addressmisuse

¿Te imaginás enviar criptomonedas a una dirección que existe, recibir la confirmación de la transferencia y descubrir que el dinero terminó en un lugar donde nadie podía retirarlo... hasta que apareció un delincuente?
No hablamos de una dirección falsificada ni de un virus que modifica el portapapeles...m
Es una técnica documentada en una investigación presentada en USENIX Security 2026, uno de los congresos internacionales más importantes de seguridad informática.
Se conoce como Address Misuse, o uso incorrecto de direcciones blockchain.
Y tiene una particularidad inquietante: los atacantes pueden aprovechar que una misma dirección funciona de manera completamente diferente según la red donde se utilice.
¿CÓMO FUNCIONA? VAMOS PASO A PASO.
Primero hay que entender algo fundamental.
Ethereum y BNB Smart Chain son redes independientes. Aunque pueden utilizar direcciones con el mismo formato, eso no significa que detrás de cada dirección exista el mismo servicio.
Pensalo como dos ciudades diferentes.
En ambas puede existir una calle San Martín 150.... La dirección escrita es idéntica, pero los edificios y sus propietarios pueden ser completamente distintos.
En las blockchains sucede algo parecido.
Una dirección puede contener un programa que intercambia criptomonedas en una red, mientras que esa misma dirección, en otra red, puede estar vacía.
Y ahí comienza el problema.
PRIMERO: PREPARAN UNA DIRECCIÓN QUE PARECE LEGÍTIMA.
Los investigadores identificaron casos donde atacantes utilizaban redes de prueba para desplegar contratos inteligentes que aparentaban ofrecer servicios conocidos.
Un contrato inteligente es un programa que puede intercambiar monedas, administrar fondos o ejecutar operaciones automáticamente.
Después, esas direcciones aparecían en sitios de consultas técnicas o documentación no oficial.
Los usuarios las encontraban y asumían que podían utilizarlas para operar con dinero real.
SEGUNDO: EL USUARIO UTILIZA LA DIRECCIÓN EN LA RED EQUIVOCADA.
Imaginemos que alguien encuentra la dirección de un supuesto servicio para intercambiar $ETH por otra criptomoneda.
Pero esa dirección corresponde a un contrato instalado en una red de prueba.
Sin advertirlo, configura su billetera para operar en la red principal de Ethereum y envía dinero a esa misma dirección.
Acá ocurre algo inesperado.
En esa red todavía no existe el contrato que debería realizar el intercambio.
Sin embargo, cuando una operación lleva $ETH hacia una dirección sin código, la blockchain puede aceptarla como una transferencia común.
El dinero sale de la billetera, la operación aparece confirmada, pero el intercambio nunca sucede.
Los fondos quedan depositados en una dirección que no dispone todavía del programa necesario para gestionarlos.
TERCERO: EL ATACANTE ESPERA QUE SE ACUMULE DINERO.
Los investigadores encontraron algo todavía más grave.
En determinados casos, los delincuentes podían controlar la futura creación de un contrato en esa dirección.
¿Para qué?
Porque algunas direcciones de contratos inteligentes pueden calcularse anticipadamente.
Eso significa que un atacante que controla las condiciones necesarias para crear el contrato puede saber dónde aparecerá antes de instalarlo.
Mientras los usuarios siguen cometiendo errores, las criptomonedas se acumulan.
CUARTO: INSTALAN EL CONTRATO QUE PERMITE RETIRAR LOS FONDOS.
Cuando existe suficiente dinero acumulado, el atacante despliega un contrato malicioso exactamente en aquella dirección.
Ese programa incorpora instrucciones para transferir los fondos disponibles hacia una billetera controlada por el delincuente.
Lo que anteriormente era una dirección sin contrato pasa a tener un programa capaz de mover las criptomonedas depositadas.... Y el atacante retira el dinero.
EL CASO NO ES HIPOTÉTICO.
Los investigadores documentaron una dirección utilizada en la red de prueba Sepolia que aparentaba ofrecer funciones de intercambio de Uniswap.
Usuarios que utilizaron esa misma dirección en la red principal de Ethereum terminaron enviando $ETH a un lugar donde todavía no existía el contrato esperado.
En octubre de 2024, un atacante desplegó allí un contrato malicioso y retiró 3,78 $ETH que habían quedado acumulados.
El caso fue reconstruido a partir de transacciones reales de la blockchain.
Y la investigación publicada en 2026 identificó un fenómeno mucho mayor.
469 contratos maliciosos vinculados con esta modalidad, asociados con pérdidas de aproximadamente 3.446 $ETH y 431 $BNB.
El estudio también examinó otros tipos de uso incorrecto de direcciones, con pérdidas estimadas conjuntamente en más de 574 millones de dólares. Esa cifra corresponde al conjunto de problemas investigados, no solamente a los 469 contratos maliciosos.
¿CÓMO EVITARLO?
Antes de interactuar con un contrato inteligente, verificá que su dirección corresponda exactamente a la red donde vas a operar.
Consultá la documentación oficial del proyecto y comprobá en un explorador blockchain, como Etherscan o BscScan, que el contrato realmente exista en esa red.
No utilices direcciones copiadas de tutoriales, repositorios o publicaciones sin verificar su procedencia. Mucho menos direcciones destinadas a pruebas con fondos reales.
Y recordá que una transacción confirmada solamente demuestra que la red procesó una operación. No garantiza que hayas utilizado el contrato correcto ni que hayas recibido el servicio esperado.
LO MÁS INQUIETANTE DE ADDRESS MISUSE ES LA NATURALEZA DEL ENGAÑO.
Los delincuentes no necesitan necesariamente interceptar tu transferencia.
Pueden preparar el escenario, aprovechar la confusión entre redes y esperar a que los propios usuarios depositen los fondos...
En los casos documentados, el atacante ni siquiera necesitó retirar inmediatamente el dinero. Pudo esperar hasta que las condiciones fueran favorables para ejecutar el saqueo.
🧠 LA DIRECCIÓN NO CAMBIÓ. LA TRANSFERENCIA NO FUE FALSIFICADA. LA BLOCKCHAIN NO NECESITÓ SER HACKEADA.
El problema estuvo en confiar en que una dirección representaba el mismo contrato en todas partes.
Porque en una blockchain, que el dinero haya llegado a la dirección indicada no significa que haya llegado a quien vos creías....
FUENTE
USENIX Security 2026 — Lost in Blockchain Address Misuse: Hidden Cross-Platform Risks and Their Security Impact.
Investigación de Zhenzhe Shao y colaboradores, basada en el análisis de operaciones reales de Ethereum y BNB Smart Chain.
https://www.usenix.org/conference/usenixsecurity26/presentation/shao-zhenzhe
#AddressMisuse #CryptoSecurity #Ciberseguridad #Ethereum