Falsk sikkerhetsadvarsel førte til tyveri av kryptovaluta
En falsk sikkerhetsadvarsel blinket over kryptovaluta-lommebøker, noe som fikk brukerne til å skynde seg for å beskytte midlene sine. I stedet førte advarselen dem rett til tyvene, som tappet omtrent 2,56 millioner dollar ved å utnytte et pålitelig varslingssystem uten å måtte knekke selve maskinvaren.
Angrepet og konsekvensene
Den belgiske maskinvare-lommebokprodusenten Ngrave, vanligvis kjent som NGRAVE, avslørte 19. oktober at angripere hadde kapret en tredjeparts varslingsleverandør som betjente deres LIQUID-kompanjongapp. Bruddet tillot kriminelle å sende autentiske sikkerhetsadvarsler direkte til kundene 17. oktober.
Meldingen hevdet at en brukers portefølje hadde blitt synkronisert med en Pixel 9-enhet i Moskva. Å klikke på advarselen åpnet en falsk Ngrave-nettside med en nedtellingstimer og et truende valg om å godkjenne eller avvise den mistenkelige aktiviteten.
Begge alternativene førte til den samme fellen. Brukerne ble bedt om å oppgi sin 24-ords gjenopprettingsfrase eller Perfect Key, og ga angriperne alt de trengte for å gjenskape lommebøkene sine. Automatiserte skript tømte kompromitterte kontoer på minutter.
Tyveri og etterforskning
Ngraves etterforskning sporet omtrent 2,56 millioner dollar stjålet fra 70 lommebokadresser på tvers av fire nettverk. Bitcoin utgjorde 1,77 millioner dollar, etterfulgt av 454 000 dollar i XRP, 316 000 dollar i Ethereum-baserte eiendeler og 18 000 dollar i Stellar.
Selskapets hendelsesrapport avslører at uautorisert tilgang potensielt begynte 11. oktober, seks dager før de falske varslingene dukket opp. Angriperne fikk tak i én tilgangsnøkkel og utnyttet den til å skaffe seg en annen med bredere tillatelser, inkludert tilgang til visse analyseopplysninger.
Ngrave oppdaget de ondsinnede varslene innen ett minutt etter at de dukket opp kl. 21:30 UTC 17. oktober. Likevel ble den første lommeboken tappet seks minutter senere. Selskapet deaktiverte varslingssystemet sitt innen kl. 22:45, men tyveriene fortsatte fra tidligere kompromitterte lommebøker frem til kl. 03:51 neste morgen.
Maskinvare og sikkerhet
Viktig er det at Ngrave opprettholder at deres ZERO-maskinvarelommebøker og private nøkler forble urørt. Kriminelle manipulerte i stedet kundene til å overgi sine egne legitimasjoner. De stjålne midlene reiste gjennom børser, blockchain-broer og nye adresser.
Ngrave sporet bitcoin til 12 adresser, mens XRP beveget seg gjennom 54 overføringer. Selskapet anerkjente også potensiell eksponering av enhetsinformasjon, lommebokaktivitet, IP-adresser og omtrentlige lokasjoner, noe som hevet bekymringer om påfølgende målrettede svindler.
Analysefirmaet Bitquery publiserte også en rapport om saken, og bemerket at når det gjelder de stjålne midlene, «sitter mesteparten nå på Hyperliquid som en Monero-token.»
Bitquery-rapporten anslår at rundt 81 % fant veien til den populære DEX-børsen.
Ledelsens respons og fremtidige tiltak
I hendelsesrapporten uttalte Ngraves seniorleder seg om saken. CEOen ga en uvanlig åpen vurdering, og sa:
«Etter min ydmyke mening er den første plikten til et kryptosikkerhetsselskap å gi nettopp det: sikkerhet. I dette har vi absolutt og fullstendig feilet.»
Han anerkjente at selskapets sikkerhetsstilling var utilstrekkelig da han tiltrådte ledelsen måneder tidligere. Ngrave har siden byttet ut kompromitterte nøkler og skissert strammere varslingskontroller, inkludert godkjenning av to personer, begrensede domener og nødavstengningsmuligheter.
Berørte kunder oppfordres til å opprette nye lommebøker og kontakte support. Etterforskningen fortsetter, og etterlater en bekymringsfull distinksjon: maskinvaren holdt stand, men de pålitelige meldingene rundt den ble våpenet.
Generelle sikkerhetsutfordringer i 2023
Det har vært et tøft år for maskinvare-lommebokprodusenter, ettersom 2023 har vært preget av sikkerhetsproblemer. Nesten et dusin dokumenterte sikkerhetshendelser med maskinvare-lommebøker involverte Ledger, Trezor, Tangem, Safepal, Bitbox02 og Coldcard. Rapporterte tap oversteg 180 millioner dollar på tvers av to hendelser, og avdekket sårbarheter i fastvare, tredjepartsleverandører, fysisk sikkerhet og phishing, snarere enn direkte fjerntangrep på gjenopprettingsfraser.
