硬件钱包没被攻破，用户却被掏走 256 万美元——漏洞出在"人"这一环。
NGRAVE 披露，攻击者劫持了 LIQUID 配套应用使用的第三方通知服务，向用户推送虚假安全警报，诱导点击仿冒网站并输入 24 词恢复短语或 Perfect Key。约 70 个钱包在 4 条链上被盗约 256 万美元，其中 $BTC 损失约 177 万美元，$XRP 约 45.4 万美元，$ETH 相关资产约 31.6 万美元，Stellar 约 1.8 万美元。自动化脚本几分钟内就把资产转走。
NGRAVE 强调 ZERO 硬件钱包和私钥没有被直接攻破，受害者是在钓鱼过程中主动交出恢复凭证。未授权访问可能始于 10 月 11 日，攻击者先拿到一个访问密钥，再取得权限更广的密钥，10 月 17 日发出虚假通知。公司在通知出现约 1 分钟后发现异常，但首个钱包已在 6 分钟后被转空，通知系统当晚关闭。CEO 承认公司未履行加密安全企业最基本的安全职责，已更换受影响密钥并加入双人审批、域名限制和紧急关闭机制。
这件事值得琢磨的地方在于时间差：1 分钟发现、6 分钟清空，反应已经算快，资产照样留不住。恢复短语一旦交出去，后面任何补救都追不上脚本的速度。硬件设备能守住私钥，守不住用户主动把钥匙递出去。
你平时会怎么分辨钱包官方发来的"安全警报"？收到这类通知，第一反应是点开还是先去官方渠道核实？
#钓鱼攻击 #钱包安全 #加密安全
NGRAVE 披露，攻击者劫持了 LIQUID 配套应用使用的第三方通知服务，向用户推送虚假安全警报，诱导点击仿冒网站并输入 24 词恢复短语或 Perfect Key。约 70 个钱包在 4 条链上被盗约 256 万美元，其中 $BTC 损失约 177 万美元，$XRP 约 45.4 万美元，$ETH 相关资产约 31.6 万美元，Stellar 约 1.8 万美元。自动化脚本几分钟内就把资产转走。
NGRAVE 强调 ZERO 硬件钱包和私钥没有被直接攻破，受害者是在钓鱼过程中主动交出恢复凭证。未授权访问可能始于 10 月 11 日，攻击者先拿到一个访问密钥，再取得权限更广的密钥，10 月 17 日发出虚假通知。公司在通知出现约 1 分钟后发现异常，但首个钱包已在 6 分钟后被转空，通知系统当晚关闭。CEO 承认公司未履行加密安全企业最基本的安全职责，已更换受影响密钥并加入双人审批、域名限制和紧急关闭机制。
这件事值得琢磨的地方在于时间差：1 分钟发现、6 分钟清空，反应已经算快，资产照样留不住。恢复短语一旦交出去，后面任何补救都追不上脚本的速度。硬件设备能守住私钥，守不住用户主动把钥匙递出去。
你平时会怎么分辨钱包官方发来的"安全警报"？收到这类通知，第一反应是点开还是先去官方渠道核实？
#钓鱼攻击 #钱包安全 #加密安全