Envenenamiento de direcciones: por qué copiar la dirección equivocada de tu propio historial puede costarte todo

Imagina esto: ya le enviaste USDT antes a un amigo o a una plataforma de confianza, y ahora, para ahorrar tiempo en un nuevo pago, copias la dirección directamente de tu historial de transacciones. Parece un atajo inofensivo, y es justo en eso en lo que confían los estafadores en el envenenamiento de direcciones en cripto. La idea es simple e inquietante: el atacante planta una dirección falsa dentro de tu propio historial, para que seas tú mismo quien termine copiándola.

En este artículo explicamos paso a paso cómo funciona el "envenenamiento del historial de transacciones", por qué nunca basta con revisar solo los primeros y últimos caracteres, y cómo distinguirlo de otro ataque con el que suele confundirse: el secuestro del portapapeles.

¿Qué es el envenenamiento de direcciones?

El envenenamiento de direcciones (Address Poisoning) es una técnica de engaño que aprovecha un hábito muy común: reutilizar direcciones copiándolas del historial, en lugar de escribirlas o verificarlas cada vez.

Las direcciones de billetera en redes como TRC20 y BEP20 son largas y complejas, así que nadie las memoriza. Por eso la gente suele fijarse solo en los primeros 4 o 5 caracteres y en los últimos 4 o 5, asumiendo que la dirección es correcta si ambos extremos coinciden. El estafador conoce muy bien este hábito, y construye todo su ataque alrededor de él.

¿Cómo funciona el ataque de envenenamiento del historial de transacciones?

Este tipo de ataque no necesita hackear tu dispositivo ni instalar ningún malware. Todo lo que hace el atacante ocurre en la propia blockchain, a la vista de todos:

1. Vigilancia: el estafador monitorea billeteras activas e identifica direcciones con las que interactúan con frecuencia (como una dirección a la que depositas de forma habitual).
2. Generar una dirección parecida: usando herramientas de "dirección personalizada" (Vanity Address), el atacante genera una dirección cuyo inicio y final coinciden con una dirección de tu confianza, mientras que la parte del medio es totalmente distinta.
3. Inyectar una transacción falsa: desde esa dirección parecida, envía una transacción de valor cero, o una cantidad diminuta llamada "dust" (polvo), hacia tu billetera.
4. El envenenamiento: esa transacción ya aparece en tu historial, haciendo que la dirección falsa parezca una con la que realmente has interactuado antes.
5. La trampa: la próxima vez, por costumbre, copias la dirección desde tu historial, y envías tus fondos directamente al estafador en lugar del destino real.

La diferencia con el secuestro del portapapeles (Clipboard Hijacking)

Muchas personas confunden el envenenamiento de direcciones con el malware de secuestro del portapapeles, pero son dos ataques completamente distintos, tanto en su mecánica como en dónde reside el peligro. (El secuestro del portapapeles tiene su propio artículo dedicado.)

En resumen: en el envenenamiento, la red está "limpia" y tu dispositivo está sano; tu hábito es la vulnerabilidad. En el secuestro del portapapeles, es tu propio dispositivo el que está infectado.

La regla de oro: verifica la dirección completa

El error más peligroso que puedes cometer es conformarte con que coincidan solo los primeros y últimos caracteres. El atacante diseñó su dirección precisamente para coincidir en esos dos extremos.

• Compara la dirección completa, no solo el inicio y el final. La diferencia siempre está en el medio.
• Revisa también tramos del centro, por ejemplo, los caracteres del 10 al 20.
• Cuanto mayor sea el monto, mayor debe ser tu cuidado: vuelve a verificar antes de confirmar.

Cómo protegerte en la práctica

1. Nunca copies direcciones desde el historial de transacciones. Esa es exactamente la puerta por la que entra el ataque.
2. Usa una libreta de direcciones de confianza para cada contacto con el que trates con frecuencia, y ponle etiquetas claras.
3. Envía primero una transacción de prueba pequeña cuando trates con una dirección por primera vez o después de mucho tiempo sin usarla, y confirma que llegó antes de enviar el monto completo.
4. Presta atención a transacciones de "dust" extrañas, con valor cero o casi cero, desde direcciones que no reconoces; ignóralas y no interactúes con ellas.
5. Confirma que estás en la red correcta (TRC20 o BEP20) además de la dirección misma: una dirección correcta en la red equivocada también puede significar perder los fondos.
6. Usa el lector de código QR oficial de la app o de la plataforma de confianza en lugar de copiar manualmente, siempre que esté disponible.

Conclusión

El envenenamiento de direcciones es un ataque inteligente porque no ataca la tecnología, sino tu confianza en tu propio historial y tu costumbre de copiar rápido. Sin malware, sin hackeo; solo una dirección parecida plantada en tu historial, esperando el momento en que actúes con prisa.

Tu mejor defensa es simple: deja de copiar desde el historial, apóyate en una libreta de direcciones de confianza y verifica la dirección completa cada vez. En el mundo cripto, un momento de precaución siempre sale mucho más barato que un arrepentimiento permanente.