Gefälschte Ngrave-Warnung kostet Nutzer mindestens 2,56 Mio. Dollar

Am späten Abend des 17. Oktober schickten Angreifer über den echten Benachrichtigungsdienst der Ngrave-App Liquid eine gefälschte Sicherheitswarnung. Wer danach Wiederherstellungsphrase oder Perfect Key eingab, verlor sein Guthaben: nach dem Vorfallbericht des Herstellers mindestens 2,56 Millionen Dollar aus rund 70 Adressen.

Die Hardware-Wallet ZERO selbst sei nicht angegriffen worden, schreibt das belgische Unternehmen in seinem Bericht vom 19. Oktober. Die privaten Schlüssel verlassen das Gerät nicht. Die Angreifer kamen nur an die Phrasen, die Nutzer selbst auf einer nachgebauten Ngrave-Seite eintippten.

Die Angreifer saßen seit dem 11. Oktober beim Versanddienstleister

Den Zugang holten sie sich nicht bei Ngrave, sondern bei dem Dienstleister, der die Push-Mitteilungen der Liquid-App verschickt. Dort erbeuteten sie zunächst einen Zugangsschlüssel und damit einen zweiten, weiter reichenden.

Die frühesten Spuren dieses Zugriffs datiert Ngrave auf den 11. Oktober, sechs Tage vor dem Angriff.

Die Warnung kam deshalb auf demselben Weg wie echte Nachrichten des Herstellers und erschien zusätzlich als Banner in der App: “Your LIQUID portfolio was synced on a new device”, angeblich auf einem Pixel 9 in Moskau, dazu “If this wasn’t you, review now.” Der Link führte auf eine Kopie der Ngrave-Seite mit Countdown und einem Knopf zum Ablehnen. Wer ihn drückte, sollte zur Abwehr des angeblichen Eindringlings die 24 Wörter oder den Perfect Key eingeben.

Danach leerten Skripte die Wallets nach Angaben von Ngrave binnen Minuten.

Zwischen dem Erkennen und dem vollständigen Abschalten lagen also 74 Minuten, weil der zweite Schlüssel weiter funktionierte; gestohlen wurde noch Stunden später, aus Wallets, deren Phrasen schon auf der falschen Seite gelandet waren.

Bitcoin macht zwei Drittel der Beute aus

Von den 2,56 Millionen Dollar entfallen nach der Aufstellung von Ngrave 1,77 Millionen auf Bitcoin, 454.000 Dollar auf XRP, 316.000 Dollar auf Token im Ethereum-Netz und 18.000 Dollar auf Stellar, jeweils zu Kursen vom 17. Oktober. Ngrave nennt die Summe ausdrücklich eine Untergrenze, weil weitere Netze und Kundenmeldungen noch geprüft werden.

Die Bitcoin sammelten die Angreifer zunächst auf einer Adresse und verteilten sie dann auf zwölf neue. Die XRP gingen in 54 Einzahlungen an die Tauschbörse ChangeNOW, die Ngrave um ein Einfrieren gebeten hat. Die Ethereum-Token tauschten die Täter in 130,47 ETH und schickten diese über den Brückendienst LI.FI in andere Netze. Nach einer Auswertung von Bitquery, über die Bitcoin.com berichtet, liegt der größte Teil inzwischen auf Hyperliquid.

Ngrave meldet Datenabfluss an die belgische Aufsicht

Der zweite Schlüssel öffnete auch Teile der Analysedaten von Liquid: Kopiert haben die Angreifer nach Angaben von Ngrave die Liste der Geräte, an die Mitteilungen gehen, mit Telefonmodell, Betriebssystem, Sprache, Land, Zeitzone und möglicherweise IP-Adresse. Lesbar war außerdem der Verlauf der Tauschgeschäfte in der App mit Adressen und Beträgen; ob er kopiert wurde, prüft das Unternehmen noch. Namen und Lieferadressen liegen in einem getrennten System und waren nicht erreichbar.

Ngrave meldet den Vorfall der belgischen Datenschutzbehörde und warnt vor gezielten Betrugsversuchen in den kommenden Wochen. Das Muster kennen Krypto-Anleger aus jüngster Zeit. Auch der Phishing-Post auf dem X-Konto von Coldcard kam über einen echten Kanal des Herstellers, und gefälschte Ledger-Briefe erfinden gerade eine Meldepflicht.

Der Vorstandschef, der seine Notiz im Bericht nur mit “R” zeichnet, schreibt: “the first duty of a crypto security company is to provide exactly that: security. In this, we have absolutely and utterly failed.” Die Sicherheit des Unternehmens habe er schon bei seinem Amtsantritt vor einigen Monaten für unzureichend gehalten.

Wer seine Phrase eingegeben hat, braucht eine neue Wallet

Ngrave unterscheidet drei Fälle. Wer auf der falschen Seite seine Phrase oder den Perfect Key eingetippt hat, soll die Wallet in jedem Netz als unsicher behandeln, auch wenn noch Guthaben darauf liegt, und den Rest auf eine neue Wallet mit neuer Phrase ziehen. Das gilt laut Hersteller auch, wenn die Seite die Phrase als falsch zurückwies oder nur ein Teil eingegeben wurde. Wer den Link nur geöffnet hat, verliert nichts, soll aber eine auf dem Startbildschirm abgelegte Web-App namens “NGRAVE Security Center” löschen.

Eine Entschädigung kündigt Ngrave nicht an; Betroffene bekommen eine Fallnummer und sollen Anzeige erstatten, weil Börsen Guthaben in der Regel erst mit polizeilichem Aktenzeichen einfrieren. Das Unternehmen sitzt im belgischen Wavre und bittet Nutzer, jede Nachricht zu dem Vorfall, die zum Handeln auffordert, zuerst beim Support gegenzuprüfen. Warum eine Seed-Phrase in kein Formular gehört, gleich welcher Absender darum bittet, ist der Kern jeder Wallet-Sicherheit.

Die neue Regel in der App setzt genau dort an: Mitteilungen, Banner und Hinweise sollen künftig nur noch Links zu Ngraves eigenen Quellen öffnen können.