Phishing de notificaciones en LIQUID de Ngrave

El 17 de octubre de 2026, unas 70 carteras de clientes del fabricante belga de carteras físicas Ngrave fueron vaciadas por aproximadamente 2,56 millones de dólares después de que los atacantes secuestraran el proveedor externo de notificaciones push de su app complementaria LIQUID y lo usaran para difundir alertas de seguridad falsas que dirigían a las víctimas a una página de phishing de credenciales.

Qué ocurrió

La debilidad no estaba en los dispositivos físicos ZERO de Ngrave, que según la empresa nunca fueron vulnerados directamente, ni en las propias claves privadas — estaba en el canal de notificaciones en el que los clientes habían aprendido a confiar. Ngrave señaló que los atacantes obtuvieron primero una clave de acceso al sistema de notificaciones y luego la usaron para escalar a otra clave con permisos más amplios, incluido el acceso a ciertos datos de analítica. El acceso no autorizado pudo comenzar en torno al 11 de octubre, seis días antes de que el ataque se hiciera evidente.

Alrededor de las 21:30 UTC del 17 de octubre, los atacantes enviaron alertas fraudulentas a través de la tubería legítima. Un mensaje advertía de que la cartera del usuario se había sincronizado con un dispositivo Pixel 9 en Moscú; al pulsarlo se abría un sitio falso de Ngrave con un temporizador de cuenta atrás y botones de aprobar/denegar que presionaban a las víctimas a introducir su frase de recuperación de 24 palabras o la Perfect Key. Scripts automatizados vaciaban entonces las carteras en minutos. Ngrave dijo que detectó las alertas maliciosas en cerca de un minuto, la primera cartera se vació seis minutos después y el sistema de notificaciones quedó desactivado hacia las 22:45 UTC — pero los robos de carteras ya comprometidas continuaron hasta las 03:51 UTC de la mañana siguiente. Las pérdidas se repartieron en unos 1,77 millones de dólares en Bitcoin, 454.000 dólares en XRP, 316.000 dólares en activos basados en Ethereum y 18.000 dólares en Stellar.

Consecuencias

Los fondos robados se movieron por exchanges, puentes entre cadenas y direcciones nuevas; Ngrave rastreó el Bitcoin hasta 12 direcciones y el XRP a lo largo de 54 transferencias, y la firma de analítica on-chain Bitquery estimó que cerca del 81 % del botín llegó al DEX de perpetuos Hyperliquid. En el momento de la divulgación no se había recuperado ningún fondo y la investigación seguía abierta. Ngrave sustituyó las claves comprometidas y reforzó sus controles de notificación con aprobaciones de dos personas, dominios restringidos y una capacidad de apagado de emergencia, mientras su director general admitió públicamente que la empresa había "fracasado absoluta y totalmente" en su deber central de seguridad. Se indicó a los clientes afectados que tratasen sus carteras como comprometidas y movieran los activos a otras recién generadas. Cabe destacar que el jefe de seguridad de Kraken señaló a Ngrave como el segundo fabricante de carteras en dos días cuyas notificaciones dentro de la app se usaron para robar frases de recuperación, tras una campaña de alertas falsas similar que golpeó a SecuX el 16 de octubre.

Por qué importa

La brecha de Ngrave muestra que la seguridad criptográfica de una cartera física es solo tan fuerte como los canales de comunicación que la rodean. Al comprometer una tubería de notificaciones de confianza en lugar del dispositivo, los atacantes tomaron prestada la propia credibilidad de Ngrave para entregar un señuelo de phishing que los usuarios tenían pocas razones para dudar — el mismo manual que vació a usuarios de otras marcas de carteras, como el ataque a la cadena de suministro del revendedor de Ledger y la vulneración de la app complementaria de D'CENT. La regla inquebrantable se mantiene sea cual sea el hardware: una frase de recuperación escrita en cualquier sitio web o app ya está perdida, porque un proveedor de carteras legítimo nunca la necesita. El incidente también subraya cómo la infraestructura de proveedores y terceros — servicios de notificaciones push, backends de analítica, banners dentro de la app — forma una superficie de ataque poco examinada cuya vulneración puede volverse contra los mismos usuarios a quienes un dispositivo seguro debía proteger.