Ataque de phishing NGRAVE LIQUID: O que aconteceu e sua carteira está segura?

2026/10/21 16:18:00

Um ataque de phishing direcionado ao aplicativo complementar LIQUID da NGRAVE está ligado a perdas aproximadas de US$ 2,65 milhões em criptomoedas em 84 carteiras, segundo a empresa de análise de blockchain Bitquery. O incidente começou em 17 de outubro de 2026, quando os atacantes exploraram um serviço de notificação push de terceiros para distribuir alertas de segurança fraudulentos que pareciam vir do aplicativo da carteira. Vítimas que seguiram os alertas foram direcionadas a um site falso que solicitava suas frases de recuperação ou Chaves Perfeitas NGRAVE, permitindo que os atacantes recriassem carteiras e transferissem ativos sem acessar fisicamente os dispositivos originais.

O incidente destaca uma distinção crítica na segurança de criptomoedas: um hardware wallet pode proteger chaves privadas de muitas ameaças online, mas não pode impedir perdas se os usuários divulgarem as credenciais necessárias para recuperar suas carteiras. A NGRAVE afirmou que sua carteira de hardware ZERO e as chaves privadas armazenadas no dispositivo não foram diretamente comprometidas. No entanto, o ataque levanta questões mais amplas sobre a segurança de serviços de terceiros, notificações de aplicativos confiáveis e as responsabilidades dos provedores de auto-custódia. Compreender como o ataque ocorreu, para onde foram enviados os fundos roubados e quais usuários podem permanecer em risco é essencial para qualquer pessoa que gerencia ativos digitais.

Principais conclusões

Os prejuízos estimados atingiram US$ 2,65 milhões: a Bitquery rastreou transferências de criptomoedas de 84 carteiras em seis redes blockchain. A NGRAVE relatou separadamente prejuízos de aproximadamente US$ 2,56 milhões em cerca de 70 endereços de carteira em quatro redes. As estimativas refletem escopos de investigação diferentes, e nem todos os endereços na análise da Bitquery podem ser conclusivamente atribuídos a um cliente da NGRAVE.
O ataque explorou um canal de comunicação confiável: os atacantes comprometeram o acesso associado a um serviço de terceiros responsável por notificações push do LIQUID e o utilizaram para enviar avisos de segurança fraudulentos.
As credenciais de recuperação foram o alvo crítico: as vítimas foram convencidas a inserir suas frases de recuperação ou Chaves Perfeitas NGRAVE em um site falso, permitindo que os atacantes restaurassem carteiras em outro local e transferissem os fundos.
A maioria dos fundos rastreados foi convertida em XMR1: o Bitquery relatou que aproximadamente US$ 2,16 milhões foram utilizados para comprar 3.592,71 tokens XMR1 em 39 novas contas do Hyperliquid. Isso representou a posição observada até 19 de outubro, não um saldo atual confirmado.
Os usuários devem responder de acordo com seu nível de exposição: aqueles que apenas clicaram em um link enfrentam um risco diferente das pessoas que enviaram credenciais de recuperação. Qualquer pessoa que tenha divulgado uma frase de recuperação deve tratar a carteira correspondente como comprometida.

O que aconteceu no ataque de phishing do NGRAVE LIQUID?

O ataque explorou a confiança dos usuários nas notificações do LIQUID, o aplicativo móvel complementar da carteira de hardware ZERO da NGRAVE. De acordo com o relatório oficial de incidentes da NGRAVE, publicado em 19 de outubro, os atacantes assumiram o controle do acesso associado a um provedor terceirizado de notificações e enviaram alertas de segurança fraudulentos em 17 de outubro. As mensagens avisavam os destinatários de que seus portfólios de criptomoedas haviam sido sincronizados com um novo dispositivo, criando a impressão de que uma pessoa não autorizada havia acessado suas contas.

Os alertas direcionaram os usuários para um site falsificado projetado para se assemelhar à interface oficial da NGRAVE. A página apresentava uma tela de confirmação de segurança com uma contagem regressiva e uma opção para negar a suposta sincronização. Ao seguir essa opção, os usuários eram levados a outra página solicitando suas credenciais de recuperação. Essa sequência fazia com que a solicitação parecesse um procedimento de segurança necessário, em vez de uma tentativa de roubar o acesso à carteira.

O primeiro esvaziamento de carteira publicamente identificado ocorreu aproximadamente às 21:36 UTC em 17 de outubro, segundo o Bitquery. Os roubos continuaram até 18 de outubro, com a última transação em sua sequência rastreada ocorrendo pouco antes das 04:00 UTC. A NGRAVE informou que desativou a funcionalidade de notificação afetada e posteriormente restaurou o serviço LIQUID após tomar medidas corretivas. O incidente demonstra como atacantes podem explorar um canal de comunicação legítimo sem precisar quebrar as proteções criptográficas subjacentes da carteira.

Como o mecanismo de phishing funcionou

O ataque seguiu um padrão familiar de engenharia social, mas a aparente legitimidade da notificação o tornou particularmente preocupante.

Primeiro, a mensagem fraudulenta criou urgência sugerindo que um novo dispositivo havia acessado o portfólio do usuário. Em segundo lugar, o site falsificado apresentou um fluxo de segurança aparentemente legítimo. Por fim, o pedido de credenciais de recuperação forneceu aos atacantes as informações necessárias para reconstruir as carteiras afetadas.

O passo decisivo não foi simplesmente abrir a notificação. Foi divulgar credenciais que poderiam ser usadas para recuperar a carteira. Segundo a investigação da Bitquery, a NGRAVE indicou que usuários que apenas clicaram no link e não inseriram informações nem baixaram nada estavam seguros do mecanismo específico de roubo de credenciais descrito no incidente. Usuários que enviaram credenciais de recuperação, no entanto, enfrentaram um risco substancialmente mais grave.

Quanto foi roubado e para onde foram os fundos?

O Bitquery estimou que aproximadamente US$ 2,65 milhões foram retirados de 84 carteiras em Bitcoin, XRP, Ethereum, Solana, Dogecoin e Stellar. A própria investigação da NGRAVE identificou perdas de aproximadamente US$ 2,56 milhões envolvendo cerca de 70 endereços de carteira em quatro redes e descreveu seu valor como um mínimo. Essas estimativas devem permanecer separadas, pois as investigações cobriram conjuntos diferentes de endereços e ativos. O Bitquery também reconheceu que os registros de transações na blockchain sozinhos não podem estabelecer que cada carteira rastreada pertencia a um cliente da NGRAVE.

O bitcoin representou a maior parte das perdas, seguido por ativos relacionados ao XRP e ao ethereum. Os seguintes valores são baseados na análise on-chain da Bitquery, com valores arredondados para maior legibilidade.

Blockchain	Prejuízos estimados	Parte do total
Bitcoin (BTC)	US$ 1,76 milhão	66,40%
XRP	$453.000	17,10%
Ethereum e tokens relacionados	$315.000	11,90%
Solana (SOL)	$77.000	2,90%
Dogecoin (DOGE)	$21.000	0,80%
Stellar (XLM)	$19.000	0,70%
Total	Aproximadamente US$ 2,65 milhões	100%

Como a criptomoeda roubada foi movida

A trilha on-chain sugere que o atacante utilizou rotas diferentes dependendo do ativo envolvido. O bitcoin foi transferido por meio do Chainflip, um serviço de troca entre cadeias, e convertido principalmente em ether. Ativos de ethereum foram consolidados e transferidos por meio de carteiras adicionais. Fundos de Solana foram trocados por USDC e movidos entre redes usando serviços de ponte.

Bitquery rastreou partes desses fundos por meio de serviços incluindo LI.FI e Mayan antes de chegarem ao Hyperliquid. Os fundos foram divididos entre 39 contas recém-criadas, que compraram XMR1, um token projetado para acompanhar o preço do Monero e disponível para retirada como a criptomoeda subjacente sob os mecanismos da plataforma relevante.

De acordo com o Bitquery, as contas compraram um total de 3.592,71 XMR por aproximadamente US$ 2,16 milhões. Às 09:00 UTC em 19 de outubro, os ativos tinham um valor de cerca de US$ 2,12 milhões, e o Bitquery relatou que os tokens rastreados não haviam sido vendidos ou retirados naquele momento. Essas observações são específicas no tempo: transações subsequentes podem alterar os saldos e tornar o rastreamento adicional mais difícil. O Bitquery também não conseguiu determinar o destino final de todos os fundos em XRP, Dogecoin e Stellar.

O NGRAVE ZERO foi hackeado?

A distinção entre o serviço de notificação comprometido e a própria carteira de hardware é central para entender o incidente. A NGRAVE afirmou que o ataque não comprometeu diretamente o dispositivo ZERO nem as chaves privadas armazenadas nele. Em vez disso, os atacantes usaram um serviço de terceiros associado às notificações LIQUID para alcançar os usuários e persuadi-los a revelar suas credenciais de recuperação.

O NGRAVE ZERO é projetado para manter as chaves privadas off-line, enquanto o LIQUID permite aos usuários visualizar informações de carteira e gerenciar transações suportadas. De acordo com a documentação do produto LIQUID da NGRAVE, o aplicativo não tem acesso às chaves privadas armazenadas no ZERO. Os dois produtos se comunicam por meio de QR codes como parte do fluxo de trabalho de transação pretendido. Essas proteções podem reduzir a exposição a ataques remotos, mas não conseguem impedir que um atacante restaure uma carteira em outro local após obter as informações de recuperação.

Uma frase de recuperação, ou a respectiva Perfect Key na terminologia da NGRAVE, fornece as informações necessárias para reconstruir o acesso à carteira. Uma vez que essas informações são divulgadas, um atacante pode conseguir acessar endereços de blockchain suportados e transferir ativos sem possuir o dispositivo original. É por isso que a ausência de uma vulnerabilidade de hardware confirmada não torna as perdas menos graves.

O que o incidente revela sobre a segurança de carteiras de hardware

O ataque ilustra que segurança de carteira de hardware vai além do dispositivo físico. O ecossistema circundante inclui aplicativos complementares, provedores de notificações, sistemas de gerenciamento de contas, atualizações de software e processos de suporte ao cliente. Uma fraqueza em um desses componentes pode criar uma oportunidade para atacar usuários, mesmo quando o mecanismo central de armazenamento de chaves permanece intacto.

É portanto importante distinguir entre uma violação criptográfica e um ataque de engenharia social. As evidências disponíveis apoiam a última explicação para este incidente. Não se estabelece que a arquitetura de segurança do dispositivo ZERO tenha sido comprometida, embora o incidente mais amplo levante questões legítimas sobre controles de acesso de terceiros e como as notificações sensíveis à segurança devem ser autenticadas.

Como a NGRAVE respondeu ao incidente

A NGRAVE relatou que detectou a atividade de notificação fraudulenta, revogou o acesso afetado e desativou o envio de notificações enquanto investigava o incidente. Sua resposta publicada descreveu a compromissão do acesso de um provedor de terceiros como o ponto de entrada. A empresa restaurou posteriormente o LIQUID após tomar medidas corretivas e detalhou medidas destinadas a fortalecer o sistema de notificações.

As alterações anunciadas incluíram restrições mais rigorosas sobre links de notificação, requisitos adicionais de aprovação para envio de notificações e melhorias no gerenciamento de chaves de acesso e procedimentos de desligamento de emergência. Essas medidas abordam várias das fraquezas expostas pelo ataque: permissões excessivas a terceiros, separação insuficiente de responsabilidades e o potencial de um canal de notificação comprometido alcançar os usuários em larga escala.

A NGRAVE também relatou que os atacantes acessaram certas informações associadas ao sistema de notificação. As informações potencialmente expostas incluíram detalhes do dispositivo, informações de país e fuso horário, dados de uso e endereços IP. O escopo exato de qualquer exposição de dados pessoais deve ser distinto das perdas confirmadas de criptomoedas, e os usuários devem confiar em divulgações oficiais subsequentes para atualizações sobre a investigação e a correção.

A resposta também levanta uma questão mais ampla da indústria: uma aplicação de carteira deveria ser capaz de enviar uma notificação de segurança que direcione os usuários para uma página solicitando credenciais de recuperação? Controles mais rigorosos podem reduzir o risco de um serviço de notificação comprometido, mas as mensagens de segurança também devem deixar claro que frases de recuperação e chaves privadas nunca devem ser inseridas em sites ou enviadas à equipe de suporte.

Sua carteira NGRAVE está segura? O que os usuários devem fazer

A resposta adequada depende do que o usuário fez após receber uma notificação suspeita. Apenas receber uma mensagem não significa que uma carteira foi comprometida, e clicar em um link não é equivalente a divulgar credenciais de recuperação. No entanto, os usuários não devem assumir que uma carteira permanece segura apenas porque o dispositivo original ainda está em seu poder.

Situação do usuário	Avaliação de risco	Ação recomendada
Recebeu a notificação, mas não a abriu	Nenhuma exposição de credenciais pela própria notificação	Ignore a mensagem e verifique os anúncios por meio de canais oficiais acessados independentemente.
Abriu o link, mas não inseriu nenhuma informação e não fez nenhum download	Menor risco do método de phishing específico descrito	Feche a página e evite mais interações. Verifique se houve downloads, instalações ou permissões concedidas.
Inseriu uma frase de recuperação ou Chave Perfeita	Trate a carteira correspondente como comprometida	Crie uma nova carteira com novas credenciais de recuperação usando um processo confiável, depois transfira os ativos restantes o mais rápido possível com segurança.
Encontrou transações não autorizadas ou ativos ausentes	Os ativos já podem ter sido transferidos além da recuperação direta	Preserve hashes de transação, endereços de carteira, carimbos de data/hora, capturas de tela e URLs suspeitas; entre em contato com o suporte oficial e as autoridades competentes das exchanges ou da polícia.

O que fazer se você inseriu sua frase de recuperação

Se você enviou sua frase de recuperação ou Perfect Key para o site fraudulento, trate todas as carteiras que podem ser reconstruídas com essas credenciais como potencialmente comprometidas. Não continue usando as credenciais expostas e não assuma que mover o dispositivo original para outro local restaurará a segurança.

Usando um dispositivo confiável e um procedimento de recuperação verificado, crie uma nova carteira com credenciais de recuperação totalmente novas. Transferir quaisquer ativos restantes da carteira comprometida para a nova carteira, verificando cuidadosamente cada endereço de destino. Se as credenciais originais protegem ativos em várias redes, revise todas as redes suportadas em vez de verificar apenas a carteira onde a primeira transação suspeita apareceu.

Os usuários também devem estar atentos a golpes de seguimento. Atacantes podem se passar por representantes de suporte ao cliente, prometer recuperar ativos roubados ou solicitar credenciais e taxas adicionais. Frases de recuperação e chaves privadas nunca devem ser compartilhadas com um agente de suporte nem inseridas em um site apenas porque uma mensagem afirma que essa ação é necessária para garantir os fundos.

Qualquer pessoa que tenha perdido ativos deve preservar evidências da transação e relatar o incidente imediatamente. As transferências de criptomoedas geralmente são difíceis de reverter após a confirmação, mas a documentação e o relato oportunos podem auxiliar investigações ou ajudar plataformas a identificar fundos suspeitos.

O que o ataque significa para a segurança das carteiras de hardware

O incidente da NGRAVE destaca três lições mais amplas para a indústria de criptomoedas. Primeiro, provedores de serviços terceirizados podem se tornar uma fraqueza de segurança, mesmo quando o produto principal é projetado para manter credenciais sensíveis off-line. Fabricantes de carteiras precisam aplicar controles de acesso rigorosos, minimizar privilégios de terceiros, rotacionar credenciais quando apropriado, monitorar atividades incomuns e manter uma forma eficaz de desativar serviços comprometidos.

Em segundo lugar, notificações confiáveis não devem substituir a verificação independente. Os usuários estão acostumados a tratar mensagens de aplicativos instalados como mais credíveis do que e-mails não solicitados ou postagens em redes sociais. Esse ataque explorou exatamente essa suposição. Provedores de carteiras devem projetar alertas de segurança de forma que os usuários possam verificá-los independentemente e nunca devem normalizar solicitações para inserir frases de recuperação em um formulário web.

Terceiro, a autogestão exige mais do que comprar um dispositivo de hardware. Também depende da proteção das credenciais de recuperação, verificação de transações, práticas seguras de dispositivo e compreensão do que deve ser um processo de recuperação legítimo. Carteiras de hardware podem reduzir certos riscos técnicos, mas nenhum produto pode proteger totalmente um usuário que voluntariamente divulga as credenciais que controlam seus ativos.

Para fabricantes de carteiras, o incidente reforça a necessidade de tratar toda a experiência do usuário como parte do limite de segurança. Para os usuários, o princípio mais importante permanece simples: credenciais de recuperação devem permanecer privadas e off-line, e qualquer solicitação inesperada para revelá-las deve ser tratada como um sinal de alerta sério.

Conclusão

O ataque de phishing da NGRAVE LIQUID demonstra que a segurança de carteiras de hardware depende de mais do que manter chaves privadas off-line. Os atacantes supostamente exploraram um serviço de notificação de terceiros, usaram alertas de segurança fraudulentos para ganhar a confiança dos usuários e obtiveram credenciais de recuperação que permitiram a eles transferir criptomoedas sem acessar diretamente os dispositivos de hardware originais. O Bitquery estimou as perdas rastreadas em aproximadamente US$ 2,65 milhões, enquanto a NGRAVE relatou uma estimativa mínima separada de cerca de US$ 2,56 milhões. Ambos os valores destacam as consequências financeiras de um canal de comunicação comprometido e de engenharia social bem-sucedida.

Para os usuários, a prioridade imediata é determinar se as credenciais de recuperação foram divulgadas e agir em conformidade. Para provedores de carteiras, o incidente reforça a importância de controles rigorosos de acesso a terceiros, notificações de segurança independentemente verificáveis e avisos claros contra o compartilhamento de informações de recuperação. Uma carteira de hardware permanece uma ferramenta importante de autogestão, mas sua proteção depende dos usuários manterem privadas as credenciais que restauram o acesso aos seus ativos.

🔥 Além das Manchetes: O Que o KuCoin 5.0 Significa para Você

As notícias do mercado se movem rápido — mas onde você age sobre elas importa tanto quanto. Este outono, a KuCoin lança a KuCoin 5.0, transformando a KuCoin em uma plataforma reconstruída. Aqui está o que realmente muda para você:

Uma conta para tudo. Plataformas antigas dividiam seu dinheiro entre contas separadas de "spot", "margin" e "futures" e esperavam que você entendesse por quê. A Conta Unificada do KuCoin 5.0 elimina isso completamente — faça um único depósito e tudo estará simplesmente disponível (por enquanto, disponível apenas para VIPs).
Ações, índices e commodities. A KuCoin 5.0 se expande além do cripto para mercados globais. Quando o cripto flutua lateralmente e os ativos equities sobem (ou o contrário), você faz a rotação em minutos, em vez de abrir uma conta na corretora e esperar dias pelas vias de moeda fiduciária.
Ativos do mundo real (RWA). Exposição tokenizada a ativos tradicionais, como commodities, diretamente na sua conta de cripto. Um dos segmentos de mais rápido crescimento na finança global já não é mais reservado para instituições — você acessa-o a partir do mesmo saldo que usa para negociar.
Ganhe enquanto aprende. Não está pronto para negociar? KCUSD permite que suas stablecoins rendam diariamente, com juros compostos automaticamente. A maneira menos estressante de colocar seu depósito ocioso para trabalhar, com rendimento de 4%.
Um assistente de IA em linguagem simples. Faça perguntas, obtenha contexto de mercado, entenda o que está vendo — integrado à plataforma, sem necessidade de jargões.
Um aplicativo que não sobrecarrega. Mais rápido, mais limpo e consistente — intuitivo desde o primeiro toque, não após um tutorial.
Segurança que você pode verificar, não apenas confiar. Uma entidade da UE com licença MiCAR, Proof of Reserves que você pode verificar por si mesmo, e segurança certificada internacionalmente (SOC 2 Type II, ISO 27001:2022).

Crie sua conta em minutos — e comece na plataforma construída para onde o cripto está indo, não para onde já esteve.

Perguntas frequentes

O NGRAVE foi hackeado?

A NGRAVE relatou que atacantes comprometeram o acesso associado a um provedor de terceiros responsável por notificações push do LIQUID. As evidências disponíveis apontam para um ataque de phishing que roubou as credenciais de recuperação dos usuários, e não para uma violação confirmada do mecanismo de armazenamento de chaves privadas da carteira ZERO.

Quanto foi roubado no ataque de phishing da NGRAVE?

O Bitquery estimou que aproximadamente US$ 2,65 milhões foram retirados de 84 carteiras em seis redes blockchain. A NGRAVE rastreou separadamente aproximadamente US$ 2,56 milhões em cerca de 70 endereços em quatro redes. Os valores diferem porque as investigações cobriram conjuntos diferentes de endereços e ativos.

O NGRAVE ZERO ainda é seguro de usar?

O incidente não estabelece que a carteira de hardware ZERO em si foi comprometida. No entanto, os usuários devem seguir as atualizações de segurança oficiais da NGRAVE, evitar links suspeitos e tratar quaisquer credenciais de recuperação inseridas no site de phishing como comprometidas. A segurança do dispositivo não restaura o sigilo das credenciais que já foram divulgadas.

O que devo fazer se cliquei apenas no link de phishing?

A NGRAVE indicou que os usuários que apenas clicaram no link e não inseriram informações nem fizeram download de nada estão seguros do mecanismo específico de roubo de credenciais descrito. Feche a página, evite qualquer interação adicional e verifique se algo foi baixado ou se alguma permissão foi concedida. Se você inseriu informações de recuperação, siga os passos mais urgentes descritos acima.

É possível recuperar criptomoedas roubadas?

A recuperação é incerta. Transações confirmadas na blockchain geralmente não podem ser revertidas pelo remetente, e rastrear os fundos não garante que eles possam ser devolvidos. Preservar evidências da transação e relatar imediatamente o incidente pode ajudar investigadores ou plataformas relevantes a identificar e potencialmente restringir fundos onde seus sistemas e procedimentos aplicáveis o permitirem.

Disclaimer: Este artigo é apenas para fins informativos e não constitui aconselhamento financeiro ou de investimento. Transações em criptomoedas apresentam riscos, e ativos roubados podem não ser recuperáveis.

Aviso legal: Esta página foi traduzida usando tecnologia de IA para sua conveniência. Para informações mais precisas, consulte a versão original em inglês.