Copias una dirección del historial de tu wallet. Los primeros caracteres están bien, los últimos también. Envías el dinero. Se va… a otra persona. No es un error. No es un hackeo de la red. Es una trampa llamada envenenamiento de direcciones.
Lo que nadie te dice con suficiente claridad: tu historial de transacciones también es un terreno de caza. Los estafadores lo saben. Y se aprovechan de ello.
El mecanismo, sin tecnicismos innecesarios
Un atacante mira las direcciones con las que sueles intercambiar dinero: un amigo, un exchange, un contrato. Luego genera (con una herramienta, a veces comprada en la dark web) una dirección parecida: mismos primeros caracteres, mismos últimos, distinto centro. Después te envía una cantidad minúscula, dust, desde esa dirección falsa. O una transacción de valor cero. Tu wallet guarda el contacto. La próxima vez que buscas «la dirección de ayer», muchas veces esa es la primera que aparece.
Pegas. Envías. Los fondos desaparecen. En $ETH, $USDT y la mayoría de las cadenas EVM, una transferencia confirmada no se puede recuperar.
Esto no es ciencia ficción. Un estudio de Carnegie Mellon / CyLab (USENIX Security), sobre Ethereum y BNB Chain entre julio de 2022 y junio de 2024, contabilizó alrededor de 270 millones de intentos dirigidos a 17 millones de víctimas, con al menos 83,8 millones de dólares en pérdidas confirmadas. Chainalysis documentó en 2024 una campaña en la que una ballena estuvo a punto de perder 68 millones de dólares en WBTC al copiar una dirección que solo se diferenciaba en un carácter visible al principio: los fondos fueron devueltos, pero la misma red ya había sustraído millones en otros casos. Más recientemente, Scam Sniffer informó de dos víctimas que perdieron más de 62 millones de dólares en total (unos 50 M$ en diciembre y 12,2 M$ en enero).
Por qué funciona tan bien
Porque las direcciones cripto son cadenas hexadecimales ilegibles. Nadie se las aprende de memoria. Miramos el principio, el final y confiamos en el historial. Exactamente como cuando escribimos «reciente» en Mobile Money sin volver a leer el número. El hábito es humano. La trampa, en cambio, es industrial: kits listos para usar, direcciones generadas en serie y dust prácticamente gratis.
El problema no es copiar. El problema es de dónde copias.
Lo que de verdad cambia tu forma de actuar
Guarda los destinatarios de confianza en una libreta de direcciones que hayas rellenado tú mismo, no en la que te sugiere la wallet después de recibir dust. Cuando pegues una dirección, comprueba los 6 primeros Y los 6 últimos caracteres, no solo el principio. Si de pronto aparece una dirección que ha recibido 0,0001 «de ti mismo» o de un desconocido con un nombre parecido, es una señal de alarma, no un contacto útil. Si usas una hardware wallet, lee la dirección completa en la pantalla del dispositivo antes de firmar: la pantalla del ordenador puede mentir; la del dispositivo, mucho menos. Y antes de hacer una transferencia grande, una pequeña transferencia de prueba sigue siendo el filtro más sencillo: si llega al destinatario equivocado, pierdes poco.
La ironía es que las víctimas de estas campañas no son necesariamente principiantes. Chainalysis señala que las wallets afectadas suelen tener un historial largo y saldos elevados. Cuanto más valor mueves, más interesante eres para que te «envenenen» la dirección.
La blockchain no corrige una dirección pegada demasiado rápido. La ejecuta.
Antes de tu próximo envío, ¿de dónde vas a copiar exactamente la dirección: de una libreta que rellenaste a mano o de la línea de «recientes» que la wallet te muestra automáticamente?
Contenido educativo, no es asesoramiento financiero.