سرقت ۲.۵۶ میلیون دلاری از کاربران Ngrave از طریق هشدار امنیتی جعلی

یک هشدار امنیتی جعلی که در کیف پول‌های ارز دیجیتال به نمایش درآمد، کاربران را برای محافظت از دارایی‌هایشان به تکاپو انداخت. اما در واقع، این هشدار آن‌ها را مستقیماً به دامی هدایت کرد که توسط سارقان پهن شده بود. هکرها با بهره‌برداری از یک سیستم اطلاع‌رسانی معتبر، بدون آنکه خود سخت‌افزار را هک کنند، حدود ۲.۵۶ میلیون دلار به سرقت بردند.

هشدار جعلی با هزینه ۲.۵۶ میلیون دلاری

شرکت بلژیکی سازنده کیف پول سخت‌افزاری Ngrave در تاریخ ۱۹ اکتبر اعلام کرد که مهاجمان یک ارائه‌دهنده خدمات اطلاع‌رسانی شخص ثالث را که به اپلیکیشن همراه LIQUID متصل بود، هک کرده‌اند. این رخنه به مجرمان اجازه داد تا در تاریخ ۱۷ اکتبر، هشدارهای امنیتی کاملاً واقعی به نظر برسند را مستقیماً برای مشتریان ارسال کنند.

در این پیام ادعا شده بود که پورتفولیوی کاربر با یک دستگاه Pixel 9 در مسکو همگام‌سازی شده است. با کلیک بر روی هشدار، یک وب‌سایت جعلی Ngrave باز می‌شد که دارای یک تایمر شمارش معکوس و گزینه‌ای برای تأیید یا رد این فعالیت مشکوک بود.

هر دو گزینه به یک دام منتهی می‌شد. از کاربران خواسته می‌شد تا عبارت بازیابی ۲۴ کلمه‌ای یا کلید «Perfect Key» خود را وارد کنند و به این ترتیب، هر آنچه برای بازسازی کیف پول‌هایشان لازم بود را در اختیار مهاجمان قرار می‌دادند. اسکریپت‌های خودکار در عرض چند دقیقه حساب‌های به خطر افتاده را خالی کردند.

تحقیقات Ngrave نشان داد که حدود ۲.۵۶ میلیون دلار از ۷۰ آدرس کیف پول در چهار شبکه بلاکچین به سرقت رفته است. بیت‌کوین با ۱.۷۷ میلیون دلار بیشترین سهم را داشت و پس از آن ۴۵۴,۰۰۰ دلار در XRP، ۳۱۶,۰۰۰ دلار در دارایی‌های مبتنی بر اتریوم و ۱۸,۰۰۰ دلار در استلار قرار داشتند.

سوءاستفاده از کلیدهای اطلاع‌رسانی، نه سخت‌افزار

گزارش حادثه شرکت نشان می‌دهد که دسترسی غیرمجاز احتمالاً از ۱۱ اکتبر، شش روز قبل از نمایش اعلان‌های جعلی، آغاز شده بود. مهاجمان یک کلید دسترسی را به دست آورده و از آن برای کسب کلید دیگری با مجوزهای گسترده‌تر، از جمله دسترسی به برخی اطلاعات تحلیلی، استفاده کردند.

Ngrave هشدارهای مخرب را در ساعت ۹:۳۰ شب به وقت UTC در ۱۷ اکتبر، ظرف یک دقیقه پس از ظهور، شناسایی کرد. با این وجود، اولین کیف پول شش دقیقه بعد تخلیه شد. این شرکت تا ساعت ۱۰:۴۵ شب سیستم اطلاع‌رسانی خود را غیرفعال کرد، اما سرقت‌ها از کیف پول‌هایی که قبلاً به خطر افتاده بودند تا ساعت ۳:۵۱ بامداد روز بعد ادامه یافت.

نکته مهم این است که Ngrave تأکید می‌کند کیف پول‌های سخت‌افزاری ZERO و کلیدهای خصوصی دست‌نخورده باقی مانده‌اند. در عوض، مجرمان مشتریان را فریب دادند تا خودشان اطلاعات محرمانه خود را تسلیم کنند.

مدیرعامل Ngrave: «کاملاً و مطلقاً شکست خوردیم»

وجوه سرقت شده از طریق صرافی‌ها، پل‌های بلاکچینی و آدرس‌های جدید جابجا شدند. Ngrave رد بیت‌کوین را تا ۱۲ آدرس و XRP را در ۵۴ انتقال دنبال کرد. این شرکت همچنین به احتمال افشای اطلاعات دستگاه، فعالیت کیف پول، آدرس‌های IP و مکان‌های تقریبی کاربران اذعان کرد که نگرانی‌هایی را در مورد کلاهبرداری‌های هدفمند بعدی افزایش می‌دهد.

شرکت تحلیلی Bitquery نیز گزارشی در این باره منتشر کرد و اشاره نمود که از نظر وجوه سرقت شده، «بیشتر آن اکنون در صرافی Hyperliquid به عنوان توکن مونرو (Monero) نگهداری می‌شود.» گزارش Bitquery تخمین می‌زند که حدود ۸۱ درصد از وجوه به این صرافی غیرمتمرکز محبوب راه یافته است.

در گزارش حادثه، مدیرعامل Ngrave ارزیابی فوق‌العاده صادقانه‌ای ارائه داد:

به نظر من، اولین وظیفه یک شرکت امنیتی ارز دیجیتال دقیقاً تأمین امنیت است. در این مورد، ما کاملاً و مطلقاً شکست خوردیم.

مدیرعامل Ngrave

او اذعان کرد که وضعیت امنیتی شرکت در زمانی که ماه‌ها قبل رهبری را بر عهده گرفته بود، ناکافی بوده است. Ngrave از آن زمان کلیدهای به خطر افتاده را جایگزین کرده و کنترل‌های سخت‌گیرانه‌تری برای اطلاع‌رسانی، از جمله تأیید دو نفره، دامنه‌های محدود و قابلیت‌های خاموشی اضطراری، مشخص کرده است. از مشتریان آسیب‌دیده خواسته شده تا کیف پول‌های جدیدی ایجاد کرده و با پشتیبانی تماس بگیرند.

تحقیقات همچنان ادامه دارد و یک تمایز نگران‌کننده را برجسته می‌کند: سخت‌افزار مقاومت کرد، اما پیام‌های معتبری که آن را احاطه کرده بودند، به سلاح تبدیل شدند.

سال جاری برای سازندگان کیف پول‌های سخت‌افزاری سال سختی بوده است، زیرا این حوزه با مشکلات امنیتی متعددی از جمله برای شرکت‌هایی مانند Ledger، Trezor، Tangem، Safepal، Bitbox02 و Coldcard مواجه شده است. زیان‌های گزارش‌شده در دو حادثه از ۱۸۰ میلیون دلار فراتر رفت و آسیب‌پذیری‌ها بیشتر در سیستم‌عامل، فروشندگان شخص ثالث، امنیت فیزیکی و فیشینگ بودند تا حملات مستقیم از راه دور به عبارت‌های بازیابی.