Ngrave-phishing: 2,56 miljoen dollar weg uit 70 wallets via valse pushmelding

De Belgische hardwarewalletmaker Ngrave heeft op 19 oktober 2026 een incidentrapport gepubliceerd dat een pijnlijk gat beschrijft: aanvallers namen de toegang over van een externe dienstverlener die de pushmeldingen van de bijbehorende app LIQUID verstuurt, en stuurden via dat kanaal valse beveiligingswaarschuwingen naar gebruikers. Wie de waarschuwing opvolgde en zijn herstelwoorden invoerde, raakte zijn tegoed kwijt. Volgens de telling van het bedrijf verdween zo'n 2,56 miljoen dollar uit ongeveer 70 walletadressen op vier netwerken.

De apparaten zelf waren niet het doelwit. Ngrave schrijft uitdrukkelijk dat noch de code van de LIQUID-app, noch de ZERO-hardware of de daarop opgeslagen sleutels zijn aangetast. Aangevallen werd de route waarlangs het bedrijf met zijn klanten communiceert. Juist dat maakt de zaak relevant voor iedereen die zelf crypto bewaart, want vrijwel elke wallet-app stuurt tegenwoordig meldingen.

Wat er op 17 oktober met de LIQUID-meldingen gebeurde

Op de avond van 17 oktober 2026, rond 21.30 uur UTC, ging er naar LIQUID-gebruikers een pushbericht dat eruitzag als een beveiligingswaarschuwing van de fabrikant. De tekst beweerde dat de portefeuille van de ontvanger op een nieuw apparaat was gesynchroniseerd: een Pixel 9 in Moskou. Zo'n melding roept precies de reactie op waar de aanvallers op uit waren, namelijk snel handelen zonder na te denken.

De link in het bericht leidde naar een nagemaakte Ngrave-pagina. Daar liep een aftelklok, met een knop om te bevestigen en een om te weigeren. Wie op weigeren tikte, kwam op een pagina die vroeg om de Perfect Key of de herstelzin van 24 woorden. De reflex om de toegang van een vreemde af te weren, leidde dus rechtstreeks de val in.

De tijdlijn in het rapport van het bedrijf is strak. Om 21.31 uur merkte het team het bericht op, om 21.36 uur was de eerste wallet leeg. Om 21.40 uur blokkeerde Ngrave de eerste gestolen toegangssleutel, maar de aanvallers verstuurden via een tweede verder. Om 22.30 uur stond er een waarschuwing op X, tien minuten later ging er een waarschuwingsmail naar de klanten, en om 22.45 uur schakelde het bedrijf het versturen van meldingen volledig uit. De laatste getraceerde diefstal vond plaats op 18 oktober om 03.51 uur.

De gekaapte pushdienstverlener: hoe de ene toegangssleutel tot de tweede leidde

Ngrave verstuurt de meldingen van zijn app niet zelf, maar via een externe aanbieder. Die dienstverlener werd getroffen. Eerst bemachtigden de aanvallers een toegangssleutel en gebruikten die om bij een tweede te komen met ruimere rechten. Met de tweede sleutel konden ze berichten naar LIQUID-gebruikers sturen en een deel van de gebruiksgegevens inzien.

Het vroegste teken van die toegang dateert het rapport op 11 oktober. Tussen de inbraak en de valse waarschuwing lagen dus zes dagen waarin niemand iets merkte. Pas om 09.37 uur op 18 oktober was volgens het bedrijf elke sleutel vervangen die draaiende systemen gebruiken.

Een toegangssleutel bij een dienstverlener is een tekenreeks waarmee een programma zich tegenover een ander identificeert, vergelijkbaar met een wachtwoord voor machines. Hij zit in serverconfiguraties, niet in je wallet. Daarom heb je niets aan de beste hardware als die sleutel in verkeerde handen valt: het bericht dat dan bij je binnenkomt, draagt de echte afzender.

2,56 tot 2,65 miljoen dollar: welke munten uit welke wallets verdwenen

Ngrave schat de getraceerde schade op ongeveer 2,56 miljoen dollar, gerekend tegen de koersen van 17 oktober, verdeeld over zo'n 70 walletadressen en vier netwerken. Het bedrijf noemt dat bedrag uitdrukkelijk een minimum. Analysebedrijf Bitquery komt in een bredere telling uit op ongeveer 2,65 miljoen dollar over 84 wallets, zoals CryptoSlate meldt. Uit transactiegegevens alleen valt echter niet te bewijzen dat elk van die wallets van een Ngrave-klant was. De betrouwbare bandbreedte ligt daarmee tussen 2,56 en 2,65 miljoen dollar.

De uitsplitsing van de fabrikant per netwerk ziet er zo uit:

• Bitcoin: 1,77 miljoen dollar. De bedragen kwamen samen op één adres van de aanvallers en werden van daaruit over twaalf nieuw aangemaakte adressen verdeeld.
• XRP: 454.000 dollar. Dit bedrag ging in 54 losse stortingen naar ruildienst ChangeNOW.
• Ethereum: ongeveer 316.000 dollar. De tokens werden verkocht voor 130,47 ETH en via de dienst LI.FI naar andere blockchains gebracht. Het rapport noemt op één plek 313.000 dollar als gebrugd bedrag en ongeveer 3.000 dollar aan onverkochte tokens die in de wallets van de aanvallers achterbleven.
• Stellar: 18.000 dollar, verstuurd naar een adres dat volgens het bedrijf bij een exchange hoort.

Opvallend is het tempo. Tussen de eerste leeggehaalde wallet en de laatste getraceerde diefstal lagen ruim zes uur. Wie de waarschuwingsmail van 22.40 uur pas de volgende ochtend las, kon niet meer ingrijpen.

Wat Ngrave naar eigen zeggen niet is kwijtgeraakt

Het rapport bakent de schade op meerdere plekken af. Onaangetast bleven volgens het bedrijf de code van de LIQUID-app, de ZERO-apparaten met de daarop opgeslagen geheimen en de namen en afleveradressen van klanten, die in een apart systeem staan. Private keys verlaten een ZERO-apparaat volgens de fabrikant niet, en de aanvallers hadden geen toegang tot de apparaten.

Herstelzinnen en Perfect Keys zijn volgens deze lezing evenmin uitgelekt, met één uitzondering: die welke gebruikers zelf op de valse pagina hebben ingetikt. Dat onderscheid is de kern van de zaak. Technisch heeft de bewaring standgehouden. Gebroken werd het vertrouwen in het kanaal waarlangs de fabrikant waarschuwingen verstuurt.

De gegevenslijst: wat de aanvallers over LIQUID-gebruikers konden lezen

Naast het geld ging er een gegevensbestand verloren, en dat weegt voor de komende maanden zwaarder dan het bedrag doet vermoeden. Op 17 oktober kopieerden de aanvallers volgens het bedrijf de meldingenlijst. Daarin staan per telefoon een token, het apparaatmodel, het besturingssysteem, de LIQUID-versie, taal, land, tijdzone, gebruiksgegevens, een interne app-ID en mogelijk het IP-adres met de bij benadering bekende locatie.

Leesbaar waren daarnaast de swapgeschiedenis met cryptoadressen, bedragen, tijdstippen en recente saldogegevens, plus algemene gebruiksgegevens van de app. Of die gegevens ook zijn gekopieerd, onderzoekt het bedrijf nog. Bij een klein aantal klanten konden de aanvallers bovendien het e-mailadres en het bestelnummer uit verwijderverzoeken inzien. Ngrave meldt het datalek bij de Belgische privacytoezichthouder.

Voor jou betekent dat: wie LIQUID gebruikt, moet de komende maanden rekening houden met gerichte benadering. Wie weet welk apparaat je gebruikt, in welk land je woont en welke bedragen je laatst hebt geruild, stuurt geen massamail meer, maar een bericht dat precies bij jouw situatie past. Hoe je zulke vervolggolven na een datalek herkent, hebben we aan de hand van andere incidenten beschreven in onze gids over cryptophishing na een datalek.

MiCA-toezicht: een hardwarewalletmaker valt er niet onder

Voor beleggers loont een nuchtere blik op het juridische kader. De Europese MiCA-verordening regelt aanbieders die crypto voor anderen bewaren, ruilen of bemiddelen. Een fabrikant die je een apparaat verkoopt waarmee je je sleutels zelf bewaart, bewaart niets voor jou. Hij valt daarmee niet onder hetzelfde toezicht als een exchange met een MiCA-vergunning, waarop in Nederland de AFM toeziet.

Het praktische gevolg is ongemakkelijk. Bij zelfbewaring is er geen depositogarantie, geen aanspraak op schadevergoeding tegenover een toezichthouder en geen fonds dat bijspringt. Wie de herstelwoorden prijsgeeft, heeft de zeggenschap afgestaan, en geen enkele instantie kan de overboeking terugdraaien. Dat is de prijs van onafhankelijkheid, en die hoort bij de keuze van een apparaat mee te wegen. Welke modellen er zijn en hoe ze verschillen in bediening en herstel, laat onze hardware wallet vergelijking zien.

Wie die prijs niet wil betalen, heeft een alternatief dat op zijn beurt andere risico's draagt: bewaring bij een aanbieder onder toezicht. Daar is een onderneming aansprakelijk die onder toezicht staat, maar de controle over de sleutels ligt dan niet meer bij jou. Welke handelsplatforms een MiCA-vergunning hebben, zie je in het overzicht van gereguleerde cryptobeurzen.

Aangifte, dossiernummer en blokkade bij exchanges: de route voor gedupeerden

Ngrave noemt in het rapport concrete stappen, en die gelden los van de fabrikant voor elk vergelijkbaar geval. Wie zijn herstelzin of Perfect Key op de valse pagina heeft ingevoerd, moet de betreffende wallet op alle netwerken als onveilig beschouwen, resterende tegoeden naar een nieuwe wallet met een nieuwe zin overzetten en niets meer naar de oude adressen sturen. Dat geldt volgens het bedrijf ook als de pagina de invoer als fout afwees of als maar een deel van de woorden werd ingetikt.

Wie de link alleen heeft geopend of de knoppen heeft aangetikt zonder woorden in te voeren, geldt volgens deze lezing als niet getroffen. Eén aanwijzing uit het rapport is hier belangrijk: een webapp met de naam "NGRAVE Security Center", die na het aantikken op het startscherm kan zijn beland, komt niet van de fabrikant en moet worden verwijderd.

Voor contact verwijst het bedrijf naar support@ngrave.io; dossiers dragen een code met het voorvoegsel OSH. Voor het speurwerk moeten gedupeerden transactie-ID's, eigen adressen en doeladressen en het ongeveer tijdstip van de invoer opsturen, maar nooit de herstelzin zelf. Ngrave raadt bovendien aan aangifte te doen in je woonplaats en het dossiernummer door te geven, omdat exchanges doorgaans een politiereferentie eisen voordat ze tegoeden bevriezen. Aangifte doe je bij de politie in je woonplaats.

Het bedrijf heeft naar eigen zeggen de meldingendienst uitgeschakeld, de valse berichten verwijderd, de phishingpagina bij de registrar gemeld voor uitschakeling, logbestanden veiliggesteld, autoriteiten ingeschakeld en exchanges en bridgediensten gevraagd de gelden te bevriezen.

De les uit het incident: de aanvalsroute liep via het meldingenkanaal

Ngrave is in het eigen rapport ongewoon streng voor zichzelf. De topman schrijft dat het interne meldingensysteem "by sophisticated attackers" is binnengedrongen, noemt de truc "a classic trick, and one that we at NGRAVE should have prevented" en stelt vast: "In this, we have absolutely and utterly failed." Het doel is het veiligste bedrijf ter wereld te zijn, en daarvan is men nu ver verwijderd. Dat staat in het incidentrapport van het bedrijf van 19 oktober 2026.

Aangekondigd is een reeks aanpassingen die het bedrijf nog niet afgerond noemt. LIQUID moet voortaan uitsluitend officiële Ngrave-adressen kunnen openen, zodat meldingen en banners geen externe pagina's meer oproepen. Daarbij komen een sleutel die alleen kan versturen en niets kan lezen, toegang die beperkt is tot eigen servers met tweestapsverificatie, alarmen bij ongebruikelijk gebruik en bij massa-exports, een vier-ogenprincipe voor elk bericht, kortlevende sleutels die minstens elke 90 dagen worden vervangen en één schakelaar die alle verzendkanalen stillegt.

De zaak past in een patroon dat dit jaar vaker te zien was. In oktober meldde analysebedrijf SlowMist valse firmwaremeldingen namens een andere fabrikant, waarover we schreven onder het kopje valse Ledger-firmware-updates. Het aanvalsoppervlak verschuift van de hardware naar alles eromheen: app, melding, klantenlijst, verzenddienst.

Eén vuistregel gaat voor bijna al deze gevallen op: geen serieuze fabrikant en geen exchange vraagt ooit om je herstelzin, je Perfect Key of een betaling. Ngrave stelt precies dat in het rapport nog eens vast en waarschuwt daarnaast voor aanbieders die tegen betaling beloven gestolen crypto terug te halen. Zulke aanbiedingen zijn volgens het bedrijf zonder uitzondering oplichting.

Ngrave-phishing: wie de woorden intikte, heeft een nieuwe wallet nodig

Het incident heeft geen gat in de bewaring zelf blootgelegd, maar in het vertrouwen in de afzender van een bericht. Daaruit volgen drie stappen:

1. Controleer of je getroffen bent en handel daarnaar. Kreeg je op de avond van 17 oktober een synchronisatiewaarschuwing en heb je daarna woorden ingevoerd, dan is de wallet verbrand. Richt een nieuwe in met een verse herstelzin, zet resterende tegoeden daarheen over en doe aangifte, zodat je het dossiernummer voor blokkades bij exchanges in handen hebt. Welk apparaat daarvoor in aanmerking komt, staat in de hardware wallet vergelijking.
2. Gebruik meldingen om te kijken, niet om te handelen. Behandel elk pushbericht en elke mail als niet meer dan een aanleiding om zelf in de app of in de block explorer te kijken, en volg nooit een link uit de melding. Echte toegang tot je tegoed zie je op de blockchain, niet in een melding. Kies daarvoor een softwarewallet die duidelijk laat zien welke goedkeuringen je geeft.
3. Bepaal bewust hoeveel je zelf bewaart. Zelfbewaring betekent volledige controle en volledige aansprakelijkheid, bewaring bij een aanbieder onder toezicht verdeelt beide anders. Voor grotere bedragen is spreiden gebruikelijk. Een overzicht van aanbieders vind je bij bitcoin kopen.

(Per 23 oktober 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)