Страшнее всего фишинг, который приходит через официальное приложение. Вечером в субботу, 17 октября 2026, пользователи приложения LIQUID бельгийского производителя аппаратных кошельков Ngrave получили push: портфель только что синхронизировался с новым устройством — Pixel 9 в Москве. Уведомление было настоящим в том смысле, что пришло по собственному каналу Ngrave. Всё остальное в нём было фейком.
Через пять минут после того, как Ngrave заметил сообщение, первый кошелёк был пуст.
Главное
- Атакующие захватили внешнего провайдера push-уведомлений Ngrave и разослали фейковые алерты около 21:30 UTC 17 октября 2026.
- Ссылка вела на копию сайта Ngrave, которая просила Perfect Key или seed-фразу из 24 слов.
- Ngrave оценивает отслеженные потери примерно в $2,56 млн с ~70 кошельков в четырёх сетях и называет это минимумом; Bitquery насчитал около $2,65 млн с 84 кошельков.
- Потери в биткоине — $1,77 млн, в XRP — $454 000, в Ethereum — около $316 000, в Stellar — $18 000.
- Первые следы проникновения Ngrave датирует 11 октября — за шесть дней до фейкового алерта.
- По словам Ngrave, код LIQUID, устройства ZERO, хранимые секреты, имена и адреса доставки клиентов не затронуты.
Как была устроена фишинговая атака на Ngrave?
Атакующие не взламывали кошелёк — они позаимствовали его голос. Они получили доступ к стороннему сервису, через который Ngrave шлёт push-уведомления, и отправили пользователям LIQUID фейковый алерт «синхронизировано новое устройство». Ссылка вела на убедительную копию сайта Ngrave, которая просила Perfect Key или seed-фразу из 24 слов. Кто ввёл — потерял средства.
Отчёт об инциденте от 19 октября расписывает хронологию. Ngrave заметил сообщение в 21:31 UTC; первый кошелёк опустошили к 21:36. Первый украденный ключ доступа отозвали в 21:40, но атакующие продолжили рассылку через второй. Предупреждение в X вышло в 22:30, письмо — в 22:40, уведомления отключили в 22:45. Последняя отслеженная кража — 03:51 18 октября.
Канал был настоящим. Сообщение — нет. Твоему seed без разницы.
Сколько украли у пользователей Ngrave?
Ngrave насчитал около $2,56 млн по ценам 17 октября с примерно 70 кошельков в четырёх сетях и называет это нижней границей. CryptoSlate со ссылкой на Bitquery приводит более широкий подсчёт: около $2,65 млн с 84 кошельков.
| Сеть | Отслеженные потери | Куда ушло |
|---|---|---|
| Bitcoin | $1,77 млн | Собрано на одном адресе, затем раздроблено на 12 новых |
| XRP | $454 тыс. | Сервис мгновенного обмена, 54 депозита |
| Ethereum | ~$316 тыс. | Продано и переброшено через LI.FI |
| Stellar | $18 тыс. | Адрес, предположительно принадлежащий бирже |
Какие данные утекли
Открытыми оказались поля списка рассылки: модель устройства, ОС, версия приложения, язык, страна, часовой пояс и, возможно, IP и примерное местоположение. История свапов, суммы и недавние балансы тоже были доступны для чтения — Ngrave ещё выясняет, скопировали ли их. У небольшого числа клиентов были видны email и номера заказов из запросов на удаление. Ngrave уведомил бельгийский регулятор по защите данных.
Что делать пользователям Ngrave прямо сейчас?
Если ты ввёл seed-фразу или Perfect Key на фейковом сайте, считай их скомпрометированными и переведи оставшиеся средства на новый кошелёк с новой seed-фразой. Удали веб-приложение «NGRAVE Security Center» — оно не от производителя. Пострадавшие могут написать на [email protected], указав ID транзакций, адреса назначения и примерное время ввода — но никогда не seed-фразу.
CEO Ngrave был необычно прямолинеен: «В этом мы полностью и окончательно провалились». В планах — ключ только на отправку, доступ только с серверов компании с двухфакторным входом, алерты на массовый экспорт, правило четырёх глаз для рассылок и ротация ключей минимум раз в 90 дней.
Что это значит для тех, кто делает свапы
Это третья фишинговая волна от имени бренда кошельков за месяц — после взлома X-аккаунта Coldcard и фейковых страниц прошивки Ledger. Правило, которое спасло бы каждую жертву, одно: ни настоящему алерту, ни приложению, ни поддержке твой seed не нужен. Некастодиальный свап в SwapZilla просит только адрес получения — и копировать его нужно из кошелька, а не из сообщения.
Сервисы мгновенного обмена, как это часто бывает, оказались частью маршрута отмывания. Добросовестные провайдеры проверяют депозиты и могут задержать средства, связанные с заявленными кражами, поэтому жертвам важно быстро сообщать об инциденте с ID транзакций. Почему схемы «только адрес» уменьшают поверхность атаки, объясняет наш гайд о свапах без подключения кошелька.
Финальная мысль
Железо Ngrave не сломали, код приложения не меняли. Хватило ключа от уведомлений. В 2026 году самое слабое звено self-custody — редко чип, а почти всегда любая система, которая может говорить с тобой от имени кошелька.