El envenenamiento de direcciones, conocido en inglés como address poisoning, es una estafa que no necesita engañarte con palabras: aprovecha un hábito. Los estafadores colocan en el historial de tu wallet una dirección que se parece mucho a otra que usas con frecuencia, esperando que la próxima vez la copies desde ahí por error. Esta guía explica el mecanismo, por qué funciona y cómo protegerte.
Cómo funciona
- Observación: los atacantes vigilan la cadena de bloques, que es pública, y detectan direcciones que hacen transferencias habituales, por ejemplo de stablecoins.
- Generación de una dirección parecida: crean una dirección cuyo inicio y final coinciden con los de la dirección con la que sueles operar. Las wallets suelen mostrar solo esos caracteres.
- Envenenamiento: envían a tu wallet una transacción de importe ínfimo, de valor cero o con un token falso, desde esa dirección parecida. Así aparece en tu historial.
- Espera: cuando vuelvas a enviar fondos, quizá copies la dirección del historial reciente sin comprobarla entera.
- Pérdida: la transferencia llega a la dirección del atacante y no se puede revertir.
Por qué es tan eficaz
Las direcciones son cadenas largas de letras y números imposibles de memorizar. La mayoría de las personas comprueban solo los primeros y últimos caracteres, que es justo lo que el atacante imita. Además, la transacción falsa aparece mezclada con tus movimientos reales y con una fecha reciente, lo que la hace parecer legítima. Es una técnica especialmente asociada a transferencias de stablecoins, que tratamos también en la guía sobre estafas con USDT en TRON.
Variantes que conviene conocer
- Transferencias de valor cero: en algunas redes es posible generar movimientos de tokens por importe nulo que aparecen en tu historial como si los hubieras hecho tú.
- Tokens falsos con el mismo nombre: el atacante envía un token que se llama igual que una stablecoin conocida, para que el movimiento parezca normal.
- Pequeñas cantidades reales («polvo»): envíos de importe mínimo que obligan a la víctima a fijarse en la dirección emisora.
- Envenenamiento de contactos frecuentes: el atacante imita no tu propia dirección de depósito, sino la de un proveedor o cliente con el que sueles operar.
Todas comparten el mismo objetivo: que, en el momento de enviar dinero, la dirección falsa esté a mano y parezca familiar.
Una situación típica
Una autónoma cobra parte de sus servicios en USDT y cada mes transfiere una cantidad a la misma dirección de depósito de su cuenta en un exchange. Un día ve en su historial una transferencia de importe cero que no reconoce, pero no le da importancia. Semanas después, con prisa, abre el historial, copia la dirección «de siempre» del movimiento más reciente y envía el dinero. El exchange nunca recibe el ingreso. Al comparar carácter por carácter, descubre que la dirección copiada solo coincidía en el principio y el final.
Cómo protegerte
| Hábito | Por qué ayuda |
|---|---|
| Guardar las direcciones de confianza en la libreta de direcciones de la wallet | Evita copiar del historial |
| Obtener la dirección de depósito siempre desde la fuente (el propio exchange o el destinatario) | Garantiza que es la correcta en ese momento |
| Comprobar la dirección completa, también los caracteres del medio | Es donde las direcciones falsas difieren |
| Hacer una transferencia de prueba pequeña antes de un envío importante | Confirma la recepción antes de arriesgar el total |
| Ocultar o ignorar transacciones de valor cero y tokens desconocidos | Reduce la contaminación del historial |
Cuidado con el portapapeles: existe malware que sustituye automáticamente una dirección copiada por la del atacante. Si la dirección pegada no coincide con la que copiaste, detente y analiza tu dispositivo.
Qué hacer si has enviado fondos a una dirección envenenada
- Confirma en el explorador de bloques la dirección real de destino y guarda el hash de la transacción.
- Haz capturas de tu historial, donde se vea la transacción de envenenamiento previa.
- Si la cripto salió de un exchange, contacta con su soporte oficial (desde la app o la web, no desde redes) e infórmales.
- Si se trata de una stablecoin, ten en cuenta que algunos emisores tienen capacidad técnica para congelar direcciones, normalmente a petición de las autoridades. La denuncia es el cauce para que eso pueda solicitarse.
- Denuncia ante la Policía Nacional o la Guardia Civil con toda la documentación.
No respondas a mensajes que prometan recuperar el envío a cambio de un pago. Para ordenar la documentación o entender el recorrido de los fondos, puedes solicitar un análisis de operaciones o una consulta.
