Cambio de dirección de billetera cripto: la estafa sin reversión

En el cambio de dirección de billetera, quien paga cree que está enviando cripto al comercio, pero la dirección que copia, pega o escanea ya fue sustituida por la de un delincuente. Como las transacciones en blockchain no tienen reversión, el dinero enviado a la dirección equivocada casi siempre se pierde. Por eso, la única protección que funciona de verdad es impedir el cambio antes del envío.

Dónde ocurre el cambio

La estafa se apoya en un hecho simple: nadie revisa, carácter por carácter, una dirección de más de 40 letras y números. Puede ejecutarse en tres puntos distintos entre el cobro y el pago.

En el dispositivo de quien paga. Los programas maliciosos llamados clippers vigilan el portapapeles y, cuando detectan una dirección de billetera copiada, pegan otra en su lugar. En febrero de 2019, ESET encontró en Google Play una aplicación de este tipo que se hacía pasar por MetaMask y apuntaba a Bitcoin y Ethereum. En marzo de 2025, CyberArk describió la campaña MassJacker, que usaba una lista de al menos 778.531 direcciones para hacer los cambios.

En la propia página de pago. Aquí el problema deja de ser del cliente y pasa a ser del comercio. El 8 de septiembre de 2025, Aikido Security detectó código malicioso en 18 bibliotecas de programación muy utilizadas, que juntas superaban los 2.000 millones de descargas semanales. Cuando ese código llegaba a un sitio, se ejecutaba en el navegador del visitante, buscaba direcciones de billetera y las reemplazaba por otras elegidas para parecerse a las originales, en redes como Ethereum, Bitcoin, Solana y Tron. En diciembre de 2023, Ledger informó un caso similar: una versión alterada de su biblioteca de conexión con billeteras estuvo en línea unas cinco horas y desvió fondos de usuarios hacia una billetera del atacante.

En el código QR que se muestra en pantalla. El QR es solo otra forma de entregar la misma dirección. Si el script que arma la página está comprometido, la imagen puede cambiarse sin que nada luzca distinto para quien la escanea.

Por qué no existe contracargo

Con tarjeta, el banco emisor puede disputar una compra. En cripto no hay un intermediario con ese poder: una vez que la red confirma la transacción, no se deshace. La FTC, la autoridad de protección al consumidor de Estados Unidos, lo resume así: en general, solo se recupera el dinero si quien lo recibió decide devolverlo.

Para quien vende, esto genera un doble problema. El cliente pagó el monto correcto, vio la transacción confirmada y espera su producto. El comercio no recibió nada. La conversación que sigue es desgastante para ambas partes, y el cliente suele concluir que la culpa es del comercio: al fin y al cabo, la dirección estaba en su página.

Lista de control para quien acepta cripto en el checkout

1. Genere una dirección por cobro, desde su servidor o su proveedor de pagos, en lugar de dejar una dirección fija pegada en la página. Así la conciliación es más simple y es más fácil detectar pagos que no llegan.
2. Muestre la red y el monto de forma explícita. Un mismo token puede existir en redes distintas, y un envío por la red equivocada también puede ser irrecuperable.
3. Reduzca los scripts de terceros en el checkout y fije las versiones de las bibliotecas que carga la página. El caso de septiembre de 2025 mostró que una sola actualización automática alcanza para llevar código malicioso a su sitio.
4. Monitoree la página de pago en producción. Lo que importa es la dirección que el cliente ve y copia, no solo lo que está en su repositorio.
5. Verifique, en el navegador del cliente, que la dirección mostrada, la copiada y la del QR sean las que usted emitió, y bloquee cualquier diferencia antes del envío.
6. Tenga un canal claro para “pagué y no llegó”. Es la primera señal de que algo está cambiando direcciones en el camino.

Qué puede revisar quien paga

También conviene orientar a los clientes, por ejemplo con una nota breve junto a la dirección:

• Comparar la dirección completa, incluido el medio, y no solo el inicio y el final: los ataques recientes generan direcciones parecidas justamente para burlar esa revisión rápida.
• Después de pegar, volver a comparar con el origen; en billeteras de hardware, confirmar la dirección en la pantalla del propio dispositivo.
• Desconfiar si la red o el monto en la billetera no coinciden con lo que mostró el comercio.
• En montos altos, confirmar la dirección con el comercio por otro canal antes de enviar.

Estas medidas reducen el riesgo en el dispositivo del cliente. Pero frente a un script alterado en la página, el cliente no tiene forma de saber que la dirección cambió: el contenido equivocado viene del propio comercio.

Cómo protege Proteside este momento

Proteside funciona en su página de pago y verifica, en el navegador del comprador, que la dirección, la red y el monto mostrados o copiados sean exactamente los que usted emitió, y bloquea cualquier cambio antes del envío: en cripto, el único momento en que todavía se puede evitar la pérdida. Conozca la protección para pagos con cripto y pruébela gratis durante 14 días.