Ataque de phishing de NGRAVE LIQUID: ¿Qué sucedió y está seguro su monedero?
Un ataque de phishing dirigido a la aplicación complementaria LIQUID de NGRAVE se ha relacionado con pérdidas de criptomonedas por aproximadamente $2.65 millones en 84 monederos, según la empresa de análisis de cadena de bloques Bitquery. El incidente comenzó el 17 de octubre de 2026, cuando los atacantes explotaron un servicio de notificaciones push de terceros para distribuir alertas de seguridad fraudulentas que parecían provenir de la aplicación de monedero. Las víctimas que siguieron las alertas fueron dirigidas a un sitio web falso que solicitaba sus frases de recuperación o Claves Perfectas de NGRAVE, permitiendo a los atacantes recrear monederos y transferir activos sin acceder físicamente a los dispositivos originales.
El incidente resalta una distinción crítica en la seguridad de las criptomonedas: un monedero de hardware puede proteger las claves privadas de muchas amenazas en línea, pero no puede evitar pérdidas si los usuarios revelan los credenciales necesarios para recuperar sus monederos. NGRAVE ha declarado que su monedero de hardware ZERO y las claves privadas almacenadas en el dispositivo no fueron comprometidas directamente. Sin embargo, el ataque plantea preguntas más amplias sobre la seguridad de los servicios de terceros, las notificaciones de aplicaciones confiables y las responsabilidades de los proveedores de auto-custodia. Comprender cómo se desarrolló el ataque, adónde fueron enviados los fondos robados y qué usuarios podrían seguir en riesgo es esencial para cualquier persona que gestione activos digitales.
Principales conclusiones
-
Las pérdidas estimadas alcanzaron los 2,65 millones de dólares: Bitquery rastreó transferencias de criptomonedas desde 84 monederos en seis redes de cadena de bloques. NGRAVE informó por separado pérdidas aproximadas de 2,56 millones de dólares en alrededor de 70 direcciones de monedero en cuatro redes. Las estimaciones reflejan diferentes alcances de investigación, y no todas las direcciones en el análisis de Bitquery pueden atribuirse concluyentemente a un cliente de NGRAVE.
-
El ataque explotó un canal de comunicación confiable: los atacantes comprometieron el acceso asociado con un servicio de terceros responsable de las notificaciones push de LIQUID y lo utilizaron para enviar advertencias de seguridad fraudulentas.
-
Las credenciales de recuperación fueron el objetivo crítico: las víctimas fueron persuadidas para ingresar sus frases de recuperación o NGRAVE Perfect Keys en un sitio web falso, permitiendo a los atacantes restaurar monederos en otro lugar y realizar transferencias.
-
La mayoría de los fondos rastreados se convirtieron en XMR1: Bitquery informó que aproximadamente $2.16 millones se utilizaron para comprar 3,592.71 tokens XMR1 en 39 nuevas cuentas de Hyperliquid. Esto representó la posición observada al 19 de octubre, no un saldo actual confirmado.
-
Los usuarios deben responder según su nivel de exposición: quienes solo hicieron clic en un enlace enfrentan un riesgo diferente al de las personas que enviaron credenciales de recuperación. Cualquier persona que haya revelado una frase de recuperación debe tratar el monedero correspondiente como comprometido.
¿Qué ocurrió en el ataque de phishing de NGRAVE LIQUID?
El ataque explotó la confianza que los usuarios depositaron en las notificaciones de LIQUID, la aplicación móvil complementaria para el monedero de hardware ZERO de NGRAVE. Según el informe oficial de incidentes de NGRAVE, publicado el 19 de octubre, los atacantes tomaron el control del acceso asociado con un proveedor de notificaciones de terceros y enviaron alertas de seguridad fraudulentas el 17 de octubre. Los mensajes advertían a los receptores que sus carteras de criptomonedas habían sido sincronizadas con un nuevo dispositivo, creando la impresión de que una persona no autorizada había accedido a sus cuentas.
Las alertas dirigieron a los usuarios a un sitio web falsificado diseñado para parecerse a la interfaz oficial de NGRAVE. La página presentaba una pantalla de confirmación de seguridad con una cuenta regresiva y una opción para rechazar la supuesta sincronización. Al seleccionar esa opción, los usuarios eran redirigidos a otra página que solicitaba sus credenciales de recuperación. Esta secuencia hacía que la solicitud pareciera un procedimiento de seguridad necesario en lugar de un intento de robar el acceso al monedero.
El primer drenaje de monedero identificado públicamente ocurrió aproximadamente a las 21:36 UTC del 17 de octubre, según Bitquery. Los robos continuaron hasta el 18 de octubre, con la última transacción en su secuencia rastreada ocurriendo poco antes de las 04:00 UTC. NGRAVE informó que desactivó la funcionalidad de notificación afectada y posteriormente restauró el servicio LIQUID tras tomar medidas correctivas. El incidente demuestra cómo los atacantes pueden explotar un canal de comunicación legítimo sin necesidad de romper las protecciones criptográficas subyacentes del monedero.
Cómo funcionó el mecanismo de phishing
El ataque siguió un patrón familiar de ingeniería social, pero la aparente legitimidad de la notificación lo hizo particularmente preocupante.
Primero, el mensaje fraudulento generó urgencia sugiriendo que un nuevo dispositivo había accedido al portafolio del usuario. Segundo, el sitio web falso presentó un flujo de seguridad aparentemente legítimo. Finalmente, la solicitud de credenciales de recuperación proporcionó a los atacantes la información necesaria para reconstruir los monederos afectados.
El paso decisivo no fue simplemente abrir la notificación. Fue revelar credenciales que podrían usarse para recuperar el monedero. Según la investigación de Bitquery, NGRAVE indicó que los usuarios que solo hicieron clic en el enlace y no ingresaron información ni descargaron nada estaban a salvo del mecanismo específico de robo de credenciales descrito en el incidente. Sin embargo, los usuarios que enviaron credenciales de recuperación enfrentaron un riesgo sustancialmente más grave.
¿Cuánto fue robado y adónde fueron los fondos?
Bitquery estimó que aproximadamente $2.65 millones fueron sustraídos de 84 monederos en Bitcoin, XRP, Ethereum, Solana, Dogecoin y Stellar. La investigación propia de NGRAVE identificó pérdidas aproximadas de $2.56 millones relacionadas con alrededor de 70 direcciones de monedero en cuatro redes y describió su cifra como un mínimo. Estas estimaciones deben mantenerse separadas porque las investigaciones cubrieron conjuntos diferentes de direcciones y activos. Bitquery también reconoció que los registros de transacciones de la cadena de bloques por sí solos no pueden establecer que cada monedero rastreado perteneciera a un cliente de NGRAVE.
El bitcoin representó la mayor parte de las pérdidas, seguido por los activos relacionados con XRP y ethereum. Las siguientes cifras se basan en el análisis en cadena de Bitquery, con valores redondeados para mayor legibilidad.
| Cadena de bloques | Pérdidas estimadas | Parte del total |
| Bitcoin (BTC) | $1,76 millones | 66,40% |
| XRP | $453,000 | 17.10% |
| Ethereum y tokens relacionados | $315,000 | 11,90% |
| Solana (SOL) | $77,000 | 2.90% |
| Dogecoin (DOGE) | $21,000 | 0.80% |
| Stellar (XLM) | $19,000 | 0.70% |
| Total | Aproximadamente $2.65 millones | 100% |
Cómo se movió la criptomoneda robada
La pista en la cadena sugiere que el atacante utilizó diferentes rutas según el activo involucrado. El bitcoin se transfirió a través de Chainflip, un servicio de intercambio entre cadenas, y se convirtió principalmente en Ether. Los activos de ethereum se consolidaron y transfirieron a través de monederos adicionales. Los fondos de Solana se intercambiaron por USDC y se movieron entre redes utilizando servicios de puente.
Bitquery rastreó partes de estos fondos a través de servicios que incluyen LI.FI y Mayan antes de que llegaran a Hyperliquid. Los fondos se dividieron entre 39 cuentas recién creadas, que compraron XMR1, un token diseñado para rastrear el precio de Monero y disponible para retiro como la criptomoneda subyacente bajo los mecanismos de la plataforma correspondiente.
Según Bitquery, las cuentas compraron un total de 3,592.71 XMR por aproximadamente $2.16 millones. A las 09:00 UTC del 19 de octubre, las tenencias tenían un valor de aproximadamente $2.12 millones, y Bitquery informó que los tokens rastreados no habían sido vendidos ni retirados en ese momento. Estas observaciones son específicas del tiempo: transacciones posteriores podrían cambiar los saldos y hacer más difícil el seguimiento adicional. Bitquery también no pudo establecer el destino final de todos los fondos de XRP, Dogecoin y Stellar.
¿Fue hackeado NGRAVE ZERO?
La distinción entre el servicio de notificación comprometido y el monedero de hardware en sí es fundamental para comprender el incidente. NGRAVE afirmó que el ataque no comprometió directamente el dispositivo ZERO ni las claves privadas almacenadas en él. En cambio, los atacantes utilizaron un servicio de terceros asociado con las notificaciones de LIQUID para llegar a los usuarios y persuadirlos para que revelaran sus credenciales de recuperación.
NGRAVE ZERO está diseñado para mantener las claves privadas fuera de línea, mientras que LIQUID permite a los usuarios ver la información de su cartera y gestionar transacciones compatibles. Según la documentación del producto LIQUID de NGRAVE, la aplicación no tiene acceso a las claves privadas almacenadas en ZERO. Los dos productos se comunican a través de códigos QR como parte del flujo de trabajo de transacción previsto. Estas protecciones pueden reducir la exposición a ataques remotos, pero no pueden evitar que un atacante restaure un monedero en otro lugar tras obtener la información de recuperación.
Una frase de recuperación, o la Clave Perfecta correspondiente en la terminología de NGRAVE, proporciona la información necesaria para reconstruir el acceso al monedero. Una vez que se revela esa información, un atacante podría acceder a las direcciones de cadena de bloques compatibles y transferir activos sin poseer el dispositivo hardware original. Por eso, la ausencia de una vulnerabilidad de hardware confirmada no hace que las pérdidas sean menos graves.
Lo que el incidente revela sobre la seguridad de los monederos de hardware
El ataque ilustra que la seguridad de los monederos de hardware va más allá del dispositivo físico. El ecosistema circundante incluye aplicaciones complementarias, proveedores de notificaciones, sistemas de gestión de cuentas, actualizaciones de software y procesos de soporte al cliente. Una debilidad en cualquiera de estos componentes puede crear una oportunidad para atacar a los usuarios, incluso cuando el mecanismo central de almacenamiento de claves permanece intacto.
Por lo tanto, es importante distinguir entre una vulnerabilidad criptográfica y un ataque de ingeniería social. La evidencia disponible respalda esta última explicación para este incidente. No se establece que la arquitectura de seguridad del dispositivo ZERO haya sido comprometida, aunque el incidente más amplio plantea preguntas legítimas sobre los controles de acceso de terceros y cómo deben autenticarse las notificaciones sensibles desde el punto de vista de la seguridad.
Cómo respondió NGRAVE al incidente
NGRAVE informó que detectó la actividad de notificaciones fraudulentas, revocó el acceso afectado y desactivó el envío de notificaciones mientras investigaba el incidente. Su respuesta publicada describió el compromiso del acceso de un proveedor de terceros como el punto de entrada. La empresa restauró posteriormente LIQUID tras tomar medidas correctivas y detalló medidas destinadas a fortalecer el sistema de notificaciones.
Los cambios anunciados incluyeron restricciones más estrictas sobre los enlaces de notificación, requisitos adicionales de aprobación para enviar notificaciones y mejoras en la gestión de claves de acceso y los procedimientos de apagado de emergencia. Estas medidas abordan varias de las debilidades expuestas por el ataque: permisos excesivos de terceros, insuficiente separación de responsabilidades y la posibilidad de que un canal de notificación comprometido alcance a los usuarios a gran escala.
NGRAVE también informó que los atacantes accedieron a cierta información asociada con el sistema de notificación. La información potencialmente expuesta incluyó detalles del dispositivo, información de país y zona horaria, datos de uso y direcciones IP. El alcance preciso de cualquier exposición de datos personales debe distinguirse de las pérdidas de criptomonedas confirmadas, y los usuarios deben confiar en divulgaciones oficiales posteriores para obtener actualizaciones sobre la investigación y la corrección.
La respuesta también plantea una pregunta más amplia de la industria: ¿debería una aplicación de monedero poder enviar una notificación de seguridad que dirija a los usuarios a una página que solicite credenciales de recuperación? Controles más estrictos pueden reducir el riesgo de un servicio de notificación comprometido, pero los mensajes de seguridad también deben dejar claro que las frases de recuperación y las claves privadas nunca deben ingresarse en sitios web ni enviarse al personal de soporte.
¿Está seguro tu monedero NGRAVE? Qué deben hacer los usuarios
La respuesta adecuada depende de lo que hizo un usuario después de recibir una notificación sospechosa. Recibir simplemente un mensaje no significa que un monedero haya sido comprometido, y hacer clic en un enlace no equivale a revelar credenciales de recuperación. Sin embargo, los usuarios no deben asumir que un monedero sigue siendo seguro solo porque el dispositivo original aún está en su posesión.
| Situación del usuario | Evaluación de riesgos | Acción recomendada |
| Recibió la notificación pero no la abrió | No exposición de credenciales desde la notificación misma | Ignora el mensaje y verifica los anuncios a través de canales oficiales accedidos independientemente. |
| Abrió el enlace pero no ingresó ninguna información y no descargó nada | Menor riesgo por el método de phishing específico descrito | Cierra la página y evita cualquier interacción adicional. Revisa si se realizaron descargas, instalaciones o permisos otorgados. |
| Ingresó una frase de recuperación o una Clave Perfecta | Trate el monedero correspondiente como comprometido | Crea un nuevo monedero con nuevas credenciales de recuperación mediante un proceso confiable, luego transfiere los activos restantes tan pronto como sea seguro posible. |
| Se encontraron transacciones no autorizadas o activos faltantes | Los activos ya podrían haberse transferido más allá de la recuperación directa | Preserve los hashes de transacción, las direcciones del monedero, las marcas de tiempo, las capturas de pantalla y las URLs sospechosas; póngase en contacto con el soporte oficial y las autoridades relevantes del exchange o de aplicación de la ley. |
Qué hacer si ingresaste tu frase de recuperación
Si enviaste tu frase de recuperación o tu Perfect Key al sitio web fraudulento, trata todos los monederos que puedan reconstruirse con esas credenciales como potencialmente comprometidos. No sigas utilizando las credenciales expuestas, y no asumas que mover el dispositivo original de hardware a otra ubicación restaurará la seguridad.
Usando un dispositivo de confianza y un procedimiento de recuperación verificado, crea un nuevo monedero con credenciales de recuperación completamente nuevas. Transfiere cualquier activo restante desde el monedero comprometido al nuevo monedero, verificando cuidadosamente cada dirección de destino. Si las credenciales originales protegen activos en múltiples redes, revisa cada red admitida en lugar de verificar solo el monedero donde apareció la primera transacción sospechosa.
Los usuarios también deben estar atentos a estafas de seguimiento. Los atacantes pueden suplantar a representantes de soporte al cliente, prometer recuperar activos robados o solicitar credenciales y tarifas adicionales. Las frases de recuperación y las claves privadas nunca deben compartirse con un agente de soporte ni ingresarse en un sitio web solo porque un mensaje afirma que la acción es necesaria para asegurar los fondos.
Cualquiera que haya perdido activos debe conservar pruebas de la transacción e informar el incidente de inmediato. Las transferencias de criptomonedas generalmente son difíciles de revertir una vez confirmadas, pero la documentación oportuna y el informe pueden ayudar en las investigaciones o permitir a las plataformas identificar fondos sospechosos.
Qué significa el ataque para la seguridad de los monederos de hardware
El incidente de NGRAVE destaca tres lecciones más amplias para la industria de las criptomonedas. Primero, los proveedores de servicios externos pueden convertirse en una debilidad de seguridad incluso cuando el producto principal está diseñado para mantener las credenciales sensibles fuera de línea. Los fabricantes de monederos deben aplicar controles de acceso estrictos, minimizar los privilegios de terceros, rotar las credenciales cuando sea apropiado, monitorear actividades inusuales y mantener una forma efectiva de deshabilitar servicios comprometidos.
En segundo lugar, las notificaciones confiables no deben reemplazar la verificación independiente. Los usuarios están acostumbrados a considerar los mensajes de aplicaciones instaladas como más creíbles que los correos electrónicos no solicitados o las publicaciones en redes sociales. Este ataque explotó precisamente esa suposición. Los proveedores de monederos deben diseñar alertas de seguridad de manera que los usuarios puedan verificarlas independientemente y nunca deben normalizar solicitudes para ingresar frases de recuperación en un formulario web.
En tercer lugar, la autosupervisión requiere más que comprar un dispositivo de hardware. También depende de la protección de los credenciales de recuperación, la verificación de transacciones, prácticas seguras para el dispositivo y una comprensión de cómo debe ser un proceso de recuperación legítimo. Los monederos de hardware pueden reducir ciertos riesgos técnicos, pero ningún producto puede proteger completamente a un usuario que revele voluntariamente las credenciales que controlan sus activos.
Para los fabricantes de monederos, el incidente refuerza la necesidad de tratar toda la experiencia del usuario como parte del límite de seguridad. Para los usuarios, el principio más importante sigue siendo sencillo: las credenciales de recuperación deben mantenerse privadas y fuera de línea, y cualquier solicitud inesperada para revelarlas debe considerarse una señal de alerta seria.
Conclusión
El ataque de phishing de NGRAVE LIQUID demuestra que la seguridad de los monederos físicos depende de más que mantener las claves privadas fuera de línea. Se informa que los atacantes explotaron un servicio de notificación de terceros, utilizaron alertas de seguridad fraudulentas para ganarse la confianza de los usuarios y obtuvieron credenciales de recuperación que les permitieron transferir criptomonedas sin acceder directamente a los dispositivos físicos originales. Bitquery estimó las pérdidas rastreadas en aproximadamente $2.65 millones, mientras que NGRAVE reportó una estimación mínima separada de alrededor de $2.56 millones. Ambas cifras subrayan las consecuencias financieras de un canal de comunicación comprometido y un ingeniería social exitosa.
Para los usuarios, la prioridad inmediata es determinar si se divulgaron las credenciales de recuperación y actuar en consecuencia. Para los proveedores de monederos, el incidente refuerza la importancia de controles estrictos de acceso a terceros, notificaciones de seguridad verificables de forma independiente y advertencias claras contra el compartir información de recuperación. Un monedero de hardware sigue siendo una herramienta importante de autocustodia, pero su protección depende de que los usuarios mantengan privadas las credenciales que permiten recuperar el acceso a sus activos.
🔥 Más allá de las noticias: qué significa KuCoin 5.0 para ti
Las noticias del mercado avanzan rápido — pero donde actúes sobre ellas importa igualmente. Este octubre, KuCoin lanza KuCoin 5.0, transformando KuCoin en una plataforma reconstruida. Aquí está lo que realmente cambia para ti:
-
Una cuenta para todo. Las plataformas antiguas dividían tu dinero entre cuentas separadas de "spot", "margin" y "futures" y esperaban que entendieras por qué. La Cuenta Unificada de KuCoin 5.0 elimina esto por completo: realiza un depósito una vez y todo estará simplemente disponible (actualmente solo disponible para VIPs).
-
Acciones, índices y materias primas. KuCoin 5.0 se expande más allá del cripto hacia mercados globales. Cuando el cripto se mueve lateralmente y las acciones suben (o al revés), rotates en minutos en lugar de abrir una cuenta de corretaje y esperar días para que se activen los canales de moneda fiduciaria.
-
Activos del mundo real (RWA). Exposición tokenizada a activos tradicionales como materias primas, directamente en tu cuenta de cripto. Uno de los segmentos de más rápido crecimiento en las finanzas globales ya no está reservado para instituciones: tú lo accedes desde el mismo saldo con el que operas.
-
Gana mientras aprendes. ¿Aún no estás listo para operar? KCUSD permite que tus stablecoins generen intereses diarios con autocomposición. La forma menos estresante de hacer que tus depósitos inactivos trabajen para ti con un rendimiento del 4%.
-
Un asistente de IA en lenguaje sencillo. Haz preguntas, obtén contexto del mercado, entiende lo que estás viendo: integrado en la plataforma, sin necesidad de jerga.
-
Una aplicación que no abruma. Más rápida, más limpia y coherente: intuitiva desde el primer toque, no después de un tutorial.
-
Seguridad que puedes verificar, no solo confiar. Una entidad de la UE con licencia MiCAR, Proof of Reserves que puedes verificar tú mismo, y seguridad certificada internacionalmente (SOC 2 Type II, ISO 27001:2022).
Crea tu cuenta en minutos y comienza en la plataforma diseñada para adónde va el cripto, no adónde ha estado.
Preguntas frecuentes
¿Fue hackeado NGRAVE?
NGRAVE informó que los atacantes comprometieron el acceso asociado con un proveedor de terceros responsable de las notificaciones push de LIQUID. Las pruebas disponibles indican un ataque de phishing que robó las credenciales de recuperación de los usuarios, en lugar de una brecha confirmada del mecanismo de almacenamiento de claves privadas del monedero hardware ZERO.
¿Cuánto fue robado en el ataque de phishing de NGRAVE?
Bitquery estimó que aproximadamente $2.65 millones fueron retirados de 84 monederos en seis cadenas de bloques. NGRAVE rastreó por separado aproximadamente $2.56 millones en alrededor de 70 direcciones en cuatro redes. Las cifras difieren porque las investigaciones cubrieron conjuntos diferentes de direcciones y activos.
¿Aún es seguro usar NGRAVE ZERO?
El incidente no establece que el monedero hardware ZERO haya sido comprometido. Sin embargo, los usuarios deben seguir las actualizaciones de seguridad oficiales de NGRAVE, evitar enlaces sospechosos y tratar cualquier credencial de recuperación ingresada en el sitio web de phishing como comprometida. La seguridad del dispositivo no restaura el secreto de las credenciales que ya han sido reveladas.
¿Qué debo hacer si solo hice clic en el enlace de phishing?
NGRAVE indicó que los usuarios que solo hicieron clic en el enlace y no ingresaron información ni descargaron nada estaban a salvo del mecanismo específico de robo de credenciales descrito. Cierre la página, evite cualquier interacción adicional y verifique si se descargó algo o se otorgaron permisos. Si ingresó información de recuperación, tome las medidas más urgentes descritas anteriormente.
¿Se puede recuperar una criptomoneda robada?
La recuperación es incierta. Las transacciones de cadena de bloques confirmadas generalmente no pueden ser revertidas por el remitente, y rastrear los fondos no garantiza que puedan ser devueltos. Conservar la evidencia de la transacción e informar inmediatamente el incidente puede ayudar a los investigadores o plataformas relevantes a identificar y, en caso de que sus sistemas y procedimientos aplicables lo permitan, restringir los fondos.
Descargo de responsabilidad: Este artículo tiene fines informativos únicamente y no constituye asesoramiento de inversión ni financiero. Las transacciones con criptomonedas conllevan riesgos, y los activos robados pueden no ser recuperables.
Aviso: Esta página fue traducida utilizando tecnología de IA para tu conveniencia. Para obtener la información más precisa, consulta la versión original en inglés.