Phishing par notifications sur LIQUID de Ngrave

Le 17 octobre 2026, environ 70 portefeuilles de clients du fabricant belge de portefeuilles matériels Ngrave ont été vidés pour environ 2,56 millions de dollars après que des attaquants ont détourné le fournisseur tiers de notifications push derrière l'application compagnon LIQUID et s'en sont servis pour diffuser de fausses alertes de sécurité qui dirigeaient les victimes vers une page d'hameçonnage d'identifiants.

Ce qui s'est passé

La faiblesse ne se trouvait pas dans les appareils matériels ZERO de Ngrave, qui selon l'entreprise n'ont jamais été directement compromis, ni dans les clés privées elles-mêmes — elle se trouvait dans le canal de notifications auquel les clients avaient appris à faire confiance. Ngrave a indiqué que les attaquants ont d'abord obtenu une clé d'accès au système de notifications, puis l'ont utilisée pour obtenir une autre clé aux droits plus étendus, incluant l'accès à certaines données analytiques. L'accès non autorisé pourrait avoir commencé vers le 11 octobre, six jours avant que l'attaque ne devienne visible.

Vers 21 h 30 UTC le 17 octobre, les attaquants ont diffusé de fausses alertes via le canal légitime. Un message avertissait que le portefeuille de l'utilisateur s'était synchronisé avec un appareil Pixel 9 à Moscou ; en le touchant, on ouvrait un faux site Ngrave avec un compte à rebours et des boutons approuver/refuser qui poussaient les victimes à saisir leur phrase de récupération de 24 mots ou leur Perfect Key. Des scripts automatisés vidaient alors les portefeuilles en quelques minutes. Ngrave a affirmé avoir détecté les alertes malveillantes en environ une minute, le premier portefeuille ayant été vidé six minutes plus tard, et le système de notifications a été désactivé vers 22 h 45 UTC — mais les vols sur des portefeuilles déjà compromis se sont poursuivis jusqu'à 03 h 51 UTC le lendemain matin. Les pertes se répartissaient en environ 1,77 million de dollars en Bitcoin, 454 000 dollars en XRP, 316 000 dollars en actifs basés sur Ethereum et 18 000 dollars en Stellar.

Conséquences

Les fonds volés ont transité par des plateformes d'échange, des ponts inter-chaînes et des adresses neuves ; Ngrave a retracé les Bitcoin vers 12 adresses et les XRP à travers 54 transferts, et la société d'analyse on-chain Bitquery a estimé qu'environ 81 % du butin avait atteint le DEX de perpétuels Hyperliquid. Au moment de la divulgation, aucun fonds n'avait été récupéré et l'enquête restait ouverte. Ngrave a remplacé les clés compromises et renforcé ses contrôles de notification avec des approbations à deux personnes, des domaines restreints et une capacité d'arrêt d'urgence, tandis que son PDG a publiquement reconnu que l'entreprise avait « absolument et totalement échoué » dans sa mission première de sécurité. Les clients concernés ont été invités à considérer leurs portefeuilles comme compromis et à déplacer leurs actifs vers des portefeuilles nouvellement générés. Fait notable, le responsable de la sécurité de Kraken a désigné Ngrave comme le deuxième fabricant de portefeuilles en deux jours dont les notifications intégrées à l'application ont été détournées pour voler des phrases de récupération, après une campagne de fausses alertes similaire ayant frappé SecuX le 16 octobre.

Pourquoi c'est important

La compromission de Ngrave montre que la sécurité cryptographique d'un portefeuille matériel ne vaut que ce que valent les canaux de communication qui l'entourent. En compromettant un canal de notifications de confiance plutôt que l'appareil, les attaquants ont emprunté la crédibilité même de Ngrave pour livrer un leurre d'hameçonnage que les utilisateurs avaient peu de raisons de mettre en doute — le même scénario qui a vidé les utilisateurs d'autres marques de portefeuilles, comme l'attaque de la chaîne d'approvisionnement du revendeur Ledger et la compromission de l'application compagnon de D'CENT. La règle inébranlable tient quel que soit le matériel : une phrase de récupération saisie sur un site web ou une application, quelle qu'elle soit, est déjà perdue, car un fournisseur de portefeuille légitime n'en a jamais besoin. L'incident souligne aussi à quel point l'infrastructure des fournisseurs et des tiers — services de notifications push, backends analytiques, bannières intégrées — constitue une surface d'attaque peu examinée dont la compromission peut être retournée contre les utilisateurs mêmes qu'un appareil sécurisé était censé protéger.