Фішинг-атака на NGRAVE LIQUID: що відбулося і чи безпечний ваш гаманець?

2026/10/21 16:18:00

Фішингова атака, спрямована на супутній додаток NGRAVE LIQUID, була пов’язана з втратами криптовалют на суму приблизно 2,65 мільйона доларів США в 84 гаманцях, згідно з аналітичною фірмою блокчейну Bitquery. Інцидент розпочався 17 жовтня 2026 року, коли нападники використали сторонній сервіс надсилання сповіщень для розповсюдження шахрайських попереджень безпеки, які мали вигляд, ніби походять від додатка гаманця. Жертви, які дотримувалися цих сповіщень, потрапляли на підроблений веб-сайт, де їх просили ввести свої фрази відновлення або NGRAVE Perfect Keys, що дозволяло нападникам відтворити гаманці та переказати активи, не маючи фізичного доступу до оригінальних апаратних пристроїв.

Інцидент підкреслює важливу відмінність у безпеці криптовалют: апаратний гаманець може захистити приватні ключі від багатьох онлайн-погроз, але не може запобігти втратам, якщо користувачі розкривають дані, необхідні для відновлення своїх гаманців. NGRAVE зазначила, що її апаратний гаманець ZERO та приватні ключі, збережені на пристрої, не були безпосередньо скомпрометовані. Однак атака викликає ширші питання щодо безпеки сторонніх сервісів, сповіщень від довірених додатків та відповідальності провайдерів самокерованого зберігання. Розуміння того, як відбулася атака, куди поділися вкрадені кошти та які користувачі можуть залишатися під загрозою, є важливим для будь-кого, хто керує цифровими активами.

Основні висновки

Оцінені збитки досягли $2,65 мільйона: Bitquery відстежив перекази криптовалют з 84 гаманців на шести блокчейн-мережах. NGRAVE окремо повідомила про збитки приблизно на $2,56 мільйона через близько 70 адрес гаманців на чотирьох мережах. Оцінки відображають різні обсяги розслідувань, і не кожна адреса в аналізі Bitquery може бути однозначно пов’язана з клієнтом NGRAVE.
Атака використала довірений канал зв’язку: зловмисники скомпрометували доступ, пов’язаний із стороннім сервісом, відповідальним за LIQUID push-сповіщення, і використали його для надсилання шахрайських попереджень щодо безпеки.
Відновлювальні дані були критичною метою: жертвам переконували ввести свої відновлювальні фрази або NGRAVE Perfect Keys на підробленому веб-сайті, що дозволило нападникам відновити гаманці в іншому місці та здійснити переказ коштів.
Більшість відстежених коштів було конвертовано в XMR1: Bitquery повідомив, що приблизно $2,16 мільйона було використано для покупки 3 592,71 токенів XMR1 через 39 нових акаунтів Hyperliquid. Це представляло спостережувану позицію станом на 19 жовтня, а не підтверджений поточний баланс.
Користувачі повинні реагувати залежно від ступеня витоку: ті, хто лише клацнув по посиланню, стикаються з іншим ризиком, ніж ті, хто надав рекаверні дані. Будь-хто, хто розкрив рекаверний фразу, повинен вважати відповідний гаманець скомпрометованим.

Що відбулося під час фішингової атаки на NGRAVE LIQUID?

Атака використала довіру користувачів до сповіщень від LIQUID — мобільного додатка-помічника для апаратного гаманця NGRAVE ZERO. За офіційним звітом про інцидент від NGRAVE, опублікованим 19 жовтня, нападники перехопили доступ до постачальника сповіщень третьої сторони і відправили шахрайські попередження 17 жовтня. Повідомлення попереджали отримувачів, що їхні портфелі криптовалют були синхронізовані з новим пристроєм, створюючи враження, що до їхніх акаунтів отримав неавторизований доступ.

Сповіщення направляли користувачів на фальшивий веб-сайт, створений для імітації офіційного інтерфейсу NGRAVE. Сторінка відображала екран підтвердження безпеки зі зворотним відліком та опцією відмовитися від припустимої синхронізації. Вибір цієї опції переносив користувачів на іншу сторінку, де їм запитували їхні рекавер-дані. Ця послідовність робила запит видимим як необхідну процедуру безпеки, а не спробу отримати доступ до гаманця.

Перший публічно ідентифікований вивід коштів з гаманця відбувся приблизно о 21:36 UTC 17 жовтня, за даними Bitquery. Крадіжки тривали до 18 жовтня, а остання транзакція у відстежуваній послідовності відбулася трохи раніше за 04:00 UTC. NGRAVE повідомила, що вимкнула функцію сповіщення, яка була вплинута, а потім відновила сервіс LIQUID після виконання корективних заходів. Цей інцидент демонструє, як зловмисники можуть експлуатувати легітимний канал зв’язку, не маючи потреби порушувати криптографічну захистну систему гаманця.

Як працював фішинговий механізм

Атака слідувала знайомому патерну соціальної інженерії, але здається, що легітимність сповіщення робила її особливо тривожною.

Спочатку шахрайське повідомлення створило терміновість, стверджуючи, що новий пристрій отримав доступ до портфеля користувача. По-друге, підроблений веб-сайт представляв здавалося б легітимний процес безпеки. Нарешті, запит на відновлення облікових даних надав нападникам інформацію, необхідну для відновлення пошкоджених гаманців.

Вирішальним кроком було не просто відкриття сповіщення, а розкриття облікових даних, які можна використати для відновлення гаманця. За даними розслідування Bitquery, NGRAVE зазначила, що користувачі, які лише натиснули на посилання, не вводили жодної інформації та не завантажували нічого, були захищені від конкретного механізму крадіжки облікових даних, описаного у інциденті. Однак користувачі, які надали дані для відновлення, зіткнулися з набагато більш серйозним ризиком.

Скільки було вкрадено і куди поділися кошти?

Bitquery оцінив, що приблизно $2,65 мільйона було викрадено з 84 гаманців на Bitcoin, XRP, Ethereum, Solana, Dogecoin та Stellar. Власне розслідування NGRAVE виявило збитки на суму близько $2,56 мільйона, що стосуються приблизно 70 адрес гаманців на чотирьох мережах, і назвало цю цифру мінімальною. Ці оцінки слід розглядати окремо, оскільки розслідування охоплювали різні набори адрес та активів. Bitquery також визнав, що самі записи транзакцій у блокчейні не можуть підтвердити, що кожен відстежений гаманець належав клієнту NGRAVE.

Біткойн мав найбільшу частку втрат, за ним слідують XRP та активи, пов’язані з ethereum. Наведені дані базуються на аналізі ланцюга від Bitquery, значення округлено для зручності сприйняття.

блокчейн	Оцінені втрати	Частка загальної
Bitcoin (BTC)	$1,76 млн	66,40%
XRP	$453 000	17,10%
Ethereum та пов’язані токени	$315,000	11,90%
Solana (SOL)	$77,000	2,90%
Dogecoin (DOGE)	$21,000	0,80%
Stellar (XLM)	$19,000	0,70%
Загалом	Приблизно $2,65 мільйона	100%

Як була переміщена вкрадена криптовалюта

Ланцюг на ланцюзі вказує, що нападник використовував різні маршрути залежно від активу. Bitcoin було передано через Chainflip — сервіс крос-чейн обміну — і перетворено переважно на Ether. Ethereum-активи були консолідовані та передані через додаткові гаманці. Кошти Solana були обміняні на USDC та переміщені між мережами за допомогою мостових сервісів.

Bitquery відстежив частину цих коштів через сервіси, включаючи LI.FI та Mayan, перш ніж вони досягли Hyperliquid. Кошти були розподілені між 39 новоствореними акаунтами, які купили XMR1 — токен, розроблений для відстеження ціни Monero і доступний для виведення у вигляді базової криптовалюти за механізмами відповідної платформи.

За даними Bitquery, акаунти придбали загалом 3 592,71 XMR на суму приблизно $2,16 мільйона. На 09:00 UTC 19 жовтня активи оцінювалися приблизно в $2,12 мільйона, і Bitquery повідомив, що на той момент відстежувані токени не були продані чи виведені. Ці спостереження є часовими: подальші транзакції можуть змінити баланси і ускладнити подальше відстеження. Bitquery також не зміг встановити кінцеве призначення всіх коштів у XRP, Dogecoin та Stellar.

Чи було NGRAVE ZERO взломано?

Відмінність між скомпрометованою службою сповіщень та апаратним гаманцем саме є ключовою для розуміння інциденту. NGRAVE зазначила, що атака не скомпрометувала безпосередньо пристрій ZERO або приватні ключі, збережені на ньому. Натомість зловмисники використали сторонній сервіс, пов’язаний із сповіщеннями LIQUID, щоб дістатися до користувачів і переконати їх розкрити свої рекавері-дані.

NGRAVE ZERO розроблений для зберігання приватних ключів офлайн, тоді як LIQUID дозволяє користувачам переглядати інформацію про портфель та керувати підтримуваними транзакціями. Згідно з документацією продукту NGRAVE LIQUID, додаток не має доступу до приватних ключів, збережених на ZERO. Обидва продукти взаємодіють через QR-коди як частина передбаченого робочого процесу транзакцій. Ці заходи можуть зменшити вразливість до віддалених атак, але не можуть запобігти відновленню гаманця в іншому місці після отримання інформації для відновлення.

Фраза для відновлення, або відповідний Perfect Key у термінології NGRAVE, надає інформацію, необхідну для відновлення доступу до гаманця. Коли ця інформація розкрита, зловмисник може отримати доступ до підтримуваних адрес блокчейну та здійснювати переказ активів, не маючи оригінального апаратного пристрою. Саме тому відсутність підтвердженої апаратної вразливості не робить втрати менш серйозними.

Що інцидент розкриває про безпеку апаратних гаманців

Атака ілюструє, що безпека апаратного гаманця поширюється далі за фізичний пристрій. Навколишня екосистема включає супутні додатки, постачальників сповіщень, системи керування акаунтами, програмні оновлення та процеси клієнтської підтримки. Слабке місце в одному з цих компонентів може створити можливість для атаки на користувачів, навіть якщо основний механізм зберігання ключів залишається цілим.

Тому важливо розрізняти криптографічний компроміс і атаку соціальної інженерії. Доступні докази підтверджують саме друге пояснення цього інциденту. Вони не підтверджують, що архітектура безпеки пристрою ZERO була порушена, хоча загальний інцидент викликає законні питання щодо контролю доступу сторонніх осіб та того, як слід аутентифікувати повідомлення, пов’язані з безпекою.

Як NGRAVE відреагувала на інцидент

NGRAVE повідомила, що виявила шахрайську діяльність з повідомленнями, відкликавши доступ, що був під впливом, і призупинила надсилання повідомлень під час розслідування інциденту. У своїй опублікованій відповіді компанія зазначила, що точкою входу було компрометування доступу до стороннього провайдера. Після внесення виправлень компанія відновила LIQUID і описала заходи, спрямовані на підсилення системи повідомлень.

Оголошені зміни включають більш суворі обмеження на посилання сповіщень, додаткові вимоги до схвалення для надсилання сповіщень та покращення управління ключами доступу та процедурами аварійного вимкнення. Ці заходи вирішують кілька слабких місць, виявленних під час атаки: надмірні дозволи сторонніх осіб, недостатнє розділення обов’язків та потенційну можливість масового досягнення користувачів через скомпрометований канал сповіщень.

NGRAVE також повідомив, що нападники отримали доступ до певної інформації, пов’язаної з системою сповіщень. Потенційно викрадена інформація включала дані пристроїв, інформацію про країну та часовий пояс, дані про використання та IP-адреси. Точний обсяг будь-якого витоку персональних даних слід відрізняти від підтверджених втрат криптовалют, і користувачам слід покладатися на подальші офіційні повідомлення для оновлень щодо розслідування та усунення наслідків.

Відповідь також піднімає ширше питання галузі: чи повинна програма гаманця здатна надсилати сповіщення про безпеку, яке спрямовує користувачів на сторінку, де запитуються дані для відновлення? Сильніші заходи можуть зменшити ризик компрометації служби сповіщень, але повідомлення про безпеку також мають чітко зазначати, що фрази для відновлення та приватні ключі ніколи не слід вводити на веб-сайтах чи надсилати персоналу підтримки.

Чи безпечний ваш NGRAVE гаманець? Що повинні зробити користувачі

Відповідь залежить від того, що користувач зробив після отримання підозрілого сповіщення. Просте отримання повідомлення не означає, що гаманець був скомпрометований, а клік на посилання не еквівалентний розкриттю рекавер-даних. Однак користувачі не повинні припускати, що гаманець залишається безпечним лише тому, що початкове пристрій все ще знаходиться у їхньому володінні.

Ситуація користувача	Оцінка ризиків	Рекомендована дія
Отримав сповіщення, але не відкрив його	Жодного витоку облікових даних із самого сповіщення	Ігноруйте повідомлення та перевіряйте оголошення через офіційні канали, доступ до яких здійснено незалежно.
Відкрив посилання, але не вводив жодної інформації та нічого не завантажував	Зменшення ризику через зазначений метод фішингу	Закрийте сторінку і уникайте подальшої взаємодії. Перевірте на наявність завантажень, встановлень або наданих дозволів.
Введено відновлювальний фразу або Perfect Key	Вважайте відповідний гаманець скомпрометованим	Створіть новий гаманець з новими рекавері-даними за допомогою надійного процесу, а потім якомога швидше перекажіть залишкові активи.
Знайдено неавторизовані транзакції або відсутні активи	Активи можуть вже бути переведені за межі прямого відновлення	Зберігайте хеші транзакцій, адреси гаманців, мітки часу, скріншоти та підозрілі URL-адреси; зверніться до офіційної підтримки та відповідних бірж або правоохоронних органів.

Що робити, якщо ви ввели свій відновлювальний фразу

Якщо ви надіслали свій фразу відновлення або Perfect Key на шахрайський веб-сайт, вважайте кожен гаманець, який може бути відновлений за цими обліковими даними, потенційно скомпрометованим. Не продовжуйте використовувати витікні облікові дані і не припускате, що перенесення початкового пристрою в інше місце відновить безпеку.

Використовуючи надійний пристрій та перевірену процедуру відновлення, створіть новий гаманець з абсолютно новими реквізитами відновлення. Перекажіть будь-які залишки активів із скомпрометованого гаманця до нового гаманця, уважно перевіряючи кожну адресу призначення. Якщо початкові реквізити захищають активи на кількох мережах, перевірте кожну підтримувану мережу, а не лише той гаманець, де з’явилася перша підозріла транзакція.

Користувачі також повинні бути обережними щодо наступних шахрайств. Зловмисники можуть видавати себе за представників служби підтримки, обіцяти повернути вкрадені активи або вимагати додаткові реквізити та плати. Фрази для відновлення та приватні ключі ніколи не слід надавати агенту підтримки чи вводити на веб-сайт лише тому, що повідомлення стверджує, що ця дія необхідна для безпеки коштів.

Будь-хто, хто втратив активи, повинен зберегти докази транзакцій і негайно повідомити про інцидент. Перекази криптовалют зазвичай важко скасувати після підтвердження, але своєчасне документування та повідомлення можуть допомогти у розслідуванні або допомогти платформам виявити підозрілі кошти.

Що означає ця атака для безпеки апаратних гаманців

Інцидент з NGRAVE підкреслює три ширші уроки для індустрії криптовалют. По-перше, сторонні постачальники послуг можуть стати слабким ланцюгом безпеки, навіть якщо основний продукт розроблений для зберігання конфіденційних облікових даних автономно. Виробники гаманців повинні застосовувати строгий контроль доступу, мінімізувати привілеї сторонніх постачальників, регулярно змінювати облікові дані, моніторити незвичну активність та забезпечувати ефективний спосіб вимкнення скомпрометованих служб.

Друге, надійні сповіщення не повинні замінювати незалежну перевірку. Користувачі звикли вважати повідомлення від встановлених додатків більш надійними, ніж незапитані електронні листи або пости в соціальних мережах. Саме це припущення було використане в цій атакі. Постачальники гаманців повинні розробляти сповіщення про безпеку так, щоб користувачі могли перевіряти їх незалежно, і ніколи не нормалізувати запити на введення фраз відновлення у веб-форму.

Третє, самоконтроль вимагає більше, ніж просто купівля апаратного пристрою. Він також залежить від захисту рекавері-даних, перевірки транзакцій, безпечних практик використання пристрою та розуміння того, як повинен виглядати легітимний процес відновлення. Апаратні гаманці можуть зменшити певні технічні ризики, але жоден продукт не може повністю захистити користувача, який добровільно розголошує облікові дані, що керують його активами.

Для виробників гаманців інцидент підкреслює необхідність розглядати весь досвід користувача як частину межі безпеки. Для користувачів найважливіший принцип залишається простим: резервні дані повинні залишатися приватними та автономними, і будь-який неочікуваний запит на їх розкриття слід сприймати як серйозний сигнал тривоги.

Висновок

Фішингова атака NGRAVE LIQUID демонструє, що безпека апаратних гаманців залежить не лише від зберігання приватних ключів оффлайн. Згідно з повідомленнями, нападники використали службу сповіщень третьої сторони, використовували фальшиві попередження про безпеку, щоб здобути довіру користувачів, і отримали рекавері-дані, які дозволили їм здійснити переказ криптовалюти, не отримуючи прямого доступу до початкових апаратних пристроїв. Bitquery оцінив відстежені збитки приблизно у $2,65 мільйона, тоді як NGRAVE повідомила окрему мінімальну оцінку близько $2,56 мільйона. Обидві цифри підкреслюють фінансові наслідки компрометації каналу зв’язку та успішного соціального інженерингу.

Для користувачів негайним пріоритетом є визначення, чи були розкриті дані для відновлення, і діяти відповідно. Для провайдерів гаманців цей інцидент підкреслює важливість строгого контролю доступу третіх сторін, незалежно перевіряємих сповіщень про безпеку та чітких попереджень щодо необхідності не розголошувати дані для відновлення. Апаратний гаманець залишається важливим інструментом самоконтролю, але його захист залежить від того, чи зберігають користувачі в таємниці дані, що дозволяють відновити доступ до їхніх активів.

🔥 Поза заголовками: що означає KuCoin 5.0 для вас

Новини ринку рухаються швидко — але те, де ви дієте з ними, має рівно таке ж значення. Цього жовтня KuCoin запускає KuCoin 5.0, перетворюючи KuCoin на відновлену платформу. Ось що змінюється саме для вас:

Один акаунт для всього. Старі платформи розділяли ваші кошти між окремими акаунтами «спот», «маржа» та «ф'ючерси» і очікували, що ви зрозумієте чому. Єдиний акаунт KuCoin 5.0 повністю видаляє це — зробіть депозит один раз, і все буде просто там (наразі доступно лише для VIP).
Акції, індекси та товари. KuCoin 5.0 розширюється за межі криптовалют на глобальні ринки. Коли криптовалюти рухаються бічно, а акції ростуть (або навпаки), ви переключаєтеся за хвилини, замість того щоб відкривати брокерський акаунт і чекати днів на фіатні канали.
Реальні активи (RWA). Токенізоване володіння традиційними активами, такими як сировина, прямо в вашому крипто-акаунті. Один із найшвидшо розростаючихся сегментів глобальної фінансової сфери більше не є виключною привілеєю інституцій — ви отримуєте до нього доступ з того ж балансу, з яким торгуете.
Заробляйте, поки вчитеся. Ще не готові торгувати? KCUSD дозволяє вашим стейблкоїнам заробляти щоденний автокомпаундний дохід. Найбільш спокійний спосіб використати ваш невикористаний депозит для отримання 4% дохідності.
AI-асистент простою мовою. Задавайте питання, отримуйте контекст ринку, розумійте, що ви бачите — вбудовано в платформу, жодного жаргону не потрібно.
Додаток, який не перевантажує. Швидший, чистіший і послідовний — інтуїтивний з першого дотику, а не після інструкції.
Безпека, яку можна перевірити, а не просто вірити. Організація з ліцензією MiCAR у ЄС, Proof of Reserves, який ви можете перевірити самостійно, та міжнародно сертифікована безпека (SOC 2 Type II, ISO 27001:2022).

Створіть акаунт за хвилини — і почніть працювати на платформі, створеній для майбутнього криптовалют, а не минулого.

ЧАСТІ ПИТАННЯ

Чи було NGRAVE взломано?

NGRAVE повідомила, що нападники отримали доступ до служби стороннього провайдера, відповідального за LIQUID-push-сповіщення. Доступні докази вказують на фішингову атаку, під час якої були вкрадені відновлювальні дані користувачів, а не на підтверджений проникнення до механізму зберігання приватних ключів апаратного гаманця ZERO.

Скільки було вкрадено під час фішингової атаки на NGRAVE?

Bitquery оцінив, що приблизно $2,65 мільйона було викрадено з 84 гаманців на шести блокчейн-мережах. NGRAVE окремо відстежив приблизно $2,56 мільйона на близько 70 адресах на чотирьох мережах. Ці цифри відрізняються, оскільки розслідування охоплювали різні набори адрес та активів.

Чи все ще безпечно використовувати NGRAVE ZERO?

Інцидент не підтверджує, що саме апаратний гаманець ZERO був скомпрометований. Однак користувачам слід дотримуватися офіційних оновлень безпеки від NGRAVE, уникати підозрілих посилань і вважати будь-які рекавері-дані, введені на фішинговому вебсайті, скомпрометованими. Безпека пристрою не відновлює таємницю даних, які вже були розкриті.

Що мені робити, якщо я тільки натиснув на фішингове посилання?

NGRAVE зазначила, що користувачі, які лише натиснули на посилання, не вводили інформацію та нічого не завантажували, захищені від описаного механізму крадіжки облікових даних. Закрийте сторінку, уникайте подальшої взаємодії та перевірте, чи щось було завантажено чи чи були надані дозволи. Якщо ви ввели інформацію для відновлення, виконайте більш термінові дії, описані вище.

Чи можна відновити вкрадену криптовалюту?

Відновлення є невизначеним. Підтверджені транзакції в блокчейні зазвичай не можуть бути скасовані відправником, і відстеження коштів не гарантує їх повернення. Збереження доказів транзакції та швидке повідомлення про інцидент можуть допомогти слідчим або відповідним платформам виявити та, якщо це дозволено їхніми системами та застосовними процедурами, обмежити кошти.

Відмова від відповідальності: Ця стаття має лише інформаційний характер і не є інвестиційною чи фінансовою порадою. Операції з криптовалютами супроводжуються ризиками, і вкрадені активи можуть бути незворотними.

Відмова від відповідальності: Для вашої зручності цю сторінку було перекладено за допомогою технології ШІ. Для отримання найточнішої інформації дивіться оригінальну англійську версію.