tokenisée à des actifs traditionnels comme les matières premières, directement dans votre compte crypto. L’un des segments à la croissance la plus rapide de la finance mondiale n’est plus réservé aux institutions — vous y accédez depuis le même solde que celui que vous utilisez pour trader.
Gagnez tout en apprenant. Pas prêt à trader ? KCUSD permet à vos stablecoins de générer des intérêts quotidiens, avec un auto-compound. La méthode la moins stressante pour faire travailler vos dépôts inactifs avec un rendement de 4 %.
Un assistant IA en langage simple. Posez des questions, obtenez du contexte sur le marché, comprenez ce que vous voyez — intégré à la plateforme, aucun jargon nécessaire.
Une application qui ne submerge pas. Plus rapide, plus propre et cohérente — intuitive dès le premier toucher, sans besoin de tutoriel.
Sécurité que vous pouvez vérifier, et non simplement confier. Une entité européenne autorisée MiCAR, Proof of Reserves que vous pouvez vérifier vous-même, et une sécurité certifiée internationalement (SOC 2 Type II, ISO 27001:2022).

Créez votre compte en quelques minutes — et commencez sur la plateforme conçue pour où va la crypto, pas où elle en est venue.

FAQ

NGRAVE a-t-il été piraté ?

NGRAVE a indiqué que des attaquants ont compromis l'accès lié à un fournisseur tiers responsable des notifications push LIQUID. Les preuves disponibles pointent vers une attaque d'hameçonnage ayant volé les identifiants de récupération des utilisateurs, et non vers une violation confirmée du mécanisme de stockage des clés privées du wallet matériel ZERO.

Combien a été volé lors de l’attaque d’hameçonnage NGRAVE ?

Bitquery a estimé qu'environ 2,65 millions de dollars ont été prélevés sur 84 wallets à travers six réseaux blockchain. NGRAVE a séparément traqué environ 2,56 millions de dollars sur environ 70 adresses sur quatre réseaux. Les chiffres diffèrent car les enquêtes ont couvert des ensembles d'adresses et d'actifs différents.

NGRAVE ZERO est-il toujours sûr à utiliser ?

L'incident ne prouve pas que le wallet matériel ZERO lui-même a été compromis. Toutefois, les utilisateurs doivent suivre les mises à jour de sécurité officielles de NGRAVE, éviter les liens suspects et considérer comme compromis tous les identifiants de récupération saisis sur le site Web d’hameçonnage. La sécurité de l'appareil ne restaure pas le secret des identifiants déjà divulgués.

Que dois-je faire si j’ai seulement cliqué sur le lien d’hameçonnage ?

NGRAVE a indiqué que les utilisateurs n'ayant cliqué que sur le lien sans saisir d'informations ni télécharger quoi que ce soit étaient à l'abri du mécanisme spécifique de vol d'identifiants décrit. Fermez la page, évitez toute interaction supplémentaire, et vérifiez si quelque chose a été téléchargé ou si des autorisations ont été accordées. Si vous avez saisi des informations de récupération, suivez les mesures plus urgentes décrites ci-dessus.

Peut-on récupérer une cryptomonnaie volée ?

La récupération est incertaine. Les transactions blockchain confirmées ne peuvent généralement pas être annulées par l'expéditeur, et la traçabilité des fonds ne garantit pas leur retour. Préserver les preuves de la transaction et signaler rapidement l'incident peut aider les enquêteurs ou les plateformes concernées à identifier et, le cas échéant, à bloquer les fonds dans la mesure permise par leurs systèmes et procédures applicables.

Clause de non-responsabilité : Cet article a uniquement une vocation informative et ne constitue pas un conseil en investissement ou en finance. Les transactions en cryptomonnaies comportent des risques, et les actifs volés peuvent ne pas être récupérables.

Avertissement : Pour votre confort, cette page a été traduite à l'aide de la technologie IA. Pour obtenir les informations à la source, consultez la version anglaise originale.