NGRAVE披露通知密钥泄露致256万美元被盗

PANews 10月21日消息，硬件钱包厂商 NGRAVE 发布 10 月 17 日 LIQUID 应用虚假安全警报事件的调查报告，攻击者劫持了为 LIQUID 发送推送通知的第三方服务商的访问权限，向用户推送钓鱼链接。NGRAVE 称第一枚通知服务密钥通过一台发送通知服务器的报错信息泄露，10 月 11 日发现异常后数分钟内禁用该密钥，但攻击者已用其获取第二枚密钥；ZERO 硬件钱包未被攻破、LIQUID 代码未泄露，未在钓鱼网站输入助记词或 Perfect Key 的用户资金没有风险。NGRAVE 正在追踪被盗资金，并将限制 LIQUID 只打开 NGRAVE 自有来源的链接，同时加入密钥异常使用警报和短期密钥机制。

比利时硬件钱包厂商 Ngrave 于 10 月 19 日披露，攻击者劫持其 LIQUID 应用的第三方通知服务商，于 10 月 17 日向用户发送伪造安全警报，诱导其在假冒网站输入 24 词助记词或 Perfect Key，从四条链上 70 个钱包地址盗走约 256 万美元，其中比特币 177 万美元、XRP 45.4 万美元、以太坊系资产 31.6 万美元、Stellar 1.8 万美元。Ngrave 称其 ZERO 硬件与私钥未被攻破，未经授权访问可能始于 10 月 11 日；CEO 承认公司“彻底未能”履行安全职责，并已更换受损密钥、加强通知审批控制。Bitquery 报告称被盗资金约 81% 已转至 Hyperliquid 上的 Monero 代币。