Address poisoning: la trampa de copiar y pegar que vacía billeteras

El address poisoning (envenenamiento de direcciones) es una estafa en la que un atacante coloca una dirección de billetera casi idéntica en tu historial de transacciones, normalmente enviándote una transferencia diminuta o falsa, con la esperanza de que más adelante copies esa dirección en lugar de la verdadera y le envíes fondos. No hackea tu billetera; aprovecha la costumbre de copiar direcciones de la actividad reciente y comprobar solo los primeros y últimos caracteres.

El ataque se ha vuelto habitual en redes donde las stablecoins como USDT y USDC se mueven con frecuencia, porque las transferencias grandes y repetidas entre las mismas direcciones son fáciles de detectar en una blockchain pública. Las pérdidas pueden ser elevadas, ya que las víctimas suelen mover sumas importantes a direcciones en las que confían. La buena noticia es que unos pocos hábitos sencillos lo detienen casi por completo.

Cómo funciona un ataque de address poisoning

El ataque suele seguir el mismo patrón:

1. 1Vigilancia. El atacante monitoriza la blockchain en busca de billeteras que envían fondos con regularidad, por ejemplo desde una billetera personal a una dirección de depósito de un exchange.
2. 2Creación de una dirección parecida. Con software para generar direcciones, el atacante crea una cuyos primeros y últimos caracteres coinciden con el destino que usas. Las direcciones de billetera son largas y muchas billeteras las acortan a algo como 0x1a2b...9f8e, así que para el truco solo importan esos caracteres visibles.
3. 3Envenenamiento de tu historial. El atacante envía una transacción que hace aparecer la dirección parecida en tu actividad. Puede ser una transferencia de tokens sin valor, una cantidad mínima de un token real o una transferencia de un token falso que copia el nombre de una stablecoin real.
4. 4Espera. La próxima vez que envíes fondos, abres tu historial, ves lo que parece tu dirección habitual, la copias y envías. El dinero va al atacante.

Como la entrada falsa aparece en tu propio historial, a menudo justo al lado de tus transferencias auténticas, parece de fiar. Para profundizar, consulta Estafas pig butchering.

Por qué el truco funciona tan bien

Varios hábitos cotidianos hacen vulnerables a las personas:

• Direcciones abreviadas. Las billeteras y los exploradores suelen mostrar solo el principio y el final de una dirección.
• Copiar del historial. Es cómodo copiar «la dirección que usé la última vez» en lugar de buscarla en la fuente original.
• Tokens falsos con nombres reales. Una transferencia que muestra un token llamado «USDT» parece normal, aunque el contrato sea falso.
• Rutina. Quien repite la misma transferencia cada semana tiende a dejar de comprobar con cuidado.

Abreviadas, las dos son idénticas. Solo la comparación completa revela la diferencia. Nuestro artículo Malware del portapapeles amplía este punto.

Cómo protegerte

Estos hábitos neutralizan el address poisoning casi por completo:

1. 1Nunca copies direcciones del historial de transacciones. Trata tu historial como un registro, no como una libreta de direcciones.
2. 2Usa una libreta de direcciones guardada o una lista blanca. Guarda las direcciones verificadas una vez, etiquétalas con claridad y envía solo a entradas guardadas. Muchos exchanges también ofrecen listas blancas de direcciones de retiro.
3. 3Obtén las direcciones de la fuente. Para un depósito en un exchange, copia la dirección de nuevo desde la página de depósito cada vez y comprueba la red.
4. 4Comprueba la dirección completa. Compara algo más que los primeros y últimos caracteres, idealmente también varios fragmentos del medio.
5. 5Envía una transacción de prueba. En cualquier transferencia grande, envía primero una cantidad pequeña y confirma que llega, como se explica en nuestra guía para enviar cripto sin perderlo.
6. 6Oculta los tokens de spam. Usa la función de spam u ocultar de tu billetera para tokens desconocidos, de modo que no llenen tu vista.
7. 7Confirma en la pantalla de tu billetera de hardware. Si usas una, lee la dirección de destino en el dispositivo antes de aprobar.

Cómo reconocer un intento de envenenamiento

Busca estas señales en tu actividad:

• Transferencias entrantes sin valor o de cantidades diminutas desde direcciones que no reconoces.
• Tokens con nombres conocidos que nunca compraste, sobre todo imitaciones de stablecoins.
• Una dirección en tu historial que se parece a uno de tus contactos habituales pero aparece poco después de que hicieras una transacción con él.

En un explorador de bloques, los tokens falsos suelen enlazar a contratos no oficiales. Puedes comprobar si un token es el auténtico comparando su contrato con la dirección oficial, como se explica en nuestra guía para verificar la dirección del contrato de un token.

Qué hacer si enviaste fondos a una dirección envenenada

Las transferencias en blockchain no se pueden revertir, pero aun así vale la pena dar algunos pasos:

• Anota el hash de la transacción, las direcciones y la hora.
• Si los fondos pasaron por un exchange o un emisor de stablecoins, contáctalos de inmediato; algunos emisores pueden congelar tokens en ciertos casos.
• Denuncia el incidente ante la policía local y el servicio de denuncia de fraudes de tu país, y repórtanos la dirección del estafador para que podamos advertir a otros.
• Ignora a quien te contacte ofreciendo una recuperación garantizada a cambio de una comisión. Esos «servicios de recuperación» suelen ser una segunda estafa.

Para profundizar, consulta Estafas de copy trading.

Lo tratamos con más detalle en Malware en pruebas de programación falsas para empleos cripto.

Lectura relacionada: Phishing con WalletConnect falso y ventanas emergentes de billetera.

Conclusión

El address poisoning no rompe la seguridad de tu billetera; convierte un hábito cómodo en tu contra. Deja de copiar direcciones del historial, usa una libreta de direcciones etiquetada o una lista blanca, compara la dirección completa y envía una transacción de prueba antes de las transferencias grandes. Esos pocos segundos de comprobación marcan la diferencia entre un pago rutinario y una pérdida irreversible. Para más defensas, explora nuestras guías de seguridad.