Phishing Ngrave : 2,56 millions de dollars sortis de 70 portefeuilles via un prestataire push détourné

Le fabricant belge de portefeuilles matériels Ngrave a publié le 19 octobre 2026 un rapport d’incident qui décrit une faille gênante : des attaquants ont pris le contrôle de l’accès d’un prestataire externe chargé d’envoyer les notifications push de l’application compagnon LIQUID, et se sont servis de ce canal pour adresser aux utilisateurs de fausses alertes de sécurité. Qui a suivi l’alerte et saisi ses mots de récupération a perdu son solde. Selon le décompte de l’entreprise, environ 2,56 millions de dollars sont sortis de quelque 70 adresses de portefeuille réparties sur quatre réseaux.

Les appareils eux-mêmes n’étaient pas la cible. Ngrave écrit expressément que ni le code de l’application LIQUID, ni le matériel ZERO, ni les clés qui y sont stockées n’ont été touchés. Ce qui a été attaqué, c’est la voie par laquelle l’entreprise parle à ses clients. C’est précisément ce qui rend ce cas instructif pour quiconque conserve lui-même ses actifs numériques, car presque toutes les applications de portefeuille envoient aujourd’hui des notifications.

Ce qui s’est passé le 17 octobre avec les notifications LIQUID

Le soir du 17 octobre 2026, vers 21 h 30 UTC, un message push est parti vers les utilisateurs de LIQUID, avec l’apparence d’une alerte de sécurité du fabricant. Le texte affirmait que le portefeuille du destinataire venait d’être synchronisé sur un nouvel appareil : un Pixel 9 à Moscou. Un tel message provoque exactement la réaction visée par les attaquants, à savoir agir vite sans réfléchir.

Le lien du message menait à une copie du site Ngrave. Un compte à rebours y défilait, à côté d’un bouton pour confirmer et d’un autre pour refuser. Qui appuyait sur refuser arrivait sur une page demandant la Perfect Key ou la phrase de récupération de 24 mots. Le réflexe de repousser l’accès d’un inconnu conduisait donc droit dans le piège.

La chronologie du rapport est serrée. À 21 h 31, l’équipe a remarqué le message ; à 21 h 36, le premier portefeuille était vide. À 21 h 40, Ngrave a révoqué la première clé d’accès volée, mais les attaquants ont continué d’émettre avec une seconde. À 22 h 30, une alerte était publiée sur X, dix minutes plus tard un courriel d’avertissement partait vers les clients, et à 22 h 45 l’entreprise a coupé entièrement l’envoi de notifications. Le dernier vol retracé tombe le 18 octobre à 03 h 51.

Le prestataire push détourné : comment une clé d’accès a mené à la seconde

Ngrave n’envoie pas elle-même les notifications de son application, mais passe par un prestataire externe. C’est lui que les attaquants ont visé. Ils ont d’abord obtenu une clé d’accès, puis s’en sont servis pour atteindre une seconde, aux droits plus étendus. Cette seconde clé leur a permis d’envoyer des messages aux utilisateurs de LIQUID et de consulter une partie des données d’usage.

Le rapport date le premier signe de cet accès au 11 octobre. Six jours se sont donc écoulés entre l’intrusion et la fausse alerte, sans que personne ne remarque quoi que ce soit. Ce n’est qu’à 09 h 37, le 18 octobre, que toutes les clés utilisées par les systèmes en service avaient été remplacées, selon l’entreprise.

Une clé d’accès chez un prestataire est une suite de caractères par laquelle un programme s’identifie auprès d’un autre, l’équivalent d’un mot de passe pour machines. Elle se trouve dans des configurations de serveur, pas dans votre portefeuille. C’est pourquoi le meilleur matériel ne vous sert à rien si cette clé tombe en de mauvaises mains : le message qui vous parvient alors porte l’expéditeur authentique.

De 2,56 à 2,65 millions de dollars : quelles cryptos sont sorties de quels portefeuilles

Ngrave chiffre le préjudice retracé à environ 2,56 millions de dollars, calculé aux cours du 17 octobre, répartis sur quelque 70 adresses de portefeuille et quatre réseaux. L’entreprise qualifie expressément cette somme de minimum. La société d’analyse Bitquery parvient, dans un décompte plus large, à environ 2,65 millions de dollars sur 84 portefeuilles, comme le rapporte CryptoSlate. Les seules données de transaction ne permettent toutefois pas d’établir que chacun de ces portefeuilles appartenait à un client de Ngrave. La fourchette défendable va donc de 2,56 à 2,65 millions de dollars.

La ventilation par réseau fournie par le fabricant est la suivante :

• Bitcoin : 1,77 million de dollars. Les montants ont convergé vers une adresse des attaquants, puis ont été répartis depuis celle-ci sur douze adresses nouvellement créées.
• XRP : 454 000 dollars. Cette somme est partie vers le service d’échange ChangeNOW en 54 dépôts distincts.
• Ethereum : environ 316 000 dollars. Les jetons ont été vendus contre 130,47 ETH et transférés vers d’autres blockchains via le service LI.FI. Le rapport mentionne à un endroit 313 000 dollars comme somme transférée par pont et environ 3 000 dollars de jetons non vendus restés dans les portefeuilles des attaquants.
• Stellar : 18 000 dollars, envoyés à une adresse qui, selon l’entreprise, appartient à une place d’échange.

La vitesse frappe. Un peu plus de six heures séparent le premier portefeuille vidé du dernier vol retracé. Qui n’a lu le courriel d’alerte de 22 h 40 que le lendemain matin n’avait plus aucune chance d’intervenir.

Ce que Ngrave dit ne pas avoir perdu

Le rapport circonscrit le dommage en plusieurs points. Sont restés intacts, selon lui, le code de l’application LIQUID, les appareils ZERO et les secrets qui y sont stockés, ainsi que les noms et adresses de livraison des clients, qui se trouvent dans un système distinct. Les clés privées ne quittent pas un appareil ZERO, d’après le fabricant, et les attaquants n’ont eu aucun accès aux appareils.

Les phrases de récupération et les Perfect Keys n’ont pas fui davantage, selon cette présentation, à une exception près : celles que les utilisateurs ont saisies eux-mêmes sur la fausse page. Cette distinction est le cœur de l’affaire. Techniquement, la conservation a tenu. Ce qui a été rompu, c’est la confiance dans le canal par lequel le fabricant diffuse ses alertes.

La liste de données : ce que les attaquants pouvaient lire sur les utilisateurs de LIQUID

Outre l’argent, un jeu de données a été perdu, et il pèsera plus lourd dans les mois à venir que la somme ne le laisse penser. Le 17 octobre, les attaquants ont copié la liste de notifications, selon l’entreprise. On y trouve, par téléphone, un jeton, le modèle d’appareil, le système d’exploitation, la version de LIQUID, la langue, le pays, le fuseau horaire, des données d’usage, un identifiant interne d’application et éventuellement l’adresse IP avec une localisation approximative.

Étaient également lisibles l’historique des échanges avec adresses crypto, montants et horodatages, des données de solde récentes, ainsi que les données générales d’usage de l’application. L’entreprise vérifie encore si ces éléments ont aussi été copiés. Pour un petit nombre de clients, les attaquants pouvaient en outre voir l’adresse électronique et le numéro de commande issus de demandes de suppression. Ngrave a signalé la divulgation à l’autorité belge de protection des données.

Pour les utilisateurs de LIQUID, cela signifie qu’il faut s’attendre, dans les prochains mois, à des approches très ciblées. Celui qui sait quel appareil vous utilisez, dans quel pays vous vivez et quels montants vous avez échangés en dernier n’écrit plus un courriel de masse, mais un message adapté à votre situation. Comment repérer ces vagues qui suivent une fuite de données, nous l’avons décrit à partir d’autres incidents dans notre guide sur le phishing crypto après une fuite de données.

Supervision MiCA : un fabricant de portefeuilles matériels n’en relève pas

Pour les investisseurs en Allemagne, une lecture sobre du cadre juridique s’impose. Le règlement européen MiCA encadre les prestataires qui conservent, échangent ou intermédient des actifs numériques pour le compte d’autrui. Un fabricant qui vous vend un appareil avec lequel vous conservez vous-même vos clés ne conserve rien pour vous. Il ne relève donc pas de la même supervision qu’une place d’échange agréée par la BaFin.

La conséquence pratique est inconfortable. En conservation autonome, il n’existe ni garantie des dépôts, ni droit à indemnisation auprès d’une autorité de surveillance, ni fonds qui intervienne. Qui livre ses mots de récupération a cédé le pouvoir de disposer, et aucune instance ne peut annuler le virement. C’est le prix de l’indépendance, et il est à intégrer au choix d’un appareil. Quels modèles s’achètent en Allemagne et en quoi ils diffèrent à l’usage et à la restauration, notre comparatif des portefeuilles matériels le montre.

Qui ne veut pas payer ce prix dispose d’une solution de rechange, porteuse d’autres risques : la conservation chez un prestataire supervisé. Là, une entreprise soumise à une autorité engage sa responsabilité, mais le contrôle des clés ne vous appartient plus. Quelles plateformes disposent d’un agrément MiCA pour le marché allemand, notre panorama des plateformes crypto réglementées le recense.

Plainte, numéro de dossier et gel chez les plateformes : la marche à suivre en Allemagne

Ngrave énonce dans son rapport des étapes concrètes, et elles valent pour tout cas comparable, quel que soit le fabricant. Qui a saisi sa phrase de récupération ou sa Perfect Key sur la fausse page doit traiter le portefeuille concerné comme compromis sur tous les réseaux, transférer le solde restant vers un nouveau portefeuille doté d’une nouvelle phrase, et ne plus rien envoyer aux anciennes adresses. Cela vaut, selon l’entreprise, même si la page a rejeté la saisie comme erronée ou si une partie seulement des mots a été tapée.

Qui a simplement ouvert le lien ou appuyé sur les boutons sans saisir de mots n’est pas concerné, selon cette présentation. Un point du rapport compte ici : une application web nommée « NGRAVE Security Center », qui a pu se retrouver sur l’écran d’accueil après une pression, ne vient pas du fabricant et doit être supprimée.

Pour le contact, l’entreprise renvoie à support@ngrave.io ; les dossiers portent une référence précédée de OSH. Pour la recherche des fonds, les victimes doivent envoyer les identifiants de transaction, leurs propres adresses et celles de destination, ainsi que l’heure approximative de la saisie, mais jamais la phrase de récupération elle-même. Et un point touche directement les victimes en Allemagne : Ngrave conseille de déposer plainte à son lieu de résidence et de transmettre le numéro de dossier, car les plateformes exigent en règle générale une référence policière avant de geler un solde. En Allemagne, le commissariat local enregistre la plainte, et plusieurs Länder proposent aussi un guichet en ligne pour cela.

L’entreprise indique avoir coupé le service de notifications, supprimé les faux messages, signalé le site de phishing au registraire pour fermeture, mis les journaux à l’abri, saisi les autorités et demandé aux plateformes et aux services de pont de geler les fonds.

La leçon de l’incident : la voie d’attaque passait par le canal de notification

Ngrave se montre d’une dureté inhabituelle envers elle-même dans son propre rapport. Le dirigeant écrit que le système interne de notifications a été infiltré « by sophisticated attackers », qualifie la méthode de « a classic trick, and one that we at NGRAVE should have prevented » et conclut : « In this, we have absolutely and utterly failed. » L’objectif est d’être l’entreprise la plus sûre du monde, écrit-il, et l’on en est aujourd’hui très loin. Le tout est à lire dans le rapport d’incident de l’entreprise du 19 octobre 2026.

Une série de refontes est annoncée, que l’entreprise décrit comme inachevée. LIQUID ne devra plus pouvoir ouvrir que des adresses officielles de Ngrave, de sorte que notifications et bannières ne renvoient plus vers des pages étrangères. S’y ajoutent une clé capable d’envoyer sans rien lire, un accès limité aux serveurs maison avec authentification à deux facteurs, des alertes en cas d’usage inhabituel et d’exports massifs, un principe de double validation pour chaque message, des clés à durée de vie courte renouvelées au moins tous les 90 jours, et un interrupteur unique coupant toutes les voies d’envoi.

Le cas s’inscrit dans un schéma déjà vu plusieurs fois cette année. En octobre, la société d’analyse SlowMist a signalé de faux avis de micrologiciel au nom d’un autre fabricant, dont nous avons parlé sous fausses mises à jour Ledger. La surface d’attaque se déplace du matériel vers tout ce qui l’entoure : application, notification, fichier clients, prestataire d’envoi.

Une règle simple traverse presque tous ces cas : aucun fabricant sérieux et aucune place d’échange ne demande jamais votre phrase de récupération, votre Perfect Key ou un paiement. Ngrave le rappelle précisément dans son rapport et met en garde en outre contre les prestataires qui promettent, contre rémunération, de récupérer des actifs numériques volés. De telles offres relèvent, selon l’entreprise, systématiquement de l’escroquerie.

Phishing Ngrave : qui a tapé les mots a besoin d’un nouveau portefeuille

L’incident n’a pas révélé de faille dans la conservation elle-même, mais dans la confiance accordée à l’expéditeur d’un message. Trois étapes en découlent :

1. Déterminez si vous êtes concerné, et agissez en conséquence. Si vous avez reçu une alerte de synchronisation le soir du 17 octobre et saisi ensuite des mots, le portefeuille est brûlé. Créez-en un nouveau avec une phrase de récupération neuve, transférez-y le solde restant et déposez plainte, afin d’avoir le numéro de dossier en main pour les demandes de gel. Quel appareil convient pour cela figure dans le comparatif des portefeuilles matériels.
2. Faites passer les notifications de l’action à la vérification. Traitez chaque message push et chaque courriel comme un simple motif d’aller voir vous-même, dans l’application ou dans l’explorateur de blocs, et ne suivez jamais un lien venu de l’alerte. Un accès réel à votre solde se voit dans la blockchain, pas dans une notification. Quelles applications s’y prêtent et comment elles gèrent les autorisations, le comparatif des portefeuilles logiciels le montre.
3. Décidez en conscience de la part que vous conservez vous-même. La conservation autonome signifie contrôle total et responsabilité totale ; la conservation chez un prestataire supervisé répartit les deux autrement. Pour des avoirs importants, un partage est courant. Quelles plateformes sont agréées pour le marché allemand, le panorama des plateformes crypto réglementées le recense.

(Au 23 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)