Relatório NGRAVE: alertas falsos no app LIQUID roubaram US$ 2,56 milhões

O que aconteceu

Atacantes tiveram acesso a um provedor terceirizado que envia notificações do app LIQUID, da NGRAVE, e enviaram alertas falsos na noite de 17 de outubro. As mensagens levavam a um site falso que pedia a frase de recuperação de 24 palavras; quem digitou teve as carteiras esvaziadas em minutos. A NGRAVE estima US$ 2,56 milhões roubados em cerca de 70 endereços.

Por que importa

O golpe atingiu usuários da carteira de hardware ZERO pelo app oficial, explorando a confiança na marca. Um levantamento on-chain da Bitquery contabiliza US$ 2,65 milhões em 84 carteiras de seis redes, com US$ 2,16 milhões já em um token de Monero na Hyperliquid. Segundo a NGRAVE, o hardware ZERO, as chaves privadas armazenadas e o código do app não foram violados.

O que fazer

Reforçar a clientes que a frase de recuperação nunca deve ser digitada em sites; segundo a NGRAVE, quem apenas abriu o link não perdeu fundos. A NGRAVE fechou o acesso comprometido, trocou as chaves dos sistemas ativos e pediu congelamento dos fundos a exchanges e pontes. Revisar todo provedor terceirizado que envia mensagens em nome da empresa e restringir links a domínios oficiais.

Para o time técnico

Afetados

App de carteira NGRAVE LIQUID (provedor de notificações push) · App LIQUID, companheiro da carteira de hardware ZERO, da NGRAVE. Segundo a empresa, a ZERO, as chaves privadas armazenadas e o código do LIQUID não foram violados. Vítimas: usuários que digitaram a frase de recuperação no site falso na noite de 17 de outubro de 2026.

Exploração

Exploração confirmada. Primeira carteira esvaziada às 21:36 UTC de 17 de outubro, antes do primeiro aviso público; a última, pouco antes das 04:00 UTC. A Bitquery contabiliza US$ 2,65 milhões em 84 carteiras de seis redes em cerca de seis horas; 81% viraram XMR1 na Hyperliquid. A NGRAVE estima US$ 2,56 milhões em cerca de 70 endereços, valor mínimo a preços de 17 de outubro. A Bitquery relata golpe idêntico contra usuários SecuX em 16 de outubro, um dia antes.

Correção

Sem patch. A NGRAVE tirou o LIQUID do ar na noite de 17 de outubro e o restabeleceu na noite seguinte, fechou o acesso comprometido ao provedor, trocou as chaves usadas pelos sistemas ativos, pediu a exchanges e serviços de ponte o congelamento dos fundos roubados e planeja restringir links do LIQUID a sites oficiais da empresa.

Vetor

Acesso a um provedor terceirizado de notificações push do app LIQUID. Os atacantes enviaram alertas falsos pelo próprio app (suposta sincronização da carteira em um Pixel 9 em Moscou) para um site falso com cronômetro e botão de negar, que pedia a frase de recuperação de 24 palavras (Perfect Key). Uma frase abre as carteiras de todas as redes suportadas pelo ZERO; digitar as palavras foi o que causou as perdas, segundo a NGRAVE.

Mais detalhes

A Bitquery liga os roubos a um único ladrão: 15 rajadas com esvaziamento em duas ou mais redes dentro de dois minutos, a última às 03:12 UTC (XRP, Ethereum, Solana e Stellar em 90 segundos). As coletoras de XRP e Ethereum foram financiadas em 8 de outubro, a três minutos de intervalo. US$ 2,16 milhões em XMR1 seguiam sem movimento às 09:00 UTC de 19 de outubro. Registros on-chain não provam que todas as 84 carteiras eram de usuários NGRAVE; dois relatos de perda no X batem com 21.810 XRP e 4.000 XRP. Primeiro aviso público no X pouco após 22:00 UTC de 17 de outubro; a NGRAVE confirmou em meia hora e respondeu mais de 1.000 tíquetes de suporte.

Linha do tempo

1. 26/10/2026 13:34

   NGRAVE publica relatório sobre o alerta falso e o rastreamento dos fundos.

Fontes 3 fontes

• Incident report: the fake LIQUID security alert of 17 October NGRAVE
• NGRAVE Hack: $2.65M Stolen, $2.16M Now in a Monero Token Bitquery
• NGRAVE Traces $2.56 Million in Losses From Fake LIQUID Alerts TokenPost

Ver todas as notícias