El fabricante belga de billeteras de hardware Ngrave afirma que ladrones robaron aproximadamente $2.56 millones a sus clientes tras secuestrar un sistema de terceros utilizado para enviar alertas de seguridad a través de la aplicación móvil de la compañía. La empresa reveló la vulneración el 19 de octubre en un informe oficial del incidente.

Según la revelación, los atacantes obtuvieron el control de un proveedor de notificaciones utilizado por la aplicación complementaria LIQUID de Ngrave. El 17 de octubre, explotaron ese acceso para enviar advertencias de seguridad falsas directamente a los dispositivos de los usuarios a través del mismo canal que la aplicación utiliza para sus alertas legítimas.

El mensaje afirmaba que el portafolio de un usuario se había sincronizado con un dispositivo Pixel 9 en Moscú. Al tocar la alerta, se abría un sitio web falso de Ngrave que mostraba un temporizador de cuenta regresiva y presentaba dos botones: uno para aprobar la actividad y otro para denegarla. Ambos botones conducían a la misma trampa. Los usuarios que continuaban debían ingresar su frase de recuperación de 24 palabras o su Perfect Key, cualquiera de las cuales daba a los atacantes acceso completo a sus billeteras. Una frase de recuperación existe para restaurar una billetera en un nuevo dispositivo y nunca debe ingresarse en ningún sitio web, una regla que la página falsa estaba diseñada para hacer que los usuarios rompieran. Luego, scripts automatizados vaciaron las cuentas afectadas en cuestión de minutos.

Ngrave rastreó las pérdidas hasta 70 direcciones de billeteras en cuatro redes blockchain. Bitcoin representó la mayor parte de los fondos robados, con $1.77 millones. Los ladrones también se llevaron $454,000 en XRP, $316,000 en activos basados en Ethereum y $18,000 en Stellar.

Cómo se desarrolló el ataque

El informe del incidente de Ngrave señala que el acceso no autorizado pudo haber comenzado el 11 de octubre, seis días antes de que se enviaran las alertas falsas. Los investigadores creen que los atacantes obtuvieron una clave de acceso y la usaron para conseguir una segunda clave con permisos amplios, incluido el acceso a algunos datos de análisis.

La compañía afirma que detectó las alertas fraudulentas dentro de un minuto de su aparición a las 9:30 p.m. UTC del 17 de octubre. Aun así, la primera billetera fue vaciada seis minutos después. Ngrave apagó su sistema de notificaciones antes de las 10:45 p.m. Los robos de billeteras que ya habían sido comprometidas continuaron hasta las 3:51 a.m. de la mañana siguiente.

La empresa sostiene que sus billeteras de hardware ZERO y las claves privadas almacenadas en ellas nunca fueron vulneradas. En lugar de derrotar los dispositivos themselves, los atacantes engañaron a los clientes para que entregaran voluntariamente sus propios datos de recuperación.

Los fondos robados se movieron a través de exchanges, puentes blockchain y direcciones recién creadas. Ngrave rastreó el bitcoin hasta 12 direcciones, mientras que el XRP se movió a través de 54 transferencias. La firma de análisis blockchain Bitquery dijo en su propio informe que "la mayoría ahora se encuentra en Hyperliquid como un token Monero", y estimó que aproximadamente el 81% de los fondos terminó en el exchange descentralizado de perpetuos.

El CEO admite el fracaso

El director ejecutivo de Ngrave brindó una declaración inusualmente directa en el informe del incidente. "En mi humilde opinión, el primer deber de una empresa de seguridad cripto es proporcionar exactamente eso: seguridad. En esto, hemos fallado absoluta y totalmente", dijo.

Reconoció que la seguridad de la empresa no era lo suficientemente sólida cuando asumió el liderazgo meses antes. Ngrave también reveló que información del dispositivo, actividad de la billetera, direcciones IP y ubicaciones aproximadas pueden haber sido expuestas en el incidente.

La vulneración se suma a un año difícil para los fabricantes de billeteras de hardware. Casi una docena de incidentes de seguridad en 2026 han involucrado a marcas como Ledger, Trezor, Tangem, Safepal, Bitbox02 y Coldcard, con pérdidas reportadas que superan los $180 millones en dos incidentes.

Ngrave ha reemplazado las claves de acceso comprometidas y planea controles más estrictos sobre su infraestructura de notificaciones. Las medidas previstas incluyen aprobaciones de alertas por dos personas, restricciones en los dominios de envío y una opción de apagado de emergencia. Sin embargo, el informe no explica cómo los atacantes obtuvieron la primera clave de acceso, y las nuevas salvaguardas siguen en fase de planificación. La compañía insta a los clientes afectados a configurar nuevas billeteras y contactar a su equipo de soporte. La investigación sigue en curso.

Este artículo se basa en el informe oficial del incidente de Ngrave y en la cobertura original de Blockonomi.