币圈界报道：

Ngrave安全事件曝光：虚假通知诱骗用户泄露核心密钥

比利时硬件钱包公司Ngrave于10月19日公布一起重大安全事件，指出网络犯罪分子利用对第三方推送服务的非法访问权限，从LIQUID应用用户中盗取了价值约256万美元的多种加密资产。

攻击者借通知系统植入钓鱼陷阱

此次攻击始于10月17日，威胁行为者获取了Ngrave用于向用户发送安全提醒的推送接口权限。他们随后向用户发送虚假警报，谎称其投资组合与一台位于莫斯科的Pixel 9设备发生异常同步。

受骗用户被引导至一个仿冒的Ngrave登录页面，页面内设倒计时提示框。无论点击“批准”或“拒绝”，均会触发恶意脚本，强制收集用户的24字助记恢复短语或Perfect Key，从而实现对钱包的完全控制。

自动化程序迅速将受损钱包中的资产转移。根据追踪记录，本次损失涉及七个不同区块链网络上的70个地址。

技术路径揭示早期入侵迹象

调查发现，攻击者可能早在10月11日便已获得通知服务的初始访问凭证，比实际发送钓鱼消息早了近一周。在取得基础权限后，黑客进一步提升权限以提取更高层级的密钥，该密钥同时关联部分用户行为数据分析功能。

Ngrave在10月17日UTC时间晚间9点30分检测到异常推送后仅一分钟内即启动响应机制。然而，首个受影响钱包在六分钟后已被清空。尽管公司在当晚10点45分立即停用通知系统，但持续至次日凌晨3点51分仍有来自感染地址的资金外流。

公司强调，其ZERO硬件钱包本身及用户私钥未遭破坏。此次事件系典型的社交工程攻击，攻击者通过伪装成官方通知诱导用户主动交出敏感信息。

区块链分析显示，被盗资金通过多个中间节点流转，包括主流交易所、跨链桥接以及新创建的匿名地址。据数据机构Bitquery统计，约81%的赃款最终以门罗币形式出现在Hyperliquid去中心化衍生品平台上。

管理层承认防御体系存在严重短板

Ngrave首席执行官Ruben Merre公开致歉，承认当前安全架构存在结构性缺陷，且这些隐患在他接任领导层前就已长期存在。他透露，部分用户设备信息、钱包活动轨迹、IP地址及地理位置数据亦可能在此次泄露中暴露。

他在声明中表示：“作为一家专注于数字资产安全的企业，我们未能履行最基本的责任。这次失败是彻底且不可接受的。”

该事件发生在硬件钱包行业动荡加剧的背景下。2026年以来，已有十余起重大安全事故波及Ledger、Trezor、Tangem、Safepal、Bitbox02和Coldcard等主流品牌，其中两起攻击造成用户累计损失超1.8亿美元。

Ngrave已完成密钥更换，并部署多项新防护机制，包括通知发布需双人审批、强化域名白名单策略以及新增紧急中断功能。建议所有受影响用户尽快创建全新钱包，并联系官方支持团队进行验证与协助。目前，事件调查仍在持续进行中。