Ngrave-LIQUID-Phishing über Benachrichtigungen

Am 17. Oktober 2026 wurden rund 70 Wallets von Kunden des belgischen Hardware-Wallet-Herstellers Ngrave um etwa 2,56 Millionen Dollar geleert, nachdem Angreifer den externen Push-Benachrichtigungsdienst hinter der LIQUID-Begleit-App gekapert und darüber gefälschte Sicherheitswarnungen verschickt hatten, die Opfer auf eine Phishing-Seite zur Abfrage von Zugangsdaten lockten.

Was geschah

Die Schwäche lag nicht in Ngraves ZERO-Hardware-Geräten, die laut Unternehmen nie direkt kompromittiert wurden, noch in den privaten Schlüsseln selbst — sie lag im Benachrichtigungskanal, dem die Kunden zu vertrauen gelernt hatten. Ngrave erklärte, die Angreifer hätten zunächst einen Zugangsschlüssel für das Benachrichtigungssystem erlangt und diesen dann genutzt, um an einen weiteren Schlüssel mit umfassenderen Rechten zu gelangen, einschließlich Zugriff auf einige Analysedaten. Der unbefugte Zugriff könnte etwa am 11. Oktober begonnen haben, sechs Tage bevor der Angriff offen zutage trat.

Gegen 21:30 UTC am 17. Oktober versandten die Angreifer betrügerische Warnungen über die legitime Pipeline. Eine Nachricht warnte, das Portfolio des Nutzers habe sich mit einem Pixel-9-Gerät in Moskau synchronisiert; ein Tippen öffnete eine gefälschte Ngrave-Seite mit Countdown-Timer und Bestätigen-/Ablehnen-Schaltflächen, die Opfer zur Eingabe ihrer 24-Wort-Wiederherstellungsphrase oder des Perfect Key drängten. Automatisierte Skripte räumten die Wallets dann binnen Minuten leer. Ngrave erkannte die bösartigen Warnungen nach etwa einer Minute, die erste Wallet wurde sechs Minuten später geleert, und das Benachrichtigungssystem war bis 22:45 UTC abgeschaltet — doch Diebstähle aus bereits kompromittierten Wallets liefen bis 03:51 UTC am nächsten Morgen weiter. Die Verluste verteilten sich auf rund 1,77 Mio. $ in Bitcoin, 454.000 $ in XRP, 316.000 $ in Ethereum-basierten Assets und 18.000 $ in Stellar.

Nachwirkungen

Die gestohlenen Mittel wanderten über Börsen, Cross-Chain-Bridges und frische Adressen; Ngrave verfolgte die Bitcoin in 12 Adressen und die XRP über 54 Transfers, und die On-Chain-Analysefirma Bitquery schätzte, dass etwa 81 % der Beute die Perpetuals-DEX Hyperliquid erreichten. Zum Zeitpunkt der Offenlegung waren keine Mittel wiederbeschafft, und die Ermittlungen liefen weiter. Ngrave ersetzte die kompromittierten Schlüssel und verschärfte seine Benachrichtigungskontrollen mit Zwei-Personen-Freigaben, eingeschränkten Domains und einer Notabschaltung, während der CEO öffentlich einräumte, das Unternehmen habe bei seiner Kernaufgabe Sicherheit „absolut und restlos versagt". Betroffene Kunden sollten ihre Wallets als kompromittiert betrachten und Assets in frisch erzeugte verschieben. Bemerkenswert: Krakens Sicherheitschef bezeichnete Ngrave als den zweiten Wallet-Hersteller binnen zwei Tagen, dessen In-App-Benachrichtigungen zum Abfischen von Wiederherstellungsphrasen missbraucht wurden, nach einer ähnlichen Fake-Alert-Kampagne gegen SecuX am 16. Oktober.

Warum es zählt

Der Ngrave-Vorfall zeigt, dass die kryptografische Sicherheit einer Hardware-Wallet nur so stark ist wie die Kommunikationskanäle, die sie umgeben. Indem die Angreifer eine vertrauenswürdige Benachrichtigungs-Pipeline statt des Geräts kompromittierten, borgten sie sich Ngraves eigene Glaubwürdigkeit, um einen Phishing-Köder zu liefern, den Nutzer kaum anzweifelten — dasselbe Muster, das auch Nutzer anderer Wallet-Marken traf, etwa beim Ledger-Reseller-Supply-Chain-Angriff und bei der D'CENT-Begleit-App-Kompromittierung. Die unumstößliche Regel gilt unabhängig von der Hardware: Eine Wiederherstellungsphrase, die in irgendeine Website oder App eingegeben wird, ist bereits verloren, denn ein seriöser Wallet-Anbieter braucht sie nie. Der Vorfall unterstreicht auch, wie Anbieter- und Drittanbieter-Infrastruktur — Push-Benachrichtigungsdienste, Analyse-Backends, In-App-Banner — eine kaum beachtete Angriffsfläche bilden, deren Kompromittierung gegen genau die Nutzer gerichtet werden kann, die ein sicheres Gerät schützen sollte.