NGRAVE通知劫持事件致256万美元损失：用户需警惕虚假安全警报

2026年10月19日，比利时硬件钱包制造商NGRAVE发布事故报告，揭示一起因外部通知服务被入侵引发的严重安全事件。攻击者通过接管为LIQUID应用提供推送服务的第三方账户，向用户发送伪装成官方的安全警报，诱使部分用户在伪造页面上输入助记词或完美密钥，从而造成资金损失。

据公司统计，此次事件共导致约70个钱包地址的资金流失，涉及四个区块链网络，总损失金额约为256万美元（按10月17日市场价格计算）。值得注意的是，硬件设备本身、应用程序代码及存储在设备中的私钥均未受损，攻击目标并非技术底层，而是用户与制造商之间的沟通渠道。

虚假警报如何引人入彀

2026年10月17日晚UTC时间21:30左右，一条声称用户投资组合已在莫斯科某设备同步的警报推送至LIQUID用户。该消息旨在制造恐慌情绪，促使用户快速响应。点击后跳转至一个仿冒的NGRAVE官网页面，页面设有倒计时和“确认”“拒绝”按钮。

当用户选择“拒绝”时，系统引导其进入要求输入“完美密钥”或24位助记词的界面。这一设计利用了用户对隐私保护的本能反应，反而将他们引入陷阱。从发现异常到首个钱包被清空仅用时五分钟，攻击速度之快令人震惊。

关键时间线：漏洞暴露与应对过程

事件时间线显示：

21:31：NGRAVE团队察觉异常消息；

21:36：首例钱包被清空；

21:40：撤销首个访问密钥，但攻击者使用第二个密钥继续发送；

22:30：在X平台发布警告；

22:40：向客户发出紧急邮件；

22:45：全面关闭通知发送功能；

03:51（次日凌晨）：最后一次可追踪的盗窃行为发生。

整个过程持续不足六小时，意味着在警告发出后，绝大多数资金已无法挽回。

攻击路径：一个密钥如何引发连锁危机

NGRAVE并未自建通知系统，而是依赖第三方提供商分发消息。攻击者首先获取了一个基础访问密钥，并借此获得权限更高的第二密钥，从而实现消息发送与部分数据读取。

尽管最早在10月11日就已出现异常访问痕迹，但直至10月18日09:37，所有系统密钥才完成更换。这表明企业在监控机制与应急响应上存在明显短板。

此类密钥是程序间身份验证的字符串，存在于服务器配置中，不存于用户钱包内。即便拥有最安全的硬件设备，一旦密钥泄露，后续消息仍会携带合法标识，极易误导用户。

资金流向分析：多链转移与快速洗钱

根据区块链分析，损失金额分布如下：

比特币（Bitcoin）：177万美元，汇集至单一攻击者地址后分发至12个新地址；

XRP：45.4万美元，分54笔转入兑换平台ChangeNOW；

以太坊（Ethereum）：约31.6万美元，转换为130.47 ETH并通过LI.FI桥接至其他链，另有约3,000美元代币滞留；

Stellar：1.8万美元，转入疑似交易所地址。

资金转移极为迅速，凸显现代诈骗团伙具备高度组织化的洗钱能力。

未受影响的数据范围：哪些信息仍受保护

NGRAVE强调，以下内容未遭泄露：

LIQUID应用源代码；

ZERO硬件设备及其内部密钥存储；

客户的姓名、配送地址等个人信息（位于独立系统）。

公司重申，私钥始终保留在设备中，不会外泄。本次事件的核心问题在于用户对通知来源的信任被滥用，而非技术层面的控制权丧失。

数据泄露影响：未来面临精准诈骗风险

攻击者还复制了通知列表，包含每台设备的令牌、型号、操作系统版本、语言设置、国家、时区、使用习惯、内部标识符，以及可能的IP地址与地理位置信息。

此外，还可读取加密货币地址的兑换历史、交易金额、时间戳及余额数据。少数用户的信息还包括电子邮件与订单编号。这些敏感数据已被上报至比利时数据保护局。

这意味着未来数月，受害者或将遭遇高度定制化的钓鱼攻击——骗子掌握具体设备类型、所在地区及近期操作，大幅提高欺骗成功率。

法律框架下的责任边界：自我托管的代价

欧盟MiCA法规适用于持有、交易或经纪加密资产的服务商，但销售硬件钱包供用户自行管理密钥的厂商不在其监管范围内。因此，这类企业无需取得类似交易所的金融牌照。

这也意味着：在自我托管模式下，用户无存款保险，无法向监管机构索赔，也无法请求资金冻结。一旦助记词外泄，转账即不可逆。这是自主控制权带来的直接后果。

对于不愿承担此风险的投资者，可考虑将资产托管于受监管机构监督的平台，换取一定程度的保障，但代价是放弃完全控制权。

受害者应对指南：行动步骤与支持方式

NGRAVE建议采取以下措施：

若曾输入助记词或完美密钥，应视该钱包为完全失效，立即迁移剩余资产至新钱包，且不再向原地址发送任何资金；

若仅点击链接而未输入信息，视为未受影响，但应删除名为“NGRAVE Security Center”的非官方Web应用；

联系support@ngrave.io，案件引用前缀为OSH，提供交易ID、地址与大致时间，切勿透露助记词；

德国用户建议在当地警察局报案并获取案件编号，以便交易所配合冻结资金。

公司已关闭通知服务，举报钓鱼网站，保留完整日志，并配合执法部门调查。

深层教训：信任链条比技术更脆弱

NGRAVE首席执行官承认：“我们本应防止这种情况发生……在这方面，我们彻底失败了。”他指出，此次攻击属于典型的社交工程骗局，暴露了企业在通信安全上的严重不足。

为重建防线，公司将实施多项改进措施，包括：

限制应用仅能访问官方地址；

推行只读/只写密钥分离机制；

将密钥访问限制在内部服务器，并启用双重认证；

建立异常使用与批量导出预警系统；

实行每封消息双人复核制度；

密钥轮换周期缩短至至少每90天一次；

设置一键关闭所有通知通道的功能。

该事件印证了当前攻击趋势的转变：从直接攻破硬件，转向渗透周边生态——如通知系统、客户名单、配送流程等。

NGRAVE再次强调：任何正规机构绝不会索要助记词、完美密钥或支付费用。任何承诺“付费追回”的服务均为诈骗。

总结：三步应对策略

基于此次事件，用户应采取三个核心行动：

确认是否曾输入关键词，若属实则立即更换钱包；

将所有推送通知视为提醒，而非指令，务必通过区块浏览器或官方应用核实余额；

审慎评估自我托管比例，大额持仓可考虑分散持有策略。

（截至2026年10月23日。本文不构成投资建议。价格与费率可能变动，请以实际条款为准。）