Guía · Riesgo de direcciones · · por Stefan Tsezarov
La dirección que se parece a la tuya
Empieza como la tuya. Termina como la tuya. No es la tuya.
Eso es el envenenamiento de direcciones.
Alguien mete una dirección parecida en tu historial de transacciones y espera. Más tarde abres tu historial, ves una línea que te suena, la copias y envías fondos al sitio equivocado.
Sin hackear la wallet. Sin robar contraseñas. Sin romper la blockchain.
Solo un copiar y pegar equivocado.
Nunca copies una dirección de tu historial de transacciones.
Esta guía muestra cómo funciona el truco, por qué comprobar solo el principio y el final de una dirección es justo lo que quiere el estafador y cómo vencerlo.
01La trampa está en tu historial
La mayoría de la gente envía dinero una y otra vez a los mismos pocos sitios.
Un exchange. Un amigo. Su propia segunda wallet. Un negocio que usa a menudo.
Las direcciones de blockchain son públicas, así que los atacantes pueden observar esos patrones.
Luego crean una dirección nueva diseñada para parecerse a una que ya usas.
El principio coincide.
El final coincide.
El medio es distinto.
Ahora el atacante necesita poner esa dirección en algún sitio donde la veas más tarde.
Tu historial de transacciones es perfecto.
Puede enviarte un pago diminuto, crear una transferencia de tokens de valor cero o enviarte un token sin valor con un nombre conocido como «USDT».
No has pedido nada de eso.
De eso se trata.
El atacante no intenta robarte ahora mismo.
Está plantando una dirección falsa para más tarde.
02Por qué comprobar los extremos no funciona
Las wallets y los exploradores de bloques acortan las direcciones largas, porque nadie quiere mirar una cadena de 42 caracteres en el móvil.
Así que puede que veas 0x7a3F…9E2c en lugar de la dirección completa.
Y es natural comprobar lo que ves.
«Sí. Empieza por 7a3F.»
«Sí. Termina en 9E2c.»
«Será la misma dirección.»
Esa es exactamente la trampa.
El atacante solo tiene que hacer coincidir la parte visible.
Generar direcciones es barato y automático. Un programa puede crear enormes cantidades de candidatas hasta dar con una que tenga el principio y el final deseados.
La diferencia real está en el medio.
Y el medio es la parte que nadie comprueba.
03Tres formas en que aparece la falsa
El truco no necesita tu aprobación ni tu firma.
Un pago diminuto
El atacante te envía una cantidad diminuta.
Aparece en tu actividad reciente, justo donde más tarde podrías buscar una dirección conocida.
Una transferencia de valor cero
Algunos contratos de tokens permiten registrar en la cadena transferencias de cero tokens.
Eso puede hacer que tu historial parezca contener una transferencia con la dirección parecida del atacante aunque tú nunca la iniciaste.
Un token falso
El atacante envía un token sin valor con un nombre o símbolo conocido.
Tu wallet puede mostrar algo que parece un activo normal.
Es un cebo.
Estas transacciones no dan al atacante el control de tu wallet por arte de magia.
Están ahí para que la dirección equivocada te resulte familiar.
04Un error de 68 millones de dólares
No es solo un truco teórico.
El 3 de mayo de 2024, alguien envió 1.155 wrapped bitcoin, unos 68 millones de dólares de entonces, a una dirección parecida.
La dirección se había creado para parecerse a la correcta y se había plantado en el historial de transacciones de la víctima.
Una semana después, tras ofrecer la víctima públicamente al atacante un 10 % por devolver los fondos, el atacante devolvió el valor en ETH.
Una recuperación extraordinaria.
Pero no bases tu seguridad en tener suerte.
Chainalysis rastreó después la campaña más amplia y encontró más de 80.000 direcciones parecidas sembradas en historiales de transacciones.
Solo una pequeñísima parte llegó a captar un pago real.
Y eso es lo que hace funcionar la estafa.
El atacante puede plantar miles de trampas por muy poco dinero.
Solo necesita que una persona copie una vez la dirección equivocada.
05Cinco hábitos que lo vencen
1. Copia desde la fuente original.
Usa la página de depósito del exchange, la factura, el destinatario u otra fuente de confianza. No tu historial de transacciones.
2. Guarda las direcciones frecuentes.
La libreta de direcciones de tu wallet es más segura que rebuscar en transacciones antiguas.
3. Compara la dirección entera.
No solo los cuatro primeros caracteres. No solo los cuatro últimos. Compárala entera.
4. En transferencias grandes, prueba primero.
Envía una cantidad pequeña y pide al destinatario que confirme por otro canal que le ha llegado. Una prueba solo sirve si alguien la confirma de verdad.
5. Trata las transferencias inesperadas como ruido.
Los pagos diminutos, las transferencias de valor cero y los tokens raros pueden ser cebos. No interactúes con ellos solo porque hayan aparecido en tu wallet.
06Pruébalo tú
Aquí tienes dos direcciones inventadas.
Ejemplo inventado · la dirección que querías
Ejemplo inventado · la parecida
Ahora acórtalas como suele hacer una wallet: 0x7a3F…9E2c
Parecen idénticas.
No lo son.
Abre Comparar dos direcciones en el escáner y pega una dirección en cada casilla.
Verás que son distintas, aunque coincidan el principio y el final.
Eso es el envenenamiento de direcciones en una sola pantalla.
Y cada carácter distinto queda a la vista.
07Qué puede y qué no puede decirte la herramienta de comparación
La herramienta de comparación responde a una pregunta:
¿Son de verdad iguales estas dos direcciones?
Nada más.
No puede decirte cuál es la dirección correcta.
Eso es importante.
Si las dos direcciones vienen de tu historial de transacciones, las dos podrían ser erróneas.
La fuente original de confianza es la que te dice qué dirección debes usar.
La herramienta tampoco te dice de quién es una dirección ni si se ha marcado como arriesgada. Esa es otra comprobación.
Un detalle técnico: en las direcciones de tipo Ethereum, las mayúsculas forman parte de la suma de control, así que la herramienta ignora ahí las mayúsculas y minúsculas. En las cadenas donde importan, compara los caracteres exactamente.
La comparación se hace en tu navegador.
Nada de lo que pegas en ella se envía a ninguna parte.
La regla
Copia de la fuente, no de tu historial. Compara la dirección entera, no los extremos.
Nada más.
Una dirección que te resulta familiar puede ser completamente distinta.
Antes de enviar, asegúrate de que la dirección que has copiado es la que de verdad querías usar.
Las dos direcciones de ejemplo de esta guía son inventadas. No envíes fondos a ninguna. Esta guía es información general, no asesoramiento financiero.