Ladrones de criptomonedas roban alertas de Ngrave y 2,56 millones

Una falsa alerta de seguridad con un coste de 2,56 millones de dólares

El fabricante belga de carteras de hardware Ngrave, conocido comúnmente como NGRAVE, reveló el 19 de octubre que unos atacantes se habían apoderado de un proveedor externo de notificaciones que prestaba servicio a su aplicación complementaria LIQUID. La brecha permitió a los delincuentes enviar avisos de seguridad de aspecto auténtico directamente a los clientes el 17 de octubre. El mensaje afirmaba que la cartera de un usuario se había sincronizado con un dispositivo Pixel 9 en Moscú. Al hacer clic en la alerta, se abría una página web falsa de Ngrave que mostraba un temporizador de cuenta atrás y una opción inquietante para aprobar o rechazar la actividad sospechosa.

Ambas opciones conducían a la misma trampa. Se pedía a los usuarios que introdujeran su frase de recuperación de 24 palabras o su «Perfect Key», proporcionando así a los atacantes todo lo necesario para recrear sus carteras. Unos scripts automatizados vaciaron las cuentas comprometidas en cuestión de minutos. La investigación de Ngrave rastreó aproximadamente 2,56 millones de dólares robados de 70 direcciones de monedero en cuatro redes. El bitcoin representó 1,77 millones de dólares, seguido de 454 000 dólares en XRP, 316 000 dólares en activos basados en Ethereum y 18 000 dólares en Stellar.

Los atacantes aprovecharon las claves de notificación, no el hardware

El informe de incidentes de la empresa revela que el acceso no autorizado podría haber comenzado el 11 de octubre, seis días antes de que aparecieran las notificaciones fraudulentas. Los atacantes obtuvieron una clave de acceso y la utilizaron para conseguir otra con permisos más amplios, incluido el acceso a cierta información analítica. Ngrave detectó las alertas maliciosas menos de un minuto después de su aparición, a las 21:30 UTC del 17 de octubre. No obstante, la primera cartera quedó vacía seis minutos más tarde.

La empresa desactivó su sistema de notificaciones a las 22:45 h, pero los robos continuaron desde los monederos previamente comprometidos hasta las 3:51 h de la madrugada siguiente. Es fundamental destacar que Ngrave afirma que sus monederos de hardware ZERO y sus claves privadas permanecieron intactos. En su lugar, los delincuentes manipularon a los clientes para que les facilitaran sus propias credenciales.

El director general de Ngrave admite que la empresa «fracasó absoluta y rotundamente»

Los fondos robados pasaron por plataformas de intercambio, puentes de blockchain y direcciones nuevas. Ngrave rastreó los bitcoins hasta 12 direcciones, mientras que el XRP se movió a través de 54 transferencias. La empresa también reconoció la posible exposición de información sobre dispositivos, actividad de monederos, direcciones IP y ubicaciones aproximadas, lo que suscita preocupación por posibles estafas selectivas posteriores.

La empresa de análisis Bitquery también publicó un informe sobre el asunto, en el que señalaba que, en cuanto a los fondos robados, «la mayor parte se encuentra ahora en Hyperliquid en forma de token de Monero». El informe de Bitquery estima que alrededor del 81 % llegó a la popular plataforma de intercambio DEX de los autores del delito. En el informe del incidente, un alto ejecutivo de Ngrave se pronunció al respecto. Su director general ofreció una valoración inusualmente sincera, afirmando:

«En mi humilde opinión, el primer deber de una empresa de seguridad en criptomonedas es proporcionar precisamente eso: seguridad. En este sentido, hemos fracasado absoluta y rotundamente».

Reconoció que la postura de seguridad de la empresa era inadecuada cuando asumió el liderazgo meses antes. Desde entonces, Ngrave ha sustituido las claves comprometidas y ha establecido controles de notificación más estrictos, que incluyen aprobaciones por parte de dos personas, dominios restringidos y capacidades de apagado de emergencia.

Se insta a los clientes afectados a crear carteras nuevas y a ponerse en contacto con el servicio de asistencia. La investigación continúa, dejando intacta una distinción preocupante: el hardware se mantuvo firme, pero los mensajes de confianza que lo rodeaban se convirtieron en el arma.

Ha sido un año difícil para los fabricantes de carteras de hardware, ya que 2026 ha estado plagado de problemas de seguridad. Se han documentado casi una docena de incidentes de seguridad en carteras de hardware que han afectado a Ledger, Trezor, Tangem, Safepal, Bitbox02 y Coldcard. Las pérdidas notificadas superaron los 180 millones de dólares en dos incidentes, lo que puso de manifiesto vulnerabilidades en el firmware, los proveedores externos, la seguridad física y el phishing, más que ataques remotos directos a las frases de recuperación.