Riesgos de las direcciones vanity y direcciones similares

Las direcciones vanity, direcciones de billetera con un patrón elegido como un nombre o caracteres repetidos, conllevan dos riesgos principales: si la clave privada la generó una herramienta débil o poco fiable, otra persona podría recrearla y robar los fondos, y los estafadores usan las mismas técnicas para crear direcciones similares que te engañan para que les envíes cripto. Ambos riesgos dependen de cómo se generan las direcciones y de cómo las compruebas.

La mayoría de las personas solo echa un vistazo a los primeros y últimos caracteres de una dirección. Los atacantes lo saben y construyen sus estafas en torno a ello. Entender la mecánica te ayuda a evitar ambos tipos de pérdidas.

Cómo se crean las direcciones vanity

Una dirección cripto se deriva de una clave pública, que a su vez proviene de una clave privada. No puedes elegir una dirección directamente; solo puedes generar claves al azar y comprobar si la dirección resultante coincide con tu patrón.

1. 1Generar una clave privada aleatoria.
2. 2Derivar la clave pública y la dirección.
3. 3Comprobar si la dirección empieza o termina con los caracteres elegidos.
4. 4Si no, repetir, a menudo miles de millones de veces.

Cada carácter adicional que quieras hacer coincidir multiplica el trabajo, por eso los patrones cortos se encuentran rápido y los largos requieren una enorme potencia de cálculo. La seguridad de la dirección final depende por completo del paso 1: la clave privada debe provenir de una aleatoriedad fuerte. Lo tratamos con más detalle en Cómo detectar una app cripto falsa en la tienda de aplicaciones.

Riesgo 1: generadores vanity débiles

Si un generador toma atajos con la aleatoriedad para funcionar más rápido, las claves «aleatorias» pueden provenir de un conjunto de posibilidades mucho más pequeño. Un atacante que entienda el atajo puede recorrer ese conjunto más pequeño y recuperar claves privadas.

Esto no es teórico. En 2022 se reveló públicamente una vulnerabilidad en Profanity, una popular herramienta de direcciones vanity de Ethereum, que demostraba que sus claves podían obtenerse por fuerza bruta. Más tarde se vaciaron fondos de direcciones creadas con ella, incluido un robo muy difundido a la empresa de trading Wintermute que se vinculó a una dirección vanity. La lección: una dirección vanity es tan segura como el código que la generó.

Otros riesgos de los generadores:

• Generadores en línea que crean la clave en un servidor, donde el operador podría guardar una copia.
• Servicios de «clave dividida» mal implementados, en los que el proveedor puede reconstruir tu clave.
• Herramientas sin mantenimiento con errores conocidos que nadie ha corregido.

Riesgo 2: direcciones similares y address poisoning

Los estafadores usan la generación de tipo vanity con otro fin: copiar las partes visibles de tus direcciones.

Así funciona un ataque de address poisoning:

1. 1El atacante vigila la blockchain en busca de billeteras activas y de las direcciones a las que envían con frecuencia.
2. 2Genera una dirección similar que coincide con los primeros y los últimos caracteres de una de esas direcciones.
3. 3Te envía desde la dirección similar una transacción sin valor, una diminuta o una transferencia de token falsa, para que aparezca en tu historial de transacciones.
4. 4Más tarde, copias una dirección de tu historial para hacer un pago y eliges la similar por error.
5. 5Tus fondos van al atacante, y las transferencias en blockchain no se pueden revertir.

Nuestra guía detallada sobre ataques de address poisoning cubre las variantes de esta estafa.

Un ejemplo compuesto (hipotético)

Este es un ejemplo inventado. Imagina que «Leo» envía regularmente stablecoins a su dirección de depósito en un exchange, que empieza por «0x7a3f» y termina en «c91e». Un día aparece en el historial de su billetera una transferencia de cero tokens desde una dirección que también empieza por «0x7a3f» y termina en «c91e», pero con caracteres distintos en el medio. Una semana después, Leo abre su historial, copia la dirección más reciente que parece coincidir, comprueba los cuatro primeros y los cuatro últimos caracteres y envía una cantidad grande. Va a parar al estafador.

Lista de señales de alerta

• Transferencias sin valor o de polvo (dust) desde direcciones desconocidas en tu historial.
• Tokens desconocidos «enviados» desde una dirección que se parece a una que usas.
• Una dirección que coincide en los extremos pero difiere en el medio.
• Un sitio web o una persona que se ofrece a generar una dirección personalizada «por ti».
• Una herramienta vanity de código cerrado, sin mantenimiento o anunciada de forma agresiva.
• Presión para enviar rápido, sin tiempo para una transacción de prueba.

Cómo protegerte

Nuestra guía sobre cómo verificar una dirección de billetera antes de enviar ofrece una rutina paso a paso. Algunas billeteras también ocultan o marcan las transferencias sin valor; activa esos filtros si están disponibles.

Qué hacer si ya ha ocurrido

• Si enviaste fondos a una dirección similar: por lo general no puedes revertirlo. Anota el hash de la transacción, denuncia la dirección a tu proveedor de billetera y al exchange implicado, y repórtala a través de nuestra página para denunciar estafas. Si los fondos llegan a un exchange, este podría actuar.
• Si tu dirección vanity se creó con una herramienta débil: mueve los fondos de inmediato a una billetera nueva creada con software estándar y bien revisado, y luego revoca las aprobaciones de tokens de la dirección antigua.
• Si sospechas que tus claves quedaron expuestas: sigue qué hacer de inmediato si tu billetera está comprometida.

Desconfía de cualquiera que te contacte prometiendo recuperar tus fondos a cambio de una comisión; es una estafa de seguimiento habitual.

Conclusión

Una dirección vanity es algo estético, pero los riesgos que hay detrás son reales: los generadores débiles pueden exponer tu clave privada, y los mismos trucos de coincidencia de patrones permiten a los estafadores crear direcciones que se parecen a las tuyas. Genera claves solo con software de confianza, copia las direcciones de fuentes verificadas, comprueba la cadena completa y usa transacciones de prueba para cantidades grandes.