Advertencia de Seguridad Falsa en Billeteras de Criptomonedas
Una falsa advertencia de seguridad apareció en las billeteras de criptomonedas, haciendo que los usuarios se apresuraran a proteger sus fondos. Sin embargo, la alerta los llevó directamente a los ladrones, quienes drenaron aproximadamente $2.56 millones, explotando un sistema de notificación confiable sin haber comprometido el hardware en sí.
Detalles del Ataque
El fabricante belga de billeteras de hardware Ngrave, comúnmente conocido como NGRAVE, reveló el 19 de octubre que atacantes habían secuestrado un proveedor de notificaciones de terceros que servía a su aplicación compañera LIQUID. La violación permitió a los criminales enviar advertencias de seguridad que parecían auténticas directamente a los clientes el 17 de octubre.
El mensaje afirmaba que el portafolio de un usuario había sido sincronizado con un dispositivo Pixel 9 en Moscú.
Al hacer clic en la alerta, se abría un sitio web falso de Ngrave con un temporizador de cuenta regresiva y una ominosa opción para aprobar o denegar la actividad sospechosa. Ambos caminos conducían a la misma trampa. Se solicitó a los usuarios que ingresaran su frase de recuperación de 24 palabras o Perfect Key, entregando a los atacantes todo lo necesario para recrear sus billeteras.
Impacto Financiero
Scripts automatizados vaciaron las cuentas comprometidas en minutos. La investigación de Ngrave rastreó aproximadamente $2.56 millones robados de 70 direcciones de billetera en cuatro redes. Bitcoin representó $1.77 millones, seguido de $454,000 en XRP, $316,000 en activos basados en Ethereum y $18,000 en Stellar.
El informe de incidentes de la compañía revela que el acceso no autorizado potencialmente comenzó el 11 de octubre, seis días antes de que aparecieran las notificaciones fraudulentas. Los atacantes obtuvieron una clave de acceso y la aprovecharon para adquirir otra con permisos más amplios, incluyendo acceso a cierta información analítica.
Respuesta de Ngrave
Ngrave detectó las alertas maliciosas dentro de un minuto de su aparición a las 9:30 p.m. UTC del 17 de octubre. Sin embargo, la primera billetera fue drenada seis minutos después. La compañía desactivó su sistema de notificaciones a las 10:45 p.m., pero los robos continuaron desde billeteras previamente comprometidas hasta las 3:51 a.m. de la mañana siguiente.
Crucialmente, Ngrave sostiene que sus billeteras de hardware ZERO y claves privadas permanecieron intactas. Los criminales, en cambio, manipularon a los clientes para que entregaran sus propias credenciales. Los fondos robados viajaron a través de intercambios, puentes de blockchain y nuevas direcciones.
Preocupaciones Futuras
Ngrave rastreó bitcoin en 12 direcciones, mientras que XRP se movió a través de 54 transferencias. La compañía también reconoció la posible exposición de información del dispositivo, actividad de billetera, direcciones IP y ubicaciones aproximadas, lo que genera preocupaciones sobre estafas dirigidas posteriores.
La firma de análisis Bitquery también publicó un informe sobre el asunto, señalando que, en términos de los fondos robados, «la mayor parte ahora se encuentra en Hyperliquid como un token de Monero.»
El informe de Bitquery estima que alrededor del 81% llegó al popular intercambio DEX de los perpetradores. En el informe de incidentes, un alto ejecutivo de Ngrave habló sobre el asunto. Su CEO ofreció una evaluación inusualmente sincera, afirmando:
«En mi humilde opinión, el primer deber de una empresa de seguridad en criptomonedas es proporcionar exactamente eso: seguridad. En esto, hemos fallado absolutamente y de manera total.»
Reconoció que la postura de seguridad de la compañía era inadecuada cuando asumió el liderazgo meses antes. Desde entonces, Ngrave ha reemplazado las claves comprometidas y ha delineado controles de notificación más estrictos, incluyendo aprobaciones de dos personas, dominios restringidos y capacidades de apagado de emergencia.
Conclusión
Se insta a los clientes afectados a establecer nuevas billeteras y contactar al soporte. La investigación continúa, dejando intacta una preocupante distinción: el hardware se mantuvo firme, pero los mensajes confiables que lo rodeaban se convirtieron en el arma.
Ha sido un año difícil para los fabricantes de billeteras de hardware, ya que 2023 ha estado plagado de problemas de seguridad. Casi una docena de incidentes documentados de seguridad de billeteras de hardware han involucrado a Ledger, Trezor, Tangem, Safepal, Bitbox02 y Coldcard. Las pérdidas reportadas superaron los $180 millones en dos incidentes, exponiendo vulnerabilidades en el firmware, proveedores de terceros, seguridad física y phishing, en lugar de ataques remotos directos a las frases de recuperación.
