Falso Avviso di Sicurezza sui Portafogli di Criptovalute
Un falso avviso di sicurezza è apparso sui portafogli di criptovalute, costringendo gli utenti a correre a proteggere i propri fondi. Tuttavia, l’avviso li ha portati direttamente dai ladri, che hanno svuotato circa 2,56 milioni di dollari, sfruttando un sistema di notifiche fidato senza compromettere l’hardware stesso.
Dettagli dell’Attacco
Il produttore belga di portafogli hardware Ngrave, comunemente noto come NGRAVE, ha rivelato il 19 ottobre che gli aggressori hanno dirottato un fornitore di notifiche di terze parti che serviva la sua app LIQUID. La violazione ha permesso ai criminali di inviare avvisi di sicurezza dall’aspetto autentico direttamente ai clienti il 17 ottobre.
Il messaggio affermava che il portafoglio di un utente era stato sincronizzato con un dispositivo Pixel 9 a Mosca.
Cliccando sull’avviso, si apriva un sito web falso di Ngrave con un timer di conto alla rovescia e una scelta inquietante di approvare o negare l’attività sospetta. Entrambi i percorsi portavano alla stessa trappola: gli utenti venivano invitati a inserire la loro frase di recupero di 24 parole o Perfect Key, consegnando agli aggressori tutto il necessario per ricreare i loro portafogli.
Script automatizzati svuotavano i conti compromessi in pochi minuti. L’indagine di Ngrave ha tracciato circa 2,56 milioni di dollari rubati da 70 indirizzi di portafoglio su quattro reti. Il Bitcoin ha rappresentato 1,77 milioni di dollari, seguito da 454.000 dollari in XRP, 316.000 dollari in asset basati su Ethereum e 18.000 dollari in Stellar.
Tempistiche e Conseguenze
Il rapporto sugli incidenti dell’azienda rivela che l’accesso non autorizzato potrebbe essere iniziato l’11 ottobre, sei giorni prima che apparissero le notifiche fraudolente. Gli aggressori hanno ottenuto una chiave di accesso e l’hanno sfruttata per acquisirne un’altra con permessi più ampi, inclusi l’accesso a determinate informazioni analitiche.
Ngrave ha rilevato gli avvisi malevoli entro un minuto dalla loro apparizione alle 21:30 UTC del 17 ottobre. Tuttavia, il primo portafoglio è stato svuotato sei minuti dopo. L’azienda ha disabilitato il proprio sistema di notifiche entro le 22:45, ma i furti sono continuati da portafogli precedentemente compromessi fino alle 3:51 del mattino successivo.
Fondamentalmente, Ngrave sostiene che i suoi portafogli hardware ZERO e le chiavi private siano rimasti intatti. I criminali hanno invece manipolato i clienti per far loro consegnare le proprie credenziali.
Trasferimenti e Riconoscimenti
I fondi rubati sono stati trasferiti attraverso exchange, ponti blockchain e nuovi indirizzi. Ngrave ha tracciato bitcoin in 12 indirizzi, mentre XRP è passato attraverso 54 trasferimenti. L’azienda ha anche riconosciuto una potenziale esposizione delle informazioni sui dispositivi, dell’attività dei portafogli, degli indirizzi IP e delle posizioni approssimative, sollevando preoccupazioni riguardo a successivi attacchi mirati.
Il rapporto di Bitquery stima che circa l’81% sia finito sul popolare exchange DEX dei colpevoli.
Riflessioni Finali
Nel rapporto sugli incidenti, un dirigente senior di Ngrave ha parlato della questione. Il suo CEO ha offerto una valutazione insolitamente franca, affermando:
A mio modesto parere, il primo dovere di un’azienda di sicurezza delle criptovalute è fornire esattamente questo: sicurezza. In questo, abbiamo assolutamente e completamente fallito.
Ha riconosciuto che la postura di sicurezza dell’azienda era inadeguata quando ha assunto la leadership mesi prima. Da allora, Ngrave ha sostituito le chiavi compromesse e ha delineato controlli di notifica più rigorosi, inclusi approvazioni da parte di due persone, domini ristretti e capacità di spegnimento di emergenza.
I clienti interessati sono stati invitati a creare nuovi portafogli e contattare il supporto. L’indagine continua, lasciando intatta una preoccupante distinzione: l’hardware è rimasto solido, ma i messaggi fidati che lo circondano sono diventati l’arma.
È stato un anno difficile per i produttori di portafogli hardware, poiché il 2026 è stato costellato di problemi di sicurezza. Quasi una dozzina di incidenti di sicurezza documentati riguardanti portafogli hardware, tra cui Ledger, Trezor, Tangem, Safepal, Bitbox02 e Coldcard. Le perdite segnalate hanno superato i 180 milioni di dollari in due incidenti, esponendo vulnerabilità nel firmware, nei fornitori di terze parti, nella sicurezza fisica e nel phishing, piuttosto che attacchi remoti diretti sulle frasi di recupero.
