Le fabricant de portefeuilles matériels NGRAVE a publié un rapport d’enquête sur l’incident de fausse alerte de sécurité du 17 octobre affectant son application compagnon LIQUID. Des attaquants ont compromis les identifiants d’accès d’un fournisseur tiers de notifications push utilisé par LIQUID, puis les ont exploités pour envoyer des liens de phishing directement sur les appareils des utilisateurs. La faille provient d’un message d’erreur affiché sur un serveur de notifications, qui a entraîné la fuite de la première clé du service push. Après avoir détecté des anomalies le 11 octobre, NGRAVE a désactivé la clé exposée en quelques minutes, mais les attaquants l’avaient déjà utilisée pour obtenir une seconde clé. NGRAVE a confirmé qu’aucun portefeuille matériel ZERO n’a été compromis et que le code source de LIQUID n’a pas été divulgué, précisant que les utilisateurs qui n’ont pas saisi leurs phrases mnémoniques ou leur Perfect Key sur les sites de phishing ne courent aucun risque pour leurs fonds. En réponse, NGRAVE suit les actifs volés et met en place des contrôles plus stricts : LIQUID n’ouvrira désormais que les liens provenant des domaines propres de NGRAVE, avec l’ajout d’alertes relatives aux utilisations anormales de clés et de mécanismes de clés à durée de vie courte afin de prévenir toute exploitation future.