NGRAVE 发布 LIQUID 虚假安全警报事件报告：推送服务商访问权限遭劫持

硬件钱包厂商 NGRAVE 发布了 10 月 17 日 LIQUID 应用虚假安全警报事件的调查报告。攻击者劫持了为 LIQUID 发送推送通知的第三方服务商的访问权限，向用户推送了钓鱼链接。NGRAVE 表示，第一枚通知服务密钥是通过一台发送通知的服务器的报错信息泄露的。10 月 11 日发现异常后，NGRAVE 在数分钟内禁用了该密钥，但攻击者已用它获取了第二枚密钥。

NGRAVE 称，ZERO 硬件钱包未被攻破，LIQUID 代码也未泄露；没有在钓鱼网站输入助记词或 Perfect Key 的用户，资金没有风险。NGRAVE 正在追踪被盗资金，并将限制 LIQUID 只打开 NGRAVE 自有来源的链接，同时加入密钥异常使用警报和短期密钥机制。