Ngrave-Phishing: 2,56 Millionen Dollar aus 70 Wallets, was du jetzt tun kannst

Der belgische Hardware-Wallet-Hersteller Ngrave hat am 19. Oktober 2026 einen Vorfallbericht veröffentlicht, der eine unangenehme Lücke beschreibt: Angreifer haben den Zugang eines externen Dienstleisters übernommen, der die Push-Benachrichtigungen der Begleit-App LIQUID verschickt, und über diesen Kanal gefälschte Sicherheitswarnungen an Nutzer geschickt. Wer der Warnung folgte und seine Wiederherstellungswörter eingab, verlor sein Guthaben. Nach Zählung des Unternehmens flossen rund 2,56 Millionen Dollar aus etwa 70 Wallet-Adressen auf vier Netzwerken ab.

Die Geräte selbst waren nicht das Ziel. Ngrave schreibt ausdrücklich, dass weder der Code der LIQUID-App noch die ZERO-Hardware oder die darauf gespeicherten Schlüssel angetastet wurden. Angegriffen wurde der Weg, auf dem das Unternehmen mit seinen Kunden spricht. Genau das macht den Fall für jeden interessant, der Kryptowerte selbst verwahrt, denn fast jede Wallet-App schickt heute Benachrichtigungen.

Was am 17. Oktober mit den LIQUID-Benachrichtigungen passierte

Am Abend des 17. Oktober 2026, gegen 21:30 Uhr UTC, ging an LIQUID-Nutzer eine Push-Nachricht raus, die aussah wie eine Sicherheitswarnung des Herstellers. Der Text behauptete, das Portfolio des Empfängers sei auf einem neuen Gerät synchronisiert worden: einem Pixel 9 in Moskau. Eine solche Meldung erzeugt genau die Reaktion, auf die es die Angreifer abgesehen hatten, nämlich schnelles Handeln ohne Nachdenken.

Der Link in der Nachricht führte auf eine nachgebaute Ngrave-Seite. Dort lief ein Countdown, daneben standen eine Schaltfläche zum Bestätigen und eine zum Ablehnen. Wer auf Ablehnen tippte, landete auf einer Seite, die nach dem Perfect Key oder der 24-Wort-Wiederherstellungsphrase fragte. Der Reflex, den Zugriff eines Fremden abzuwehren, führte also direkt in die Falle.

Die Zeitleiste im Bericht des Unternehmens ist eng getaktet. Um 21:31 Uhr bemerkte das Team die Nachricht, um 21:36 Uhr war die erste Wallet leer. Um 21:40 Uhr sperrte Ngrave den ersten gestohlenen Zugangsschlüssel, doch die Angreifer verschickten über einen zweiten weiter. Um 22:30 Uhr stand eine Warnung auf X, zehn Minuten später ging eine Warn-E-Mail an die Kunden, und um 22:45 Uhr schaltete das Unternehmen den Versand von Benachrichtigungen vollständig ab. Der letzte nachverfolgte Diebstahl fiel auf den 18. Oktober um 03:51 Uhr.

Der gekaperte Push-Dienstleister: Wie ein Zugangsschlüssel zum zweiten führte

Ngrave verschickt die Benachrichtigungen seiner App nicht selbst, sondern über einen externen Anbieter. Diesen Dienstleister trafen die Angreifer. Zunächst erlangten sie einen Zugangsschlüssel und nutzten ihn, um an einen zweiten mit weitergehenden Rechten zu kommen. Mit dem zweiten Schlüssel konnten sie Nachrichten an LIQUID-Nutzer senden und einen Teil der Nutzungsdaten einsehen.

Das früheste Anzeichen für diesen Zugriff datiert der Bericht auf den 11. Oktober. Zwischen dem Eindringen und der gefälschten Warnung lagen damit sechs Tage, in denen niemand etwas bemerkte. Erst um 09:37 Uhr am 18. Oktober war nach Darstellung des Unternehmens jeder Schlüssel ersetzt, den laufende Systeme verwenden.

Ein Zugangsschlüssel bei einem Dienstleister ist eine Zeichenfolge, mit der sich ein Programm gegenüber einem anderen ausweist, vergleichbar mit einem Passwort für Maschinen. Er steckt in Serverkonfigurationen, nicht in deiner Wallet. Deshalb hilft dir die beste Hardware nichts, wenn dieser Schlüssel in falsche Hände gerät: Die Nachricht, die dann bei dir ankommt, trägt den echten Absender.

2,56 bis 2,65 Millionen Dollar: Welche Coins aus welchen Wallets abflossen

Ngrave beziffert den nachverfolgten Schaden auf etwa 2,56 Millionen Dollar, gerechnet zu den Kursen vom 17. Oktober, verteilt auf rund 70 Wallet-Adressen und vier Netzwerke. Das Unternehmen bezeichnet diese Summe ausdrücklich als Mindestwert. Die Analysefirma Bitquery kommt in einer breiter angelegten Zählung auf etwa 2,65 Millionen Dollar über 84 Wallets, wie CryptoSlate berichtet. Aus Transaktionsdaten allein lässt sich allerdings nicht belegen, dass jede dieser Wallets einem Ngrave-Kunden gehörte. Die belastbare Spanne liegt damit zwischen 2,56 und 2,65 Millionen Dollar.

Die Aufschlüsselung des Herstellers nach Netzwerken sieht so aus:

• Bitcoin: 1,77 Millionen Dollar. Die Beträge liefen in einer Adresse der Angreifer zusammen und wurden von dort auf zwölf neu erzeugte Adressen verteilt.
• XRP: 454.000 Dollar. Diese Summe ging in 54 einzelnen Einzahlungen an die Tauschbörse ChangeNOW.
• Ethereum: rund 316.000 Dollar. Die Token wurden für 130,47 ETH verkauft und über den Dienst LI.FI auf andere Blockchains gebracht. Der Bericht nennt an einer Stelle 313.000 Dollar als gebrückte Summe und rund 3.000 Dollar an unverkauften Token, die in den Wallets der Angreifer liegen blieben.
• Stellar: 18.000 Dollar, gesendet an eine Adresse, die nach Einschätzung des Unternehmens zu einer Börse gehört.

Auffällig ist das Tempo. Zwischen der ersten geleerten Wallet und dem letzten nachverfolgten Diebstahl lagen gut sechs Stunden. Wer die Warn-E-Mail um 22:40 Uhr erst am nächsten Morgen las, hatte keine Chance mehr einzugreifen.

Was Ngrave nach eigener Darstellung nicht verloren hat

Der Bericht grenzt den Schaden an mehreren Stellen ein. Unangetastet blieben demnach der Code der LIQUID-App, die ZERO-Geräte samt der darauf gespeicherten Geheimnisse sowie Namen und Lieferadressen der Kunden, die in einem getrennten System liegen. Private Schlüssel verlassen ein ZERO-Gerät nach Angaben des Herstellers nicht, und die Angreifer hatten keinen Zugriff auf die Geräte.

Wiederherstellungsphrasen und Perfect Keys sind nach dieser Darstellung ebenfalls nicht abgeflossen, mit einer Ausnahme: jenen, die Nutzer selbst auf der gefälschten Seite eingetippt haben. Diese Unterscheidung ist der Kern des Falls. Technisch hat die Verwahrung gehalten. Gebrochen wurde das Vertrauen in den Kanal, über den der Hersteller Warnungen verschickt.

Die Datenliste: Was die Angreifer über LIQUID-Nutzer lesen konnten

Neben dem Geld ging ein Datensatz verloren, und der wiegt für die kommenden Monate schwerer, als die Summe vermuten lässt. Am 17. Oktober kopierten die Angreifer nach Angaben des Unternehmens die Benachrichtigungsliste. Darin stehen je Telefon ein Token, das Gerätemodell, das Betriebssystem, die LIQUID-Version, Sprache, Land, Zeitzone, Nutzungsdaten, eine interne App-Kennung und möglicherweise die IP-Adresse samt ungefährem Standort.

Lesbar waren außerdem die Swap-Historie mit Krypto-Adressen, Beträgen, Zeitpunkten und jüngeren Kontostandsdaten sowie allgemeine Nutzungsdaten der App. Ob diese Daten auch kopiert wurden, prüft das Unternehmen noch. Bei einer kleinen Zahl von Kunden konnten die Angreifer zudem E-Mail-Adresse und Bestellnummer aus Löschanfragen einsehen. Ngrave meldet die Offenlegung der belgischen Datenschutzbehörde.

Für dich heißt das: Wer LIQUID nutzt, muss in den nächsten Monaten mit zielgenauer Ansprache rechnen. Wer weiß, welches Gerät du benutzt, in welchem Land du lebst und welche Beträge du zuletzt getauscht hast, schreibt keine Massenmail mehr, sondern eine Nachricht, die zu deiner Lage passt. Wie sich solche Folgewellen nach einem Datenabfluss erkennen lassen, haben wir am Beispiel anderer Vorfälle in unserem Leitfaden zu Krypto-Phishing nach einem Datenleck beschrieben.

MiCA-Aufsicht: Ein Hardware-Wallet-Hersteller fällt nicht darunter

Für Anleger in Deutschland lohnt eine nüchterne Einordnung des Rechtsrahmens. Die EU-Verordnung MiCA regelt Anbieter, die Kryptowerte für andere verwahren, tauschen oder vermitteln. Ein Hersteller, der dir ein Gerät verkauft, mit dem du deine Schlüssel selbst aufbewahrst, verwahrt nichts für dich. Er fällt damit nicht in dieselbe Aufsicht wie eine Börse mit BaFin-Erlaubnis.

Die praktische Folge ist unbequem. Es gibt bei Eigenverwahrung keine Einlagensicherung, keinen Entschädigungsanspruch gegen eine Aufsichtsbehörde und keinen Fonds, der einspringt. Wer die Wiederherstellungswörter preisgibt, hat die Verfügungsgewalt abgegeben, und keine Stelle kann die Überweisung rückgängig machen. Das ist der Preis der Unabhängigkeit, und er ist bei der Auswahl eines Geräts mitzudenken. Welche Modelle sich in Deutschland kaufen lassen und worin sie sich bei Bedienung und Wiederherstellung unterscheiden, zeigt unser Vergleich der Hardware-Wallets.

Wer diesen Preis nicht zahlen will, hat eine Alternative, die ihrerseits andere Risiken trägt: die Verwahrung bei einem beaufsichtigten Anbieter. Dort haftet ein Unternehmen, das einer Aufsicht untersteht, dafür liegt die Kontrolle über die Schlüssel nicht mehr bei dir. Welche Handelsplätze eine MiCA-Zulassung für den deutschen Markt vorweisen, führt unsere Übersicht der regulierten Kryptobörsen.

Anzeige, Fallnummer und Börsensperre: Der Weg für Betroffene in Deutschland

Ngrave nennt im Bericht konkrete Schritte, und sie gelten unabhängig vom Hersteller für jeden vergleichbaren Fall. Wer seine Wiederherstellungsphrase oder seinen Perfect Key auf der gefälschten Seite eingegeben hat, soll die betroffene Wallet auf allen Netzwerken als unsicher behandeln, verbliebene Guthaben auf eine neue Wallet mit neuer Phrase bringen und an die alten Adressen nichts mehr senden. Das gilt dem Unternehmen zufolge auch dann, wenn die Seite die Eingabe als falsch zurückwies oder nur ein Teil der Wörter eingetippt wurde.

Wer den Link lediglich geöffnet oder die Schaltflächen angetippt hat, ohne Wörter einzugeben, gilt nach dieser Darstellung als nicht betroffen. Ein Hinweis aus dem Bericht ist hier wichtig: Eine Web-App mit dem Namen „NGRAVE Security Center", die beim Antippen auf dem Startbildschirm gelandet sein kann, stammt nicht vom Hersteller und gehört gelöscht.

Für den Kontakt verweist das Unternehmen auf support@ngrave.io, Vorgänge tragen ein Kürzel mit vorangestelltem OSH. Zur Spurensuche sollen Betroffene Transaktionskennungen, eigene und Zieladressen sowie den ungefähren Zeitpunkt der Eingabe schicken, niemals jedoch die Wiederherstellungsphrase selbst. Und ein Punkt betrifft deutsche Geschädigte direkt: Ngrave rät zur Strafanzeige am Wohnort und zur Weitergabe des Aktenzeichens, weil Börsen in aller Regel eine polizeiliche Referenz verlangen, bevor sie Guthaben einfrieren. In Deutschland nimmt die örtliche Polizeidienststelle die Anzeige auf, mehrere Bundesländer bieten dafür auch eine Online-Wache an.

Das Unternehmen hat nach eigenen Angaben den Benachrichtigungsdienst abgeschaltet, die gefälschten Nachrichten entfernt, die Phishing-Seite beim Registrar zur Abschaltung gemeldet, Protokolle gesichert, Behörden eingeschaltet und Börsen sowie Brückendienste um das Einfrieren der Gelder gebeten.

Die Lehre aus dem Vorfall: Der Angriffsweg führte über den Benachrichtigungskanal

Ngrave geht im eigenen Bericht ungewöhnlich hart mit sich ins Gericht. Der Firmenchef schreibt, das interne Benachrichtigungssystem sei „by sophisticated attackers" unterwandert worden, nennt die Masche „a classic trick, and one that we at NGRAVE should have prevented" und hält fest: „In this, we have absolutely and utterly failed." Das Ziel sei, das sicherste Unternehmen der Welt zu sein, davon sei man heute weit entfernt. Nachzulesen ist das im Vorfallbericht des Unternehmens vom 19. Oktober 2026.

Angekündigt ist eine Reihe von Umbauten, die das Unternehmen als noch nicht abgeschlossen bezeichnet. LIQUID soll künftig ausschließlich offizielle Ngrave-Adressen öffnen können, Benachrichtigungen und Banner also keine fremden Seiten mehr aufrufen. Dazu kommen ein Schlüssel, der nur senden und nichts lesen kann, ein auf eigene Server begrenzter Zugang mit Zwei-Faktor-Anmeldung, Alarme bei ungewöhnlicher Nutzung und bei Massenexporten, ein Vier-Augen-Prinzip für jede Nachricht, kurzlebige Schlüssel mit Wechsel mindestens alle 90 Tage sowie ein einziger Schalter, der sämtliche Versandwege stilllegt.

Der Fall reiht sich in ein Muster ein, das dieses Jahr mehrfach zu sehen war. Im Oktober meldete das Analyseunternehmen SlowMist gefälschte Firmware-Hinweise im Namen eines anderen Herstellers, über die wir unter gefälschte Ledger-Firmware-Updates berichtet haben. Die Angriffsfläche verschiebt sich von der Hardware zu allem, was um sie herum steht: App, Benachrichtigung, Kundenliste, Versanddienstleister.

Eine Faustregel trägt durch fast alle diese Fälle: Kein seriöser Hersteller und keine Börse fragt je nach deiner Wiederherstellungsphrase, deinem Perfect Key oder einer Zahlung. Ngrave stellt genau das im Bericht noch einmal klar und warnt zusätzlich vor Anbietern, die gegen Geld eine Rückholung gestohlener Kryptowerte versprechen. Solche Angebote sind nach Darstellung des Unternehmens durchweg Betrug.

Ngrave-Phishing: Wer die Wörter eintippte, braucht eine neue Wallet

Der Vorfall hat keine Lücke in der Verwahrung selbst offengelegt, sondern im Vertrauen auf den Absender einer Nachricht. Daraus ergeben sich drei Schritte:

1. Prüfe, ob du betroffen bist, und handle entsprechend. Hast du am Abend des 17. Oktober eine Synchronisierungswarnung bekommen und danach Wörter eingegeben, ist die Wallet verbrannt. Richte eine neue mit frischer Wiederherstellungsphrase ein, übertrage verbliebene Guthaben dorthin und stelle Strafanzeige, damit du das Aktenzeichen für Börsensperren in der Hand hast. Welches Gerät dafür infrage kommt, steht im Hardware-Wallet-Vergleich.
2. Stelle Benachrichtigungen vom Handeln auf das Nachschauen um. Behandle jede Push-Nachricht und jede Mail als bloßen Anlass, selbst in der App oder im Block-Explorer nachzusehen, und folge nie einem Link aus der Meldung. Ein echter Zugriff auf dein Guthaben zeigt sich in der Blockchain, nicht in einer Benachrichtigung. Welche Anwendungen sich dafür eignen und wie sie mit Freigaben umgehen, zeigt der Software-Wallet-Vergleich.
3. Entscheide bewusst, wie viel du selbst verwahrst. Eigenverwahrung bedeutet volle Kontrolle und volle Haftung, Verwahrung bei einem beaufsichtigten Anbieter verteilt beides anders. Für größere Bestände ist eine Aufteilung üblich. Welche Plätze für den deutschen Markt zugelassen sind, führt die Übersicht der regulierten Kryptobörsen.

(Stand: 23. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)