Address poisoning: direcciones parecidas que engañan a expertos

El address poisoning, o envenenamiento de direcciones, es una estafa en la que el delincuente crea una dirección de billetera cuyo inicio y final coinciden con los de una dirección que la víctima usa, envía una transacción de valor ínfimo para “sembrarla” en su historial y espera que la víctima la copie de ahí en su próxima transferencia. No hay intrusión ni contraseña robada: la estafa aprovecha la prisa y la costumbre de revisar solo los extremos de la dirección. Y, como en todo pago en blockchain, el error no tiene vuelta atrás.

Cómo funciona la estafa

La secuencia es casi siempre la misma, y la propia MetaMask la describe en su centro de ayuda:

1. El delincuente monitorea la blockchain en busca de transferencias, por lo general de stablecoins, desde y hacia direcciones de interés.
2. Genera una dirección “de vanidad” cuyos primeros y últimos caracteres coinciden con los de la dirección legítima que la víctima suele usar.
3. Desde esa dirección falsa, envía una transacción de valor cero o insignificante a la billetera de la víctima. Listo: la dirección parecida ya aparece en el historial.
4. La próxima vez que la víctima transfiere, copia la dirección del historial y elige la equivocada.

Las propias interfaces favorecen el paso 4. Billeteras y exploradores de blockchain suelen abreviar las direcciones con puntos suspensivos y muestran solo el inicio y el final. Es justo la parte que el delincuente falsificó.

El tamaño del problema

El estudio más completo publicado hasta ahora es de investigadores de la Carnegie Mellon University y se presentó en el USENIX Security Symposium de 2025. Con dos años de datos de Ethereum y BNB Smart Chain, los autores contaron 270 millones de intentos de envenenamiento dirigidos a 17 millones de víctimas, trece veces más de lo reportado antes. De esos intentos, 6.633 terminaron en pérdidas que sumaron al menos US$ 83,8 millones.

El trabajo también indica que se trata de una actividad organizada: los investigadores identificaron unos pocos grupos grandes que compiten entre sí, y al menos uno parece usar tarjetas gráficas (GPU) para generar direcciones parecidas a gran escala. En otras palabras, fabricar una dirección falsa convincente se volvió barato.

Casos documentados

Las cifras se vuelven concretas en dos casos muy difundidos.

Mayo de 2024. Una víctima envió 1.155 WBTC, unos US$ 68 millones en ese momento, a una dirección envenenada. El caso tuvo un final poco común: tras una negociación, el atacante devolvió cerca de 22.960 ETH, aproximadamente US$ 65,7 millones, según Cointelegraph. Fue decisión del propio estafador, no algo que la red o alguna institución pudiera imponer.

Diciembre de 2025. Según The Block, un inversionista hizo lo que suele recomendarse: primero envió una transacción de prueba de 50 USDT a la dirección correcta. Unos 26 minutos después transfirió 49.999.950 USDT, pero a una dirección falsa que compartía los cinco primeros y los cuatro últimos caracteres de la verdadera y que había sido sembrada en su historial mediante pequeñas transacciones. En menos de 30 minutos, el estafador ya había convertido los fondos, que luego terminaron en un servicio de mezcla de criptomonedas.

Por qué caen hasta usuarios con experiencia

El segundo caso muestra el punto central. La transacción de prueba confirma que la dirección de ese momento es correcta, pero no protege la siguiente copia. Si la dirección de la transferencia principal se vuelve a copiar del historial, la prueba se convierte en una falsa garantía. Se suman tres factores: interfaces que ocultan el medio de la dirección, la costumbre de usar el historial como agenda de contactos y la velocidad de los bots, que reaccionan a una transferencia en minutos.

Las direcciones parecidas también aparecen fuera del historial. En el ataque a bibliotecas de programación de septiembre de 2025, descrito por Aikido Security, el código malicioso reemplazaba las direcciones mostradas en sitios web por otras elegidas para parecerse a las originales. La técnica es la misma; solo cambia dónde se inserta la dirección falsa.

Cómo protegerse

Para quien envía cripto, y para empresas que hacen pagos, reembolsos o retiros:

• Nunca copie direcciones del historial de transacciones. Use una agenda de direcciones verificadas o una lista de destinos aprobados.
• Compare la dirección completa, con atención al medio, no solo el inicio y el final.
• Vuelva a verificar en la transferencia principal, no solo en la prueba.
• En billeteras de hardware, confirme la dirección en la pantalla del dispositivo antes de firmar.
• Tome en serio las alertas de la billetera sobre direcciones parecidas a otras ya usadas o que nunca usó antes.

Para quien recibe pagos en cripto:

• Entregue siempre la dirección de cobro en la página de pago, generada para ese cobro, y nunca pida al cliente que la busque en un explorador o en su historial.
• En reembolsos, confirme la dirección de destino por un canal verificado, idealmente los datos registrados del propio cliente.
• Asegúrese de que la dirección que muestra su página sea la que usted emitió, porque las direcciones parecidas también pueden insertarse ahí.

Dónde entra Proteside

El envenenamiento ocurre en el historial de la billetera, fuera del comercio; ahí, la defensa es la costumbre de verificar. En su página de pago, en cambio, Proteside verifica en el navegador del comprador que la dirección, la red y el monto mostrados o copiados sean exactamente los emitidos, y bloquea cualquier cambio antes del envío. Conozca la protección para pagos con cripto y pruébela gratis durante 14 días.