Puntos clave
El envenenamiento de direcciones es una estafa de billeteras cripto en la que los atacantes envían pequeñas transacciones desde direcciones falsas que se parecen a las que usas con regularidad, esperando que copies la dirección equivocada la próxima vez.
Los estafadores usan herramientas automatizadas para generar direcciones de billetera que coinciden con los primeros y últimos caracteres de tus direcciones legítimas, aprovechando cómo las billeteras muestran las direcciones abreviadas.
Debido a que las transacciones en blockchain son irreversibles, enviar fondos a una dirección envenenada significa que no se pueden recuperar.
La protección implica verificar las direcciones completas antes de enviarlas, usar listas de permitidos de libreta de direcciones y hacer transferencias de prueba pequeñas antes de las grandes.
Las mejoras del software de billeteras y sistemas de direcciones legibles para humanos, como el Ethereum Name Service (ENS), pueden reducir el riesgo de estos ataques con el tiempo.
Introducción
El envenenamiento de direcciones es una de las estafas más sutiles en cripto. El atacante no piratea tu billetera ni roba tu clave privada. En su lugar, espera a que cometas un error al copiar una dirección. Este artículo explica cómo funciona el envenenamiento de direcciones, cómo han sido los ataques en el mundo real y qué puedes hacer para protegerte.
El ataque se basa en un dato simple: la mayoría de las personas no verifican cada carácter de una dirección larga. Las direcciones son cadenas de 40 a 42 caracteres de letras y números, y las billeteras a menudo solo muestran los primeros y los últimos caracteres. Los estafadores aprovechan esto generando direcciones que coinciden con esos caracteres visibles, haciendo que una dirección falsa parezca legítima a simple vista.
¿Qué son los ataques de envenenamiento de direcciones en cripto?
El envenenamiento de direcciones ocurre cuando un estafador crea una dirección de billetera que se parece mucho a una que usas con regularidad. Luego envía una transacción pequeña desde esa dirección falsa a tu billetera, para que aparezca en tu historial de transacciones. El objetivo es lograr que copies accidentalmente la dirección falsa la próxima vez que envíes fondos.
Las direcciones de billetera son largas y difíciles de memorizar. Muchos usuarios dependen de copiar direcciones del historial reciente de transacciones en lugar de escribirlas. Este hábito crea una oportunidad para que el atacante inserte una dirección similar que podría pasar desapercibida.
¿Cómo generan direcciones similares los atacantes?
Los estafadores usan programas que generan miles de direcciones de billetera por segundo hasta encontrar una donde los primeros caracteres y los últimos caracteres coinciden con una dirección objetivo. Como las billeteras normalmente muestran solo 4 a 6 caracteres en cada extremo de una dirección, una coincidencia en ambos extremos es suficiente para engañar una verificación rápida.
Este proceso, a veces llamado generación de direcciones vanity, es computacionalmente barato y puede realizarse a gran escala. Una sola campaña puede apuntar simultáneamente a miles de billeteras.
Pasos de un ataque típico de envenenamiento de direcciones
El atacante identifica una billetera objetivo con historial de transacciones regulares.
Generan una dirección similar que coincide con el inicio y el final de los caracteres de una dirección a la que el objetivo envía con frecuencia.
Envían una transacción diminuta (a menudo de valor cero o una cantidad de “polvo”) desde la dirección falsa a la billetera objetivo, agregándola al historial de transacciones.
Cuando el objetivo necesite enviar fondos a continuación, revisa las transacciones recientes y copia la que parece ser la dirección correcta. Si elige la envenenada, los fondos van al atacante.
Ejemplos del mundo real
En mayo de 2024, un operador de cripto envió accidentalmente aproximadamente 68 millones de dólares en bitcoin envuelto (WBTC) a la dirección de Ethereum de un estafador. El atacante había generado una dirección que coincidía con los primeros seis caracteres de la dirección del destinatario previsto. Los fondos finalmente se devolvieron después de negociaciones, y según se informó el estafador conservó alrededor de 3 millones de dólares por la apreciación del precio.
Las campañas de envenenamiento de direcciones han continuado a gran escala durante los últimos años. Los investigadores de seguridad han documentado campañas en curso dirigidas a billeteras con saldos altos, usando decenas de miles de direcciones falsas. Los ataques tienden a centrarse en billeteras activas cuyos patrones de transacciones son visibles públicamente en exploradores de blockchain.
¿Quiénes son las víctimas?
Los usuarios activos de cripto con saldos más altos son los objetivos más comunes, ya que los atacantes priorizan billeteras donde un robo exitoso produciría un retorno significativo. Sin embargo, cualquiera que envíe cripto con regularidad podría estar en riesgo. Puedes leer sobre estafas comunes de criptomonedas para comprender mejor el panorama de amenazas.
La mayoría de los intentos de envenenamiento fallan. Los usuarios ya sea verifican las direcciones con cuidado, no usan el historial reciente de transacciones al copiar direcciones o solo envían a contactos guardados. Pero la escala de estas campañas significa que incluso una tasa de éxito baja puede provocar pérdidas sustanciales en muchos objetivos.
Cómo prevenir los ataques de envenenamiento de direcciones
Verifica la dirección completa antes de enviarla
Nunca confíes solo en los primeros y últimos caracteres. Antes de confirmar cualquier transacción, revisa toda la dirección y compárala carácter por carácter con el destinatario previsto. Esto es especialmente importante para transferencias grandes.
Copia las direcciones directamente de fuentes oficiales, no de tu historial de transacciones. Si envías a un contacto habitual, pídeles que reenvíen su dirección por un canal seguro en lugar de tomarla de una transacción antigua.
Usa una libreta de direcciones o una lista de permitidos
La mayoría de las billeteras te permiten guardar direcciones de confianza con etiquetas. Usar una entrada de libreta de direcciones con nombre elimina la necesidad de copiar direcciones del historial de transacciones. Para pagos recurrentes, guardar la dirección una vez y reutilizar la entrada guardada reduce significativamente el riesgo de envenenamiento.
Haz primero transferencias de prueba
Para transferencias grandes, envía primero una cantidad pequeña y confirma que llega correctamente antes de enviar el monto completo. Este paso añade fricción, pero puede evitar pérdidas importantes si una dirección ha sido envenenada.
Usa sistemas de direcciones legibles para humanos
Servicios como el Ethereum Name Service (ENS) te permiten enviar criptomonedas a un nombre legible para humanos, como "yourname.eth", en lugar de una larga cadena hexadecimal. Esto elimina el riesgo de copiar la dirección equivocada, siempre que el nombre se verifique correctamente.
Mejoras de billeteras y protocolos
Algunas billeteras ahora marcan u ocultan transacciones con valor cero y “polvo” que comúnmente se usan en ataques de envenenamiento. Las billeteras que muestran más caracteres de una dirección, o te alertan cuando una dirección se parece a otra de tu historial, también pueden reducir el riesgo. Los protocolos que aumentan el costo de generar grandes cantidades de direcciones de billetera pueden limitar la escala de campañas futuras.
Monitoreo en tiempo real
Para billeteras de alto valor, las herramientas de monitoreo de blockchain en tiempo real pueden alertarte sobre transacciones de “polvo” entrantes que podrían indicar un intento de envenenamiento. Las billeteras multisig añaden otra capa de protección al requerir múltiples aprobaciones antes de confirmar cualquier transacción saliente, reduciendo el impacto de un solo error.
Preguntas frecuentes
¿Qué es el envenenamiento de direcciones en cripto?
El envenenamiento de direcciones es una estafa en la que un atacante envía una transacción pequeña a tu billetera desde una dirección falsa que se ve similar a una que usas con frecuencia. El objetivo es que copies la dirección falsa desde tu historial de transacciones y envíes accidentalmente fondos al atacante.
¿Puedo recuperar fondos enviados a una dirección envenenada?
En la mayoría de los casos, no. Las transacciones en blockchain son irreversibles. Una vez que los fondos se envían a la dirección equivocada, no se pueden recuperar a menos que el destinatario los devuelva voluntariamente. Por eso es tan importante verificar la dirección completa antes de cada transacción.
¿Cómo sé si mi billetera ha sido objetivo?
Puedes revisar el historial de transacciones de tu billetera para ver pequeñas transacciones entrantes desde direcciones que se parecen mucho a las que has enviado antes. Un intento de phishing a menudo precede o acompaña estas transacciones. Si detectas una transacción sospechosa con “polvo”, evita copiar cualquier dirección asociada con ella.
¿El envenenamiento de direcciones solo afecta a billeteras de Ethereum?
Los ataques de envenenamiento de direcciones se han documentado en múltiples blockchains, incluyendo Ethereum, BNB Smart Chain y otras que usan direcciones hexadecimales largas. Cualquier blockchain donde las direcciones de las billeteras sean largas y a menudo se muestren en forma abreviada es potencialmente vulnerable.
Reflexiones finales
El envenenamiento de direcciones es una estafa de baja sofisticación pero efectiva, que explota los hábitos del usuario en lugar de vulnerabilidades técnicas. Como las transacciones de cripto no se pueden revertir, un solo error puede llevar a una pérdida permanente. La mejor defensa es verificar cuidadosamente las direcciones completas, usar libretas de direcciones guardadas y hacer transferencias de prueba antes de las grandes.
Lecturas adicionales
¿Qué son las estafas con multisig y cómo evitarlas?
5 consejos para asegurar tus tenencias de criptomonedas
¿Qué es Bitcoin envuelto (WBTC)?
5 estafas comunes de criptomonedas y cómo evitarlas
Tipos de billeteras cripto explicados
Aviso legal: Este contenido se te presenta “tal cual” para información general y/o fines educativos únicamente, sin ninguna representación o garantía de ningún tipo. No debe interpretarse como asesoramiento financiero, legal u otro asesoramiento profesional, ni pretende recomendar la compra de ningún producto o servicio específico. Debes buscar tu propio asesoramiento de asesores profesionales adecuados. Cuando el contenido sea aportado por un tercero, ten en cuenta que las opiniones expresadas pertenecen al colaborador tercero y no necesariamente reflejan las de Binance Academy. Los precios de los activos digitales pueden ser volátiles. El valor de tu inversión puede subir o bajar y es posible que no recuperes la cantidad invertida. Tú eres el único responsable de tus decisiones de inversión y Binance Academy no se hace responsable de ninguna pérdida en la que puedas incurrir. Para más información, consulta nuestros Términos de uso, Aviso de riesgo y Términos de Binance Academy.