2026-10-24 09:22:05

NGRAVE通知渠道遭劫持致256万资金损失：用户需立即更换钱包

摘要

比利时硬件钱包厂商NGRAVE披露其外部通知系统被攻破，攻击者利用伪造警报诱导用户输入助记词，导致约256万美元资产被盗。事件暴露了自我托管生态中信任链的脆弱性，提醒用户警惕非官方链接与消息。

2026年10月19日，比利时硬件钱包品牌NGRAVE发布事故报告，揭示一起由外部通知渠道被劫持引发的安全事件。攻击者通过入侵第三方推送服务账户，向LIQUID应用用户发送虚假安全警报，诱导其在伪造页面上输入助记词或‘完美密钥’，从而造成资产流失。

据公司统计，此次事件共导致约70个钱包地址的资金损失，总金额约为256万美元（按10月17日市场价计算），涉及比特币、XRP、以太坊及Stellar四个网络。值得注意的是，硬件设备本身未受侵入，密钥存储和应用代码均保持完整，问题出在用户与制造商之间的沟通通道。

2026年10月17日晚21:30左右，一条伪装成安全警报的消息推送至LIQUID用户。内容声称其投资组合已在莫斯科一台Pixel 9设备上同步，制造恐慌情绪，促使用户迅速点击链接。

该链接指向一个仿冒的NGRAVE官网页面，显示倒计时并设置“确认”与“拒绝”按钮。点击“拒绝”后，用户被引导至要求输入24位助记词或完美密钥的页面。这一设计精准利用了用户对异常行为的本能反应，使其落入陷阱。

事件时间线显示：21:31团队察觉异常；21:36首个钱包被清空；21:40撤销首密钥失败，攻击者改用第二密钥继续操作；22:30在X平台发布警告；22:40发出客户邮件；22:45全面关闭通知功能。最后一笔可追踪盗窃发生于10月18日凌晨03:51，整个过程不足六小时。

NGRAVE不自行发送通知，而是依赖外部服务商分发。攻击者首先获取了一个基础访问密钥，并借此获得权限更高的二级密钥，从而实现消息发送与部分数据读取。

最早发现异常的时间为10月11日，但直到10月18日09:37才完成所有系统密钥的替换。这表明攻击窗口长达六天，期间无人察觉。此类密钥是服务器间的程序身份验证字符串，类似自动化密码，一旦泄露，即便使用最安全的硬件钱包也无法防范。

由于消息携带真实发送方标识，用户难以分辨真伪，信任机制被彻底颠覆。这也凸显了自我托管模式下，控制权虽在用户手中，但信息来源的可靠性却可能成为最大短板。

NGRAVE将可追溯损失定为约256万美元，分析机构Bitquery数据显示涉及84个地址的总损失达265万美元。鉴于部分地址无法确认是否为NGRAVE客户，合理估算范围为256万至265万美元。

资金分布如下：

从第一笔被盗到最终可追踪交易，时间跨度不足六小时。即使用户在次日收到警告邮件，也已无法挽回损失。

NGRAVE明确表示，以下信息未被泄露：

私钥始终保留在设备内，攻击者无法远程提取。本次损失的核心并非技术漏洞，而是用户对通知来源的信任被滥用。

然而，攻击者已复制了通知列表，包含设备令牌、型号、操作系统版本、语言、国家、时区、使用数据、内部标识符，以及可能的IP位置信息。部分用户还面临电子邮件地址与订单号泄露的风险。目前，公司已向比利时数据保护局提交披露报告。

未来数月，受害者或将遭遇高度定制化的诈骗攻击——骗子掌握用户的设备类型、居住地及最近交易金额，不再群发垃圾信息，而是量身定制话术，提高欺骗成功率。

根据欧盟MiCA法规，仅对持有、交易或经纪他人资产的机构进行监管。销售自托管硬件钱包的厂商不属于此类范畴，因此无需获得类似BaFin的金融牌照。

这意味着，在自我托管模式下，用户不享有存款保险，无法向监管机构索赔，也无法请求冻结资金。一旦助记词外泄，转账即不可逆，责任完全由用户承担。

对于不愿承担此风险的投资者，可选择将资产托管于受监管的交易所或托管服务商。虽然失去完全控制权，但获得了法律保障与追偿机制。

NGRAVE提供详细应对方案：

视为受损：若曾在伪造页面输入助记词或完美密钥，应立即将所有相关钱包视为失效。将剩余余额转移至全新助记词创建的钱包，并停止向旧地址发送任何资金。即使提示输入错误，仍须执行该流程。
未输入信息者：若仅点击链接或按钮而未输入词汇，则未受影响。注意：页面中名为“NGRAVE Security Center”的Web应用非官方产品，应立即删除。
联系支持：发送邮件至support@ngrave.io，案件编号前缀为OSH。提供交易哈希、自身地址、目标地址及大致时间，但绝不可透露助记词。
德国用户特别提示：建议前往当地警察局报案并获取案件编号，因多数交易所仅接受警方文件作为冻结资金依据。德国各州均设有在线警务平台。

公司已采取多项措施：关闭通知服务、移除钓鱼网站、配合调查、请求交易所与桥接平台冻结资金，并保留全部日志用于溯源。