Las direcciones de las carteras de criptomonedas están siendo regularmente envenenadas. Este hombre perdió casi 400 mil zlotys

Uno de los criptomonedas ha perdido casi cuatrocientos mil zlotys debido a un ataque de "address poisoning" o "envenenamiento de dirección". En resumen: envió sus ahorros a la dirección de la cartera de un estafador pensando que era la suya. Los expertos en ciberseguridad advierten que este tipo de procedimientos son cada vez más comunes, y los delincuentes se apoyan en la automatización, esperando que, gracias a la ley de grandes números, logren "atrapar" un número suficiente de víctimas. Como muestran las estadísticas, lo logran con sorprendente frecuencia. En este artículo describiremos exactamente en qué consiste el procedimiento de envenenamiento de dirección y cómo protegerse de él.

Hechos más importantes

• La víctima perdió más de 100 mil USDT al copiar la dirección de su historial de transacciones de su propia cartera.
• El ataque se llama envenenamiento de dirección (address poisoning).
• Los stablecoins robados fueron cambiados por 52,8 ETH en menos de un minuto y medio, lo que impidió que Tether, el emisor del stablecoin USDT, congelara los fondos.
• Entre 2022 y 2024, los investigadores contabilizaron 270 millones de intentos de este tipo de ataque en Ethereum y la red BNB, 17 millones de direcciones atacadas y se contabilizaron 83,8 millones de USD en pérdidas.
• A finales de julio de 2026, los delincuentes dieron un paso más y reemplazaron el script publicitario de la empresa Adform, que reemplazaba las direcciones de las carteras directamente en el portapapeles del usuario.

El envenenamiento de dirección, es decir, envías criptomonedas a una dirección ajena.

El mecanismo del clásico envenenamiento de dirección es bastante primitivo pero sigue siendo increíblemente efectivo. Consiste en que el atacante, utilizando software automatizado, crea una gran cantidad de direcciones en la blockchain que imitan carteras existentes de los usuarios. Principalmente intenta replicar los primeros y últimos 4-6 dígitos, ya que estos elementos son los que más a menudo verifican los remitentes antes de hacer clic en el botón "Enviar".

El siguiente paso es "animar" a la víctima a "utilizar" la dirección falsa. Esto se hace a través de lo que se llama dusting, es decir, enviando a la dirección de la víctima (también es un proceso completamente automatizado) pequeñas partículas de tokens o NFT sin valor, que aparecen en el historial de transacciones del atacado.

El destino de la víctima depende luego de ella misma. El cibercriminal cuenta con que, al enviar por enésima vez fondos desde una de sus carteras a otra, utilizará (por pereza) la dirección que aparece en su historial de transacciones y la copiará con el simple método de copiar y pegar en el campo "Destinatario", EVENTUALMENTE verificando previamente los primeros y/o últimos 4-6 dígitos.

Si todo va bien, el dinero va directamente a la cuenta del "envenenador". Según datos de Blockaid, uno de cada 200 "intentos" termina con éxito. ¿Mucho? ¿Poco? Si consideramos la escala (17 millones de atacados según datos de 2025), el número anterior se traduce en pérdidas que alcanzan casi 90 millones de USD (o alrededor de 350-400 millones de zlotys polacos) en el período de 2022-2024.

Un nuevo vector de ataque es aún más peligroso.

El envenenamiento del historial de transacciones requiere que la propia víctima elija la dirección suplantada de su propia voluntad. Sin embargo, ha surgido un nuevo vector de ataque que ni siquiera requiere lo anterior.

El 27 de julio, en los servidores de Adform, una de las mayores plataformas publicitarias de Europa, apareció una versión modificada del script trackpoint-async.js. La empresa detectó irregularidades al día siguiente, pero el código malicioso estuvo disponible en la red durante al menos una semana más.

El mecanismo era excepcionalmente peligroso. El script revisaba cada pocos segundos el contenido del portapapeles, donde copiamos contenidos presionando, por ejemplo, la combinación de teclas CTRL+C. Cuando detectaba una dirección de Bitcoin, Ethereum o Tron que parecía correcta, la reemplazaba inmediatamente por una dirección perteneciente a un estafador.

Y eso no es todo. El código también podía:

• reemplazar direcciones recién pegadas en los campos de formularios,
• interceptar operaciones de copiar, cortar y pegar,
• volver a cambiar la dirección después de copiar nuevamente la versión correcta,
• enviar al servidor información sobre la página visitada.

En la práctica, volver a copiar la dirección correcta no resolvía el problema. Si el script malicioso seguía funcionando en la página, podía realizar otro reemplazo.

El ataque no requería que la víctima instalara un programa, descargara un archivo o ejecutara conscientemente un archivo adjunto sospechoso. Solo era necesario visitar un sitio web que utilizara la infraestructura publicitaria de Adform y cargara el script infectado.

La escala de la posible exposición era enorme. Adform es utilizado por miles de empresas, y la plataforma se jacta de 1,5 mil millones de impresiones publicitarias diarias para clientes de más de 180 países.

¿Cómo protegerse?

¿Cómo no convertirse en víctima del envenenamiento de dirección? Para transferencias grandes, debes verificar toda la dirección, y no solo los primeros y/o últimos dígitos, preferiblemente utilizando una fuente independiente de donde se copió.

También vale la pena seguir algunas reglas:

• No copiar direcciones directamente del historial de transacciones.
• Utilizar libros de direcciones y listas blancas.
• Para cantidades mayores, realizar primero una transferencia de prueba.
• Con una cartera de hardware, siempre comparar la dirección con la que se muestra en la pantalla del dispositivo.
• Limitar la ejecución de scripts innecesarios de terceros en el navegador.

En el caso de las criptomonedas, una letra o número cambiado generalmente significa una transacción irreversible. Por lo tanto, para cantidades mayores, la dirección del destinatario debe ser tratada de manera similar a un número de cuenta en una transferencia bancaria, con la diferencia de que en la blockchain generalmente no existe un banco que pueda detener una operación enviada incorrectamente.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.