Por Canuto  

Un ataque de phishing dirigido a usuarios de NGRAVE habría provocado pérdidas estimadas en USD $2,65 millones. Los investigadores rastrearon parte de los fondos hasta cuentas de Hyperliquid, mientras la empresa atribuyó el engaño al compromiso de un servicio externo que enviaba notificaciones.
***

  • Bitquery vinculó USD $2,65 millones en pérdidas sospechosas con 84 billeteras afectadas durante un ataque de unas seis horas.
  • Los atacantes condujeron USD $2,16 millones hasta 39 cuentas de Hyperliquid, que compraron tokens XMR1.
  • NGRAVE afirmó que el servicio comprometido enviaba alertas fraudulentas para solicitar frases de recuperación, sin vulnerar las claves privadas almacenadas fuera de línea en los dispositivos ZERO.

Phishing contra NGRAVE deja pérdidas estimadas en USD $2,65 millones

Un ataque de phishing que aprovechó las notificaciones de la aplicación LIQUID de NGRAVE habría causado pérdidas estimadas en USD $2,65 millones en criptomonedas, según el rastreo de Bitquery citado por CryptoSlate. La operación, que se extendió durante unas seis horas el 17 de octubre, afectó a usuarios de distintas redes y mostró cómo un mensaje fraudulento puede sortear la protección de una billetera de hardware sin vulnerar directamente el dispositivo.

El caso también dejó un rastro que los investigadores pudieron seguir: USD $2,16 millones llegaron a 39 cuentas de Hyperliquid y se destinaron a comprar tokens XMR1, ligados al precio de Monero. Al 19 de octubre, esos activos no se habían vendido ni retirado, aunque esa concentración no confirma por sí sola que las víctimas puedan recuperar los fondos.

Alertas fraudulentas y fondos en varias redes

Bitquery rastreó las pérdidas sospechosas a través de 84 billeteras, aunque la investigación identificó a las presuntas víctimas a partir de patrones de transacciones y reportes de pérdidas, y no descartó que algunas direcciones estuvieran relacionadas con otros ataques de phishing. Los robos abarcaron BTC, XRP, ETH, SOL, DOGE y XLM, lo que llevó a los atacantes a mover activos por distintos entornos de blockchain durante el periodo señalado.

BTC representó la porción más elevada de los fondos identificados: los atacantes drenaron cerca de USD $1,76 millones de 21 billeteras. Después, movieron esos activos mediante varias cadenas, una secuencia que complica reconstruir el recorrido de cada monto y distinguir entre los fondos directamente vinculados al caso y otros movimientos sospechosos.

Según el análisis, una parte considerable del BTC pasó por 12 exchanges en Chainflip, mientras que los fondos de ETH y SOL atravesaron puentes antes de converger en cuentas de Hyperliquid. Desde allí, 39 cuentas compraron alrededor de 3.593 tokens XMR1 por un valor aproximado de USD $2,16 millones, concentrando una parte importante de los fondos rastreados en una plataforma identificable.

La investigación de Bitquery registró que, en su última revisión del 19 de octubre, los tokens XMR1 no se habían vendido ni retirado y tenían un valor conjunto cercano a USD $2,12 millones. XMR1 sigue el precio de Monero, pero no es el mismo activo que XMR; por eso, el rastro descrito corresponde a una compra de ese token y no a una adquisición de Monero directamente.

El engaño aprovechó la confianza en la aplicación

En un informe de incidentes publicado el 19 de octubre, NGRAVE afirmó que los atacantes comprometieron el acceso a un servicio de terceros encargado de enviar las notificaciones push de LIQUID. La empresa no atribuyó el incidente a una vulneración de sus dispositivos ZERO, sino a la infraestructura que comunicaba alertas a sus usuarios mediante la aplicación complementaria.

Los mensajes fraudulentos advertían que el portafolio de criptomonedas del usuario se había sincronizado con un dispositivo Pixel 9 en Moscú. Al presentar una actividad no reconocida y una ubicación alarmante, la notificación imitaba una advertencia de seguridad legítima y orientaba a las personas hacia un sitio web controlado por los atacantes.

Ese sitio solicitaba las frases de recuperación o las NGRAVE Perfect Keys, credenciales que permiten reconstruir una billetera y controlar sus activos. Una vez que las víctimas las entregaban, los atacantes podían recrear las billeteras afectadas y transferir criptomonedas, aunque no tuvieran acceso físico a los dispositivos de hardware de los usuarios.

NGRAVE sostuvo que los dispositivos ZERO mantenían las claves privadas fuera de línea, pero ese aislamiento no impidió el robo cuando los usuarios compartieron sus credenciales de recuperación con una página fraudulenta. La diferencia es importante: proteger las claves dentro del dispositivo no evita que un atacante obtenga por engaño la información necesaria para restaurar la billetera en otro lugar.

Una sucesión de incidentes aumenta la presión sobre el sector

El ataque a NGRAVE ocurrió un día después de una campaña de phishing similar dirigida a usuarios de SecuX, registrada el 16 de octubre. Nick Percoco, director de seguridad de Kraken, destacó las semejanzas entre ambos episodios y describió a NGRAVE como el segundo fabricante de billeteras en dos días cuyas notificaciones de aplicación se utilizaron para robar frases de recuperación.

La repetición de tácticas similares desplaza parte de la atención desde el dispositivo físico hacia los canales que las empresas usan para comunicarse con sus clientes. Una aplicación legítima puede convertirse en una vía para distribuir mensajes fraudulentos si el servicio que los entrega queda comprometido, aunque eso no significa que los dispositivos o sistemas de todos los usuarios hayan sido vulnerados.

En julio, una vulnerabilidad de firmware que afectaba a dispositivos Coldcard debilitó la aleatoriedad utilizada para generar frases de recuperación, según la información citada por CryptoSlate. TRM Labs estimó que los atacantes robaron alrededor de USD $116 millones en BTC en relación con ese problema, un caso distinto que expuso riesgos ligados al funcionamiento del software de las billeteras.

Más recientemente, Ledger informó que delincuentes modificaron billeteras de hardware distribuidas a través de revendedores e instalaron componentes ocultos que podían capturar frases de recuperación. Los investigadores vincularon esa operación con robos sospechosos de criptomonedas por más de USD $90 millones, lo que llevó a nuevas preguntas sobre la seguridad de la cadena de distribución, además de la protección del dispositivo en sí.

El rastreo no garantiza la recuperación de los activos

El hecho de que Bitquery haya seguido una parte de los fondos hasta cuentas identificables permite observar el movimiento de los tokens, pero no demuestra que las víctimas vayan a recuperarlos. La información disponible tampoco confirma que se hayan congelado activos, que los titulares de las cuentas hayan sido identificados o que se haya iniciado un procedimiento para devolver las criptomonedas.

El valor registrado de XMR1 ya había bajado de los USD $2,16 millones usados para comprarlo a unos USD $2,12 millones en la última revisión mencionada. Esa diferencia describe una variación del valor del conjunto de tokens entre ambos registros, y no una cifra confirmada de fondos recuperados o perdidos adicionalmente.

Para los usuarios, el episodio subraya la importancia de tratar con cautela los avisos que solicitan frases de recuperación, incluso cuando parecen proceder de una aplicación vinculada a su billetera. NGRAVE atribuyó el incidente a un servicio externo, pero la información publicada no detalla qué medidas específicas aplicó para corregir el acceso comprometido ni cómo cambiarán sus procesos de notificación.

La secuencia de incidentes mencionados, desde la infraestructura de alertas hasta el firmware y la distribución de dispositivos, apunta a riesgos distintos que requieren respuestas diferentes. En el caso de NGRAVE, el vector descrito fue el engaño a los usuarios mediante notificaciones; el rastreo de fondos, por su parte, aporta información sobre su recorrido, pero no resuelve por sí mismo la posibilidad de recuperar los activos robados.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados