Phishing de Ngrave: 2,56 millones de dólares salieron de 70 carteras por un proveedor push secuestrado

El fabricante belga de carteras hardware Ngrave publicó el 19 de octubre de 2026 un informe de incidente que describe una brecha incómoda: unos atacantes tomaron el control del acceso de un proveedor externo que envía las notificaciones push de la aplicación complementaria LIQUID y usaron ese canal para mandar a los usuarios falsas alertas de seguridad. Quien siguió la alerta e introdujo sus palabras de recuperación perdió su saldo. Según el recuento de la empresa, salieron unos 2,56 millones de dólares de alrededor de 70 direcciones de cartera en cuatro redes.

Los dispositivos en sí no eran el objetivo. Ngrave escribe de forma expresa que no se tocaron ni el código de la aplicación LIQUID, ni el hardware ZERO, ni las claves guardadas en él. Lo atacado fue la vía por la que la empresa habla con sus clientes. Eso es justo lo que hace el caso relevante para cualquiera que custodie sus criptoactivos por sí mismo, porque hoy casi todas las aplicaciones de cartera envían notificaciones.

Qué pasó el 17 de octubre con las notificaciones de LIQUID

La noche del 17 de octubre de 2026, hacia las 21:30 UTC, salió un mensaje push a los usuarios de LIQUID con el aspecto de una alerta de seguridad del fabricante. El texto afirmaba que la cartera del destinatario se había sincronizado en un dispositivo nuevo: un Pixel 9 en Moscú. Un mensaje así produce exactamente la reacción que buscaban los atacantes, es decir, actuar rápido sin pensar.

El enlace del mensaje llevaba a una copia de la página de Ngrave. Allí corría una cuenta atrás, junto a un botón para confirmar y otro para rechazar. Quien pulsaba rechazar acababa en una página que pedía la Perfect Key o la frase de recuperación de 24 palabras. El reflejo de frenar el acceso de un desconocido conducía por tanto directo a la trampa.

La cronología del informe de la empresa está muy apretada. A las 21:31 el equipo advirtió el mensaje; a las 21:36 la primera cartera estaba vacía. A las 21:40 Ngrave revocó la primera clave de acceso robada, pero los atacantes siguieron enviando con una segunda. A las 22:30 había un aviso publicado en X, diez minutos después salió un correo de advertencia a los clientes y a las 22:45 la empresa apagó por completo el envío de notificaciones. El último robo rastreado cae el 18 de octubre a las 03:51.

El proveedor push secuestrado: cómo una clave de acceso llevó a la segunda

Ngrave no envía las notificaciones de su aplicación por sí misma, sino a través de un proveedor externo. A ese proveedor golpearon los atacantes. Primero consiguieron una clave de acceso y la usaron para llegar a una segunda con más permisos. Con la segunda clave pudieron enviar mensajes a los usuarios de LIQUID y ver parte de los datos de uso.

El informe fecha el primer indicio de ese acceso el 11 de octubre. Entre la intrusión y la falsa alerta pasaron por tanto seis días en los que nadie advirtió nada. Solo a las 09:37 del 18 de octubre, según la empresa, estaba sustituida cada clave que usan los sistemas en servicio.

Una clave de acceso en un proveedor es una cadena de caracteres con la que un programa se identifica ante otro, el equivalente a una contraseña para máquinas. Está en configuraciones de servidor, no en tu cartera. Por eso el mejor hardware no te sirve de nada si esa clave cae en malas manos: el mensaje que entonces te llega lleva al remitente auténtico.

De 2,56 a 2,65 millones de dólares: qué criptos salieron de qué carteras

Ngrave cifra el daño rastreado en unos 2,56 millones de dólares, calculados a los precios del 17 de octubre, repartidos entre unas 70 direcciones de cartera y cuatro redes. La empresa califica esa suma de forma expresa como un mínimo. La firma de análisis Bitquery llega, en un recuento más amplio, a unos 2,65 millones de dólares en 84 carteras, según informa CryptoSlate. Con los datos de transacción por sí solos, en cambio, no se puede demostrar que cada una de esas carteras perteneciera a un cliente de Ngrave. El rango defendible va por tanto de 2,56 a 2,65 millones de dólares.

El desglose por redes del fabricante es el siguiente:

• Bitcoin: 1,77 millones de dólares. Los importes confluyeron en una dirección de los atacantes y desde allí se repartieron en doce direcciones recién creadas.
• XRP: 454.000 dólares. Esa suma fue al servicio de intercambio ChangeNOW en 54 depósitos separados.
• Ethereum: unos 316.000 dólares. Los tokens se vendieron por 130,47 ETH y se llevaron a otras blockchains a través del servicio LI.FI. El informe menciona en un punto 313.000 dólares como suma puenteada y unos 3.000 dólares en tokens sin vender que quedaron en las carteras de los atacantes.
• Stellar: 18.000 dólares, enviados a una dirección que, según la empresa, pertenece a un exchange.

Llama la atención la velocidad. Entre la primera cartera vaciada y el último robo rastreado pasaron algo más de seis horas. Quien leyó el correo de aviso de las 22:40 a la mañana siguiente ya no tuvo ninguna opción de intervenir.

Qué dice Ngrave que no ha perdido

El informe acota el daño en varios puntos. Quedaron intactos, según él, el código de la aplicación LIQUID, los dispositivos ZERO junto con los secretos guardados en ellos, y los nombres y direcciones de envío de los clientes, que están en un sistema separado. Las claves privadas no salen de un dispositivo ZERO, según el fabricante, y los atacantes no tuvieron acceso a los dispositivos.

Las frases de recuperación y las Perfect Keys tampoco se filtraron, según esta versión, con una excepción: aquellas que los propios usuarios teclearon en la página falsa. Esa distinción es el núcleo del caso. En lo técnico, la custodia aguantó. Lo que se rompió fue la confianza en el canal por el que el fabricante envía sus avisos.

La lista de datos: qué podían leer los atacantes sobre los usuarios de LIQUID

Además del dinero se perdió un conjunto de datos, y pesa más para los próximos meses de lo que la suma permite suponer. El 17 de octubre los atacantes copiaron la lista de notificaciones, según la empresa. En ella consta, por teléfono, un token, el modelo de dispositivo, el sistema operativo, la versión de LIQUID, el idioma, el país, la zona horaria, datos de uso, un identificador interno de la aplicación y posiblemente la dirección IP con una localización aproximada.

También eran legibles el historial de intercambios con direcciones cripto, importes y fechas, datos recientes de saldo y los datos generales de uso de la aplicación. Si esos datos se copiaron también es algo que la empresa sigue comprobando. En un número reducido de clientes, los atacantes pudieron ver además la dirección de correo y el número de pedido de solicitudes de borrado. Ngrave ha comunicado la filtración a la autoridad belga de protección de datos.

Para quien usa LIQUID, eso significa contar en los próximos meses con mensajes muy dirigidos. Quien sabe qué dispositivo usas, en qué país vives y qué importes cambiaste la última vez ya no escribe un correo masivo, sino un mensaje que encaja con tu situación. Cómo reconocer esas oleadas posteriores a una filtración lo describimos con otros incidentes como ejemplo en nuestra guía sobre phishing cripto tras una filtración de datos.

Supervisión MiCA: un fabricante de carteras hardware no entra ahí

Para los inversores en Alemania conviene una lectura sobria del marco legal. El reglamento europeo MiCA regula a los proveedores que custodian, intercambian o intermedian criptoactivos para otros. Un fabricante que te vende un dispositivo con el que guardas tus propias claves no custodia nada por ti. Por eso no cae bajo la misma supervisión que un exchange con licencia de la BaFin.

La consecuencia práctica es incómoda. En la autocustodia no hay garantía de depósitos, ni derecho de indemnización frente a un supervisor, ni fondo que intervenga. Quien revela las palabras de recuperación ha entregado el poder de disposición, y ninguna instancia puede revertir la transferencia. Es el precio de la independencia, y hay que tenerlo en cuenta al elegir un dispositivo. Qué modelos se pueden comprar en Alemania y en qué se diferencian en manejo y recuperación lo muestra nuestra comparativa de carteras hardware.

Quien no quiera pagar ese precio tiene una alternativa que trae a su vez otros riesgos: la custodia en un proveedor supervisado. Allí responde una empresa sometida a supervisión, pero el control de las claves ya no está en tus manos. Qué plataformas acreditan una autorización MiCA para el mercado alemán lo recoge nuestro repaso de los exchanges cripto regulados.

Denuncia, número de atestado y bloqueo en el exchange: la vía para los afectados en Alemania

Ngrave menciona en el informe pasos concretos, y valen para cualquier caso comparable, sea quien sea el fabricante. Quien introdujo su frase de recuperación o su Perfect Key en la página falsa debe tratar la cartera afectada como comprometida en todas las redes, llevar el saldo restante a una cartera nueva con una frase nueva y no enviar nada más a las direcciones antiguas. Eso vale, según la empresa, incluso si la página rechazó la entrada como incorrecta o solo se teclearon algunas de las palabras.

Quien solo abrió el enlace o pulsó los botones sin introducir palabras no está afectado, según esta versión. Un aviso del informe importa aquí: una aplicación web llamada «NGRAVE Security Center», que pudo acabar en la pantalla de inicio al pulsar, no procede del fabricante y hay que borrarla.

Para el contacto, la empresa remite a support@ngrave.io; los expedientes llevan una referencia precedida de OSH. Para el rastreo, los afectados deben enviar los identificadores de transacción, las direcciones propias y de destino y el momento aproximado de la entrada, pero nunca la frase de recuperación en sí. Y un punto afecta de forma directa a los perjudicados en Alemania: Ngrave aconseja presentar denuncia en el lugar de residencia y facilitar el número de atestado, porque los exchanges exigen por regla general una referencia policial antes de congelar un saldo. En Alemania la comisaría local toma la denuncia, y varios estados federados ofrecen además una ventanilla en línea para ello.

La empresa afirma haber apagado el servicio de notificaciones, retirado los mensajes falsos, comunicado la página de phishing al registrador para su cierre, asegurado los registros, avisado a las autoridades y pedido a exchanges y servicios de puente que congelen los fondos.

La lección del incidente: la vía de ataque pasó por el canal de notificaciones

Ngrave es inusualmente dura consigo misma en su propio informe. El director de la empresa escribe que el sistema interno de notificaciones fue infiltrado "by sophisticated attackers", califica el método de "a classic trick, and one that we at NGRAVE should have prevented" y sostiene: "In this, we have absolutely and utterly failed." El objetivo es ser la empresa más segura del mundo, escribe, y hoy están muy lejos de eso. Todo ello se puede leer en el informe de incidente de la empresa del 19 de octubre de 2026.

Está anunciada una serie de cambios que la empresa describe como aún no terminados. LIQUID solo debe poder abrir en el futuro direcciones oficiales de Ngrave, de modo que las notificaciones y los banners ya no llamen a páginas ajenas. A eso se añaden una clave que solo puede enviar y no leer, un acceso limitado a los servidores propios con doble factor, alertas ante usos inusuales y exportaciones masivas, un principio de doble validación para cada mensaje, claves de vida corta renovadas al menos cada 90 días y un único interruptor que detiene todas las vías de envío.

El caso encaja en un patrón visto varias veces este año. En octubre la empresa de análisis SlowMist informó de falsos avisos de firmware en nombre de otro fabricante, de los que hablamos en falsas actualizaciones de firmware de Ledger. La superficie de ataque se desplaza del hardware a todo lo que lo rodea: aplicación, notificación, lista de clientes, proveedor de envíos.

Una regla sencilla atraviesa casi todos estos casos: ningún fabricante serio y ningún exchange pide nunca tu frase de recuperación, tu Perfect Key o un pago. Ngrave lo deja claro de nuevo en el informe y advierte además contra proveedores que prometen, a cambio de dinero, recuperar criptoactivos robados. Tales ofertas son, según la empresa, siempre una estafa.

Phishing de Ngrave: quien tecleó las palabras necesita una cartera nueva

El incidente no ha dejado al descubierto una brecha en la custodia misma, sino en la confianza en el remitente de un mensaje. De ahí se derivan tres pasos:

1. Comprueba si estás afectado y actúa en consecuencia. Si la noche del 17 de octubre recibiste un aviso de sincronización y después introdujiste palabras, la cartera está quemada. Crea una nueva con una frase de recuperación fresca, traslada allí el saldo restante y presenta denuncia, para tener en mano el número de atestado para los bloqueos en los exchanges. Qué dispositivo sirve para ello está en la comparativa de carteras hardware.
2. Pasa las notificaciones de actuar a comprobar. Trata cada mensaje push y cada correo como un simple motivo para mirar por ti mismo, en la aplicación o en el explorador de bloques, y no sigas nunca un enlace del aviso. Un acceso real a tu saldo se ve en la blockchain, no en una notificación. Qué aplicaciones sirven para eso y cómo manejan las autorizaciones lo muestra la comparativa de carteras software.
3. Decide con intención cuánto custodias tú mismo. La autocustodia significa control total y responsabilidad total; la custodia en un proveedor supervisado reparte ambas cosas de otro modo. Para carteras grandes es habitual repartir. Qué plataformas están autorizadas para el mercado alemán lo recoge el repaso de los exchanges cripto regulados.

(23 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)