Фишинг-атака на NGRAVE LIQUID: что произошло и безопасен ли ваш кошелек?

Фишинг-атака на NGRAVE LIQUID: что произошло и безопасен ли ваш кошелек?

Пользовательское изображение
Фишинговая атака, направленная на сопутствующее приложение NGRAVE LIQUID, была связана с потерями криптовалюты на сумму около 2,65 млн долларов США в 84 кошельках, согласно компании по анализу блокчейна Bitquery. Инцидент начался 17 октября 2026 года, когда злоумышленники воспользовались сторонней службой push-уведомлений для распространения фальшивых уведомлений о безопасности, выглядящих как будто они исходят от приложения кошелька. Жертвы, следовавшие этим уведомлениям, попадали на поддельный веб-сайт, где их просили ввести свои фразы восстановления или NGRAVE Perfect Keys, что позволяло злоумышленникам воссоздавать кошельки и переводить активы без физического доступа к исходным аппаратным устройствам.
 
Инцидент подчеркивает важное различие в безопасности криптовалют: аппаратный кошелек может защитить закрытые ключи от многих онлайн-угроз, но не может предотвратить потери, если пользователи раскрывают данные, необходимые для восстановления своих кошельков. NGRAVE заявила, что ее аппаратный кошелек ZERO и закрытые ключи, хранящиеся на устройстве, не были напрямую скомпрометированы. Тем не менее, атака поднимает более широкие вопросы о безопасности сторонних сервисов, уведомлениях от доверенных приложений и ответственности провайдеров самохранения. Понимание того, как разворачивалась атака, куда были направлены похищенные средства и какие пользователи могут оставаться под угрозой, крайне важно для всех, кто управляет цифровыми активами.

Основные выводы

  • Оценочные потери достигли 2,65 миллиона долларов: Bitquery отследила переводы криптовалют из 84 кошельков на шести блокчейн-сетях. NGRAVE отдельно сообщила о примерно 2,56 миллиона долларов потерь около 70 адресов кошельков на четырех сетях. Оценки отражают разные объемы расследований, и не каждый адрес в анализе Bitquery можно однозначно отнести к клиенту NGRAVE.
  • Атака использовала доверенный канал связи: злоумышленники скомпрометировали доступ, связанный с сторонним сервисом, отвечающим за push-уведомления LIQUID, и использовали его для доставки мошеннических предупреждений о безопасности.
  • Рекавери-данные были ключевой целью: жертв убедили ввести свои рекавери-фразы или NGRAVE Perfect Keys на поддельном веб-сайте, что позволило злоумышленникам восстановить кошельки в другом месте и произвести перевод средств.
  • Большая часть отслеживаемых средств была конвертирована в XMR1: Bitquery сообщила, что примерно $2,16 миллиона было использовано для покупки 3 592,71 токенов XMR1 через 39 новых аккаунтов Hyperliquid. Это представляло собой зафиксированную позицию по состоянию на 19 октября, а не подтвержденный текущий баланс.
  • Пользователи должны действовать в зависимости от степени экспозиции: те, кто просто перешел по ссылке, подвергаются другому риску, чем те, кто предоставил данные для восстановления. Любой, кто раскрыл фразу восстановления, должен считать соответствующий кошелек скомпрометированным.

Что произошло во время фишинговой атаки на NGRAVE LIQUID?

Атака использовала доверие пользователей к уведомлениям от LIQUID — мобильного приложения-спутника аппаратного кошелька NGRAVE ZERO. Согласно официальному отчету о инциденте от NGRAVE, опубликованному 19 октября, злоумышленники перехватили доступ, связанный с поставщиком сторонних уведомлений, и отправили фальшивые уведомления о безопасности 17 октября. Сообщения предупреждали получателей, что их портфели криптовалют были синхронизированы с новым устройством, создавая впечатление, что неавторизованный человек получил доступ к их аккаунтам.
 
Уведомления направляли пользователей на поддельный веб-сайт, имитирующий официальный интерфейс NGRAVE. Страница отображала экран подтверждения безопасности с обратным отсчетом и опцией отказа от предполагаемой синхронизации. Выбор этой опции перенаправлял пользователей на другую страницу, запрашивающую их данные для восстановления. Эта последовательность создавала впечатление, что запрос является необходимой процедурой безопасности, а не попыткой получить доступ к кошельку.
 
Первый публично идентифицированный слив кошелька произошел примерно в 21:36 UTC 17 октября, согласно Bitquery. Кражи продолжались до 18 октября, причем последняя транзакция в отслеживаемой цепочке произошла незадолго до 04:00 UTC. NGRAVE сообщила, что отключила受影响ую функцию уведомлений и восстановила сервис LIQUID после принятия корректирующих мер. Инцидент демонстрирует, как злоумышленники могут эксплуатировать легитимный канал связи, не нарушая криптографическую защиту самого кошелька.

Как работал фишинговый механизм

Атака следовала знакомому социальному инженерному шаблону, но кажущаяся легитимность уведомления сделала её особенно тревожной.
 
Во-первых, мошенническое сообщение создавало срочность, намекая, что новое устройство получило доступ к портфелю пользователя. Во-вторых, поддельный веб-сайт представлял собой кажущийся легитимным процесс безопасности. Наконец, запрос реквизитов для восстановления предоставил злоумышленникам информацию, необходимую для восстановления затронутых кошельков.
 
Решающим шагом было не просто открытие уведомления. Это было раскрытие учетных данных, которые можно было использовать для восстановления кошелька. Согласно расследованию Bitquery, NGRAVE сообщила, что пользователи, которые просто кликнули по ссылке, не вводя информацию и не скачивая ничего, были защищены от конкретного механизма кражи учетных данных, описанного в инциденте. Однако пользователи, предоставившие учетные данные для восстановления, столкнулись с значительно более серьезным риском.

Сколько было украдено и куда делись средства?

Bitquery оценил, что примерно 2,65 миллиона долларов было похищено из 84 кошельков на Bitcoin, XRP, Ethereum, Solana, Dogecoin и Stellar. Собственное расследование NGRAVE выявило потери примерно в 2,56 миллиона долларов, связанные с около 70 адресами кошельков на четырех сетях, и назвало эту цифру минимальной. Эти оценки следует сохранять отдельно, так как расследования охватывали разные наборы адресов и активов. Bitquery также признал, что одних записей транзакций блокчейна недостаточно для подтверждения того, что каждый отслеживаемый кошелек принадлежал клиенту NGRAVE.
 
Bitcoin составил наибольшую долю потерь, за ним следуют XRP и активы, связанные с ethereum. Приведенные данные основаны на анализе цепочки блоков от Bitquery, значения округлены для удобства восприятия.
Блокчейн Оценочные потери Доля от общего
Bitcoin (BTC) 1,76 миллиона долларов 66,40%
XRP 453 000 $ 17,10%
Ethereum и связанные токены 315 000 $ 11,90%
Solana (SOL) 77 000 $ 2,90%
Dogecoin (DOGE) $21 000 0,80%
Stellar (XLM) $19 000 0,70%
Всего Примерно 2,65 миллиона долларов 100%

Как была перемещена украденная криптовалюта

Цепочка действий в блокчейне указывает, что атакующий использовал разные маршруты в зависимости от активов. Bitcoin был переведен через Chainflip — сервис кросс-чейн обмена — и в основном конвертирован в Ether. Эфирные активы были консолидированы и переданы через дополнительные кошельки. Средства Solana были обменены на USDC и перемещены между сетями с использованием мостов.
 
Bitquery отследил части этих средств через сервисы, включая LI.FI и Mayan, прежде чем они достигли Hyperliquid. Средства были распределены между 39 новыми аккаунтами, которые приобрели XMR1 — токен, предназначенный для отслеживания цены Monero и доступный для вывода в виде базовой криптовалюты в соответствии с механизмами соответствующей платформы.
 
Согласно Bitquery, аккаунты приобрели в совокупности 3 592,71 XMR на сумму примерно 2,16 миллиона долларов США. На 09:00 UTC 19 октября активы оценивались примерно в 2,12 миллиона долларов США, и Bitquery сообщила, что отслеживаемые токены на тот момент не были проданы или выведены. Эти наблюдения являются временно специфичными: последующие транзакции могут изменить балансы и затруднить дальнейшее отслеживание. Bitquery также не смогла установить конечное назначение всех средств XRP, Dogecoin и Stellar.

Был ли NGRAVE ZERO взломан?

Различие между скомпрометированным сервисом уведомлений и самим аппаратным кошельком является ключевым для понимания инцидента. NGRAVE заявила, что атака не привела к прямому компрометации устройства ZERO или приватных ключей, хранящихся на нем. Вместо этого злоумышленники использовали сторонний сервис, связанный с уведомлениями LIQUID, чтобы достичь пользователей и убедить их раскрыть свои резервные учетные данные.
 
NGRAVE ZERO разработан для хранения закрытых ключей в оффлайне, а LIQUID позволяет пользователям просматривать информацию о портфеле и управлять поддерживаемыми транзакциями. Согласно документации продукта NGRAVE LIQUID, приложение не имеет доступа к закрытым ключам, хранящимся на ZERO. Эти два продукта взаимодействуют через QR-коды в рамках предполагаемого рабочего процесса транзакций. Такие меры защиты могут снизить риск удаленных атак, но не могут предотвратить восстановление кошелька в другом месте после получения информации для восстановления.
 
Фраза восстановления, или соответствующий Perfect Key в терминологии NGRAVE, предоставляет информацию, необходимую для восстановления доступа к кошельку. Как только эта информация раскрыта, злоумышленник может получить доступ к поддерживаемым адресам блокчейна и осуществлять перевод активов, не имея оригинального аппаратного устройства. Именно поэтому отсутствие подтвержденной уязвимости аппаратного обеспечения не делает потери менее серьезными.

Что инцидент раскрывает о безопасности аппаратных кошельков

Атака демонстрирует, что безопасность аппаратных кошельков выходит за рамки самого физического устройства. Сопутствующая экосистема включает сопутствующие приложения, поставщиков уведомлений, системы управления аккаунтами, программные обновления и процессы поддержки клиентов. Уязвимость в одном из этих компонентов может создать возможность для атаки на пользователей, даже если основной механизм хранения ключей остается нетронутым.
 
Поэтому важно различать криптографическое нарушение и атаку социальной инженерии. Доступные данные поддерживают последнее объяснение этого инцидента. Они не подтверждают, что архитектура безопасности устройства ZERO была нарушена, хотя сам инцидент вызывает законные вопросы относительно контроля доступа третьих сторон и того, как должны аутентифицироваться уведомления, связанные с безопасностью.

Как NGRAVE отреагировала на инцидент

NGRAVE сообщила, что обнаружила мошенническую активность с уведомлениями, отозвала доступ受影响ых пользователей и отключила отправку уведомлений во время расследования инцидента. В опубликованном ответе компания указала, что точкой входа стало компрометирование доступа стороннего провайдера. После принятия корректирующих мер компания восстановила LIQUID и описала меры, направленные на усиление системы уведомлений.
 
Объявленные изменения включили более строгие ограничения на ссылки уведомлений, дополнительные требования к одобрению отправки уведомлений и улучшения в управлении ключами доступа и процедурах аварийного отключения. Эти меры устраняют несколько уязвимостей, выявленных в результате атаки: чрезмерные права сторонних лиц, недостаточное разделение обязанностей и потенциальную возможность масштабного достижения пользователей через скомпрометированный канал уведомлений.
 
NGRAVE также сообщила, что злоумышленники получили доступ к некоторой информации, связанной с системой уведомлений. Потенциально раскрытая информация включала данные об устройствах, страну и часовой пояс, данные об использовании и IP-адреса. Точный объем возможного раскрытия персональных данных следует отличать от подтвержденных потерь криптовалюты, и пользователям следует полагаться на последующие официальные сообщения для получения обновлений об расследовании и устранении последствий.
 
Ответ также поднимает более широкий отраслевой вопрос: должен ли кошелек иметь возможность отправлять уведомление о безопасности, которое направляет пользователей на страницу с запросом данных для восстановления? Более строгие меры могут снизить риск компрометации службы уведомлений, но сообщения о безопасности также должны четко указывать, что фразы для восстановления и частные ключи никогда не следует вводить на веб-сайтах или отправлять сотрудникам службы поддержки.

Безопасен ли ваш кошелек NGRAVE? Что должны сделать пользователи

Правильный ответ зависит от того, что пользователь сделал после получения подозрительного уведомления. Простое получение сообщения не означает, что кошелек был скомпрометирован, а клик по ссылке не эквивалентен раскрытию данных для восстановления. Однако пользователям не следует считать, что кошелек остается безопасным просто потому, что исходное аппаратное устройство все еще у них есть.
Ситуация пользователя Оценка рисков Рекомендуемое действие
Получено уведомление, но не открыто Нет раскрытия учетных данных из самого уведомления Игнорируйте сообщение и проверяйте анонсы через независимо доступные официальные каналы.
Открыл ссылку, но не ввел никакой информации и ничего не скачал Сниженный риск от описанного конкретного фишингового метода Закройте страницу и избегайте дальнейшего взаимодействия. Проверьте наличие загрузок, установок или предоставленных разрешений.
Введен восстановительный фраза или Perfect Key Считайте соответствующий кошелек скомпрометированным Создайте новый кошелек с новыми рекавери-данными с помощью надежного процесса, затем как можно скорее переведите оставшиеся активы.
Обнаружены неавторизованные транзакции или отсутствующие активы Активы могут уже быть переведены за пределы прямого восстановления Сохраняйте хеши транзакций, адреса кошельков, временные метки, скриншоты и подозрительные URL-адреса; свяжитесь с официальной поддержкой и соответствующими биржами или правоохранительными органами.

Что делать, если вы ввели свою восстановительную фразу

Если вы отправили свою фразу восстановления или Perfect Key на мошеннический веб-сайт, считайте каждый кошелек, который можно восстановить с помощью этих данных, потенциально скомпрометированным. Не используйте более раскрытые учетные данные и не полагайтесь на то, что перемещение исходного аппаратного устройства в другое место восстановит безопасность.
 
Используя надежное устройство и проверенную процедуру восстановления, создайте новый кошелек с совершенно новыми данными для восстановления. Переведите все оставшиеся активы из скомпрометированного кошелька в новый кошелек, тщательно проверяя каждый адрес назначения. Если исходные учетные данные защищают активы на нескольких сетях, проверьте каждую поддерживаемую сеть, а не только тот кошелек, где появилось первое подозрительное движение.
 
Пользователям также следует быть внимательными к мошенничеству после атаки. Злоумышленники могут выдавать себя за представителей службы поддержки, обещать вернуть украденные активы или запрашивать дополнительные учетные данные и платежи. Фразы для восстановления и частные ключи никогда не следует передавать агенту поддержки или вводить на веб-сайте только потому, что сообщение утверждает, что это действие необходимо для защиты средств.
 
Любой, кто потерял активы, должен сохранить доказательства транзакций и сообщить о инциденте своевременно. Переводы криптовалют обычно трудно отменить после подтверждения, но своевременная документация и сообщение могут помочь в расследовании или помочь платформам выявить подозрительные средства.

Что значит эта атака для безопасности аппаратных кошельков

Инцидент с NGRAVE подчеркивает три более широких урока для индустрии криптовалют. Во-первых, сторонние поставщики услуг могут стать слабым местом в безопасности, даже если основной продукт разработан для хранения конфиденциальных учетных данных оффлайн. Производителям кошельков необходимо применять строгий контроль доступа, минимизировать привилегии сторонних лиц, своевременно менять учетные данные, отслеживать необычную активность и обеспечивать эффективный способ отключения скомпрометированных сервисов.
 
Во-вторых, надежные уведомления не должны заменять независимую проверку. Пользователи привыкли воспринимать сообщения от установленных приложений как более надежные, чем незапрашиваемые электронные письма или посты в социальных сетях. Именно эту предпосылку и использовала данная атака. Провайдеры кошельков должны проектировать уведомления о безопасности таким образом, чтобы пользователи могли проверять их независимо, и никогда не должны нормализовать запросы на ввод фразы восстановления в веб-форму.
 
В-третьих, самохранение требует больше, чем просто покупка аппаратного устройства. Оно также зависит от защиты рекавери-данных, верификации транзакций, безопасного использования устройства и понимания того, как должен выглядеть легитимный процесс восстановления. Аппаратные кошельки могут снизить некоторые технические риски, но ни один продукт не может полностью защитить пользователя, который добровольно раскрывает учетные данные, контролирующие его активы.
 
Для производителей кошельков инцидент подчеркивает необходимость рассматривать весь пользовательский опыт как часть границы безопасности. Для пользователей самый важный принцип остается простым: резервные учетные данные должны оставаться конфиденциальными и оффлайн, а любой неожиданный запрос их раскрыть следует воспринимать как серьезный сигнал тревоги.

Заключение

Фишинговая атака NGRAVE LIQUID демонстрирует, что безопасность аппаратных кошельков зависит не только от хранения закрытых ключей оффлайн. Злоумышленники, как сообщается, воспользовались сторонним сервисом уведомлений, использовали мошеннические уведомления о безопасности для завоевания доверия пользователей и получили данные для восстановления, что позволило им осуществлять переводы криптовалюты без прямого доступа к исходным аппаратным устройствам. Bitquery оценил отслеживаемые потери примерно в 2,65 миллиона долларов, в то время как NGRAVE сообщила отдельную минимальную оценку в около 2,56 миллиона долларов. Обе цифры подчеркивают финансовые последствия компрометации канала связи и успешной социальной инженерии.
 
Для пользователей приоритетом является определение, были ли раскрыты данные для восстановления, и соответствующее действие. Для провайдеров кошельков инцидент подчеркивает важность строгого контроля доступа третьих лиц, независимо проверяемых уведомлений о безопасности и четких предупреждений против раскрытия информации для восстановления. Аппаратный кошелек остается важным инструментом самохранения, но его защита зависит от того, что пользователи сохраняют в тайне данные, необходимые для восстановления доступа к их активам.

🔥 За кулисами новостей: что значит KuCoin 5.0 для вас

Новости рынка движутся быстро — но то, где вы на них реагируете, имеет не меньшее значение. В этом октябре KuCoin запускает KuCoin 5.0, превращая KuCoin в перестроенную платформу. Вот что реально изменится для вас:
 
  • Один аккаунт для всего. Старые платформы разделяли ваши средства между отдельными аккаунтами «спот», «маржа» и «фьючерсы» и ожидали, что вы поймете, почему. Единый аккаунт KuCoin 5.0 полностью устраняет это — сделайте депозит один раз, и всё будет просто доступно (на данный момент доступно только для VIP-пользователей).
  • Акции, индексы и товары. KuCoin 5.0 расширяется за пределы криптовалют на глобальные рынки. Когда криптовалюты движутся боком, а акции растут (или наоборот), вы переключаетесь за минуты, вместо того чтобы открывать брокерский аккаунт и ждать несколько дней для вывода фиата.
  • Реальные активы (RWA). Токенизированное участие в традиционных активах, таких как сырьё, прямо в вашем криптоаккаунте. Один из самых быстрорастущих сегментов мировой финансовой системы больше не доступен только институциональным инвесторам — вы получаете к нему доступ через тот же баланс, который используете для торговли.
  • Зарабатывайте, пока учитесь. Еще не готовы торговать? KCUSD позволяет вашим стейблкоинам получать ежедневный автокомпаундный доход. Самый спокойный способ заставить ваши неиспользуемые депозиты работать с доходностью 4%.
  • ИИ-помощник на простом языке. Задавайте вопросы, получайте контекст рынка, понимайте, что вы видите — всё встроено в платформу, без жаргона.
  • Приложение, которое не перегружает. Быстрее, чище и последовательно — интуитивно понятно с первого касания, а не после обучения.
  • Безопасность, которую можно проверить, а не просто доверять. Европейская организация с лицензией MiCAR, Proof of Reserves, которую вы можете проверить самостоятельно, и международно сертифицированная безопасность (SOC 2 Type II, ISO 27001:2022).
 
Создайте аккаунт за несколько минут — и начните работать на платформе, созданной для того, куда движется криптовалюта, а не туда, где она была.

ЧаВо

Был ли NGRAVE взломан?

NGRAVE сообщила, что злоумышленники получили доступ, связанный с третьей стороной, отвечающей за push-уведомления LIQUID. Доступные данные указывают на фишинговую атаку, в ходе которой были похищены восстановительные данные пользователей, а не на подтвержденное проникновение в механизм хранения закрытых ключей аппаратного кошелька ZERO.

Сколько было похищено в фишинговой атаке на NGRAVE?

Bitquery оценил, что примерно 2,65 миллиона долларов было похищено из 84 кошельков на шести блокчейн-сетях. NGRAVE отдельно отследила примерно 2,56 миллиона долларов по около 70 адресам на четырех сетях. Цифры различаются, поскольку расследования охватывали разные наборы адресов и активов.

Безопасно ли все еще использовать NGRAVE ZERO?

Инцидент не подтверждает, что само аппаратное кошельковое устройство ZERO было скомпрометировано. Однако пользователям следует следить за официальными обновлениями безопасности от NGRAVE, избегать подозрительных ссылок и считать любые рекавери-данные, введенные на фишинговом сайте, скомпрометированными. Безопасность устройства не восстанавливает секретность данных, которые уже были раскрыты.

Что мне делать, если я просто перешел по фишинговой ссылке?

NGRAVE указала, что пользователи, которые просто кликнули на ссылку, не вводили информацию и ничего не скачивали, безопасны от описанного механизма кражи учетных данных. Закройте страницу, избегайте дальнейшего взаимодействия и проверьте, не было ли скачано ничего или не были ли предоставлены какие-либо разрешения. Если вы ввели информацию для восстановления, выполните более срочные действия, описанные выше.

Можно ли восстановить украденную криптовалюту?

Восстановление не гарантировано. Подтвержденные транзакции в блокчейне, как правило, не могут быть отменены отправителем, и отслеживание средств не гарантирует их возврат. Сохранение доказательств транзакции и своевременное сообщение о инциденте может помочь следователям или соответствующим платформам выявить и, при наличии возможностей их систем и применимых процедур, ограничить доступ к средствам.
 
Отказ от ответственности: Эта статья предназначена исключительно для информационных целей и не является инвестиционной или финансовой консультацией. Транзакции с криптовалютой сопряжены с рисками, и украденные активы могут быть не подлежать возврату.

Отказ от ответственности: Эта страница была переведена для вашего удобства с использованием технологии искусственного интеллекта. Для получения наиболее точной информации обратитесь к оригинальной английской версии.