币圈界报道：

Ngrave安全事件曝光：第三方通知平台被攻陷致超250万美元资产失窃

比利时硬件钱包开发商Ngrave近日正式通报一起重大网络安全事件，指出网络犯罪团伙在非法获取一个第三方推送服务的访问权限后，对LIQUID应用用户实施精准钓鱼攻击，造成约256万美元的加密资产损失。该事件于10月19日向公众公开。

攻击链始于通知系统权限劫持

此次攻击的初始入口为10月17日，威胁行为者成功渗透了Ngrave用于向用户发送安全提醒的外部通知平台。随后，他们向用户推送虚假安全警告，谎称其投资组合与一台位于莫斯科的Pixel 9设备存在异常同步。

受骗用户点击通知后跳转至仿冒的Ngrave登录页面，页面内设倒计时提示框。无论选择“批准”或“拒绝”，均会触发恶意脚本，诱导用户输入24词助记恢复短语或专属的Perfect Key，从而彻底暴露钱包控制权。

自动化工具随即执行批量转账操作，共涉及70个不同地址，分布于四个主要区块链网络上。

背景说明：Ngrave是一家总部位于比利时的数字资产管理安全企业，其核心产品ZERO硬件钱包配合自研LIQUID移动应用，旨在实现高安全性、便捷化的加密资产管理。

攻击路径深度解析：提前潜伏与权限提升

据Ngrave调查，攻击者可能早在10月11日便已获得对通知服务商的未授权访问权限，比首次发送欺诈通知早出近一周。在初步入侵后，黑客逐步提升权限，获取了第二组高权限密钥，进而获得部分用户数据分析接口的访问能力。

该公司在10月17日UTC时间晚上9点30分检测到异常推送请求，并于一分钟内启动响应机制。然而，首个受害钱包在六分钟后即被清空。尽管通知系统已于当晚10点45分关闭，但仍有资金持续流出，直至次日凌晨3点51分才完全停止。

Ngrave强调，其硬件钱包本身及用户的私钥始终未被泄露。本次事件本质是典型的社交工程攻击——利用用户信任心理实施钓鱼诈骗。

区块链追踪显示，被盗资金经由多个混币通道转移，包括主流交易所、跨链桥接以及新生成的匿名地址。根据数据分析机构Bitquery的报告，约81%的资金最终以门罗币（Monero）形式出现在去中心化衍生品交易平台Hyperliquid上。

背景补充：Bitquery是一家专注于多链交易可视化与合规性分析的区块链情报公司，提供跨网络资产流向追踪服务。

管理层回应与行业安全困局

Ngrave首席执行官Ruben Merre在声明中坦承公司在安全架构上存在严重疏漏，且这些问题早在他接手领导岗位前就已存在。此外，事件还可能导致用户设备信息、钱包活动记录、IP地址及地理位置等敏感数据外泄。

他坦言：“作为一家以安全为核心的加密企业，我们在最关键的环节彻底失守。”

此次事故正值硬件钱包市场动荡期。仅2026年，已有十余起重大安全事件波及Ledger、Trezor、Tangem、Safepal、Bitbox02和Coldcard等多个知名品牌，其中两起攻击即造成超过1.8亿美元的用户资产损失。

Ngrave已更换所有受控密钥，并部署多项强化措施，包括通知发布需双人审批、严格限定域名白名单、新增紧急停用功能等。建议受影响用户立即创建新钱包并联系官方支持团队。目前，相关调查仍在持续推进中。