Fausse alerte de sécurité et vol de fonds
Une fausse alerte de sécurité a été diffusée concernant les portefeuilles de cryptomonnaie, incitant les utilisateurs à se précipiter pour protéger leurs fonds. Au lieu de cela, cette alerte les a directement conduits vers des voleurs qui ont siphonné environ 2,56 millions de dollars, exploitant un système de notification de confiance sans jamais compromettre le matériel lui-même.
Incident chez Ngrave
Le fabricant belge de portefeuilles matériels Ngrave, communément connu sous le nom de NGRAVE, a révélé le 19 octobre que des attaquants avaient détourné un fournisseur de notifications tiers servant son application compagnon LIQUID. Cette violation a permis aux criminels d’envoyer des alertes de sécurité ressemblant à des messages authentiques directement aux clients le 17 octobre.
Le message affirmait qu’un portefeuille d’utilisateur avait été synchronisé avec un appareil Pixel 9 à Moscou.
En cliquant sur l’alerte, les utilisateurs ouvraient un faux site Web Ngrave avec un compte à rebours et un choix inquiétant d’approuver ou de refuser l’activité suspecte. Les deux options menaient au même piège. Les utilisateurs étaient invités à entrer leur phrase de récupération de 24 mots ou Perfect Key, remettant ainsi aux attaquants tout ce dont ils avaient besoin pour recréer leurs portefeuilles. Des scripts automatisés ont vidé les comptes compromis en quelques minutes.
Montant et méthodes de vol
L’enquête de Ngrave a retracé environ 2,56 millions de dollars volés à partir de 70 adresses de portefeuille sur quatre réseaux. Le Bitcoin représentait 1,77 million de dollars, suivi de 454 000 dollars en XRP, 316 000 dollars en actifs basés sur Ethereum et 18 000 dollars en Stellar. Le rapport d’incident de l’entreprise révèle que l’accès non autorisé a potentiellement commencé le 11 octobre, six jours avant l’apparition des notifications frauduleuses.
Ngrave a détecté les alertes malveillantes dans la minute suivant leur apparition à 21h30 UTC le 17 octobre. Néanmoins, le premier portefeuille a été vidé six minutes plus tard. L’entreprise a désactivé son système de notification à 22h45, mais les vols ont continué à partir de portefeuilles précédemment compromis jusqu’à 3h51 le lendemain matin.
Il est crucial de noter que Ngrave maintient que ses portefeuilles matériels ZERO et ses clés privées sont restés intacts. Les criminels ont plutôt manipulé les clients pour qu’ils abandonnent leurs propres identifiants. Les fonds volés ont transité par des échanges, des ponts blockchain et de nouvelles adresses.
Réactions et mesures prises
L’entreprise a également reconnu une exposition potentielle des informations sur les appareils, l’activité des portefeuilles, les adresses IP et les emplacements approximatifs, soulevant des inquiétudes concernant d’éventuelles escroqueries ciblées ultérieures. La société d’analyse Bitquery a également publié un rapport sur l’affaire, notant qu’en ce qui concerne les fonds volés, « la plupart se trouvent maintenant sur Hyperliquid sous forme de jeton Monero. »
Dans le rapport d’incident, un cadre supérieur de Ngrave a pris la parole sur le sujet. Son PDG a offert une évaluation exceptionnellement franche, déclarant : « À mon humble avis, le premier devoir d’une entreprise de sécurité crypto est de fournir exactement cela : la sécurité. Dans ce domaine, nous avons absolument et complètement échoué. »
Ngrave a depuis remplacé les clés compromises et a défini des contrôles de notification plus stricts, y compris des approbations à deux personnes, des domaines restreints et des capacités d’arrêt d’urgence. Les clients affectés sont invités à établir de nouveaux portefeuilles et à contacter le support.
Contexte et implications
L’enquête se poursuit, laissant une distinction troublante intacte : le matériel est resté solide, mais les messages de confiance qui l’entourent sont devenus l’arme. Cela a été une année difficile pour les fabricants de portefeuilles matériels, car 2023 a été marquée par de nombreux problèmes de sécurité. Près d’une douzaine d’incidents de sécurité de portefeuilles matériels ont été documentés, impliquant Ledger, Trezor, Tangem, Safepal, Bitbox02 et Coldcard. Les pertes signalées ont dépassé 180 millions de dollars à travers deux incidents, exposant des vulnérabilités dans le firmware, les fournisseurs tiers, la sécurité physique et le phishing, plutôt que des attaques à distance directes sur les phrases de récupération.
