256 万美元被盗：Ngrave 通知系统被劫持，CEO 承认彻底失败

据 Woofun AI 消息，比利时硬件钱包制造商 遭遇严重安全危机，其第三方通知服务被黑客劫持，导致约 256 万美元的加密资产被盗。尽管 ZERO 硬件设备本身未被攻破，但攻击者通过发送虚假安全警报，诱导用户主动交出 24 字恢复短语。Ngrave 首席执行官公开承认，公司在履行基本安全职责方面'彻底失败'，这一事件暴露了硬件钱包生态中非设备端的安全盲区。

值得注意的是，此次攻击并未破坏硬件私钥存储机制，而是利用了用户对官方通知系统的信任，将安全防线从物理设备转移至软件交互层面，造成了巨额资金损失。

攻击的技术路径呈现出高度的欺骗性与自动化特征。10 月 17 日，受害用户收到了看似来自官方的安全警告，声称其资产账户已与位于莫斯科的一台 Pixel 9 手机建立连接。点击警告后，用户被引导至一个仿制的 Ngrave 网站，页面上显示倒计时器及'授权'或'拒绝'选项。无论用户如何选择，最终都会被要求输入 24 字恢复短语或完美密钥，从而将钱包控制权拱手让给攻击者。自动脚本在获取凭证后迅速清空账户。

Woofun AI 整理数据显示，被盗资金分布在四个区块链网络上的 70 个钱包地址中，总计约 256 万美元。具体构成包括：比特币 177 万美元、瑞波币 454,000 美元、基于以太坊的资产 316,000 美元以及 Stellar 币 18,000 美元。在资金清洗环节，比特币流入了 12 个地址，而瑞波币则经历了 54 次转账。分析机构 的报告指出，大部分被盗资金目前以 token 的形式存在于 平台上，约有 81% 的资金流入了这家颇受欢迎的 perps DEX（去中心化交易所），显示出攻击者利用去中心化衍生品平台进行资产混淆和变现的意图。

从时间线来看，攻击者的渗透过程远比表面显现的要早。Ngrave 的事件报告显示，未经授权的访问可能早在 10 月 11 日就已经开始，即欺诈性通知出现前的六天。攻击者首先获取了一个访问权限键，随后利用该权限获取了拥有更广泛权限的钥匙，包括访问某些分析信息的权限。10 月 17 日世界标准时间晚上 9:30，恶意警报开始发送，Ngrave 在一分钟内就发现了异常。

然而，响应滞后导致了严重后果：第一个钱包在六分钟后就被洗空。该公司在晚上 10:45 关闭了通知系统，但此前已被攻破的钱包仍在继续被盗，直至次日凌晨 3:51 才完全停止。除了资金损失，Ngrave 还承认设备的详细信息、钱包活动记录、IP 地址以及大致位置可能已被泄露，这引发了人们对后续针对性诈骗行为的担忧。攻击者并未直接远程攻击硬件，而是通过社会工程学手段，让用户在不知情的情况下自愿交出凭证，这种'零接触'的攻击模式使得传统硬件安全防御形同虚设。

此次事件并非孤立现象，而是 2026 年硬件钱包安全危机全景的一部分。全年涉及 、、、、 和 等品牌的硬件钱包，已有近十几起已记录在案的安全事件发生。仅在两起事件中，损失金额就超过了 1.8 亿美元，这些问题暴露出固件缺陷、第三方供应商问题、物理安全漏洞以及钓鱼攻击等方面的隐患。Ngrave 首席执行官在 2026 年 10 月 20 日美国东部时间晚上 7:30 发布的报告中坦言，他在几个月前接任领导职务时，公司的安全措施就已存在严重不足。