Envenenamiento de direcciones: qué es y cómo evitarlo

El envenenamiento de direcciones (address poisoning) es una estafa cripto en la que un atacante coloca una dirección de wallet parecida en su historial de transacciones, con la esperanza de que usted la copie y le envíe fondos por error. La dirección falsa comparte los primeros y los últimos caracteres con una que usted usa de verdad, y suele llegar como una transferencia de valor cero o diminuta minutos después de una transacción auténtica. No hay ningún hackeo de su wallet: es usted quien firma la transacción con la que pierde el dinero.

Parece burdo, pero funciona a gran escala. Un estudio revisado por pares contabilizó unos 270 millones de intentos de envenenamiento en dos blockchains en dos años, y algunas víctimas han perdido por sí solas 50 millones de dólares o más. Esta guía explica cómo funciona el ataque, sus principales variantes, los mayores casos conocidos y los hábitos que lo frenan.

Cómo funciona un ataque de envenenamiento de direcciones

El ataque explota un atajo humano: la gente comprueba el principio y el final de una dirección y se salta el medio. Las direcciones cripto son largas. Una dirección de Ethereum tiene 40 caracteres hexadecimales después del 0x, y una dirección de Sui es un identificador de 32 bytes escrito como 64 caracteres hexadecimales. Como dijo uno de los investigadores de CMU que firmaron el mayor estudio, las direcciones de wallet «son largas cadenas hexadecimales imposibles de recordar» (CMU CyLab, enero de 2026).

Un ataque típico se desarrolla así:

1. El atacante vigila la cadena. Unos bots monitorizan las transferencias, a menudo de stablecoins, entre una víctima y una contraparte habitual, como una dirección de depósito de un exchange.
2. Genera una dirección parecida. Un software calcula por fuerza bruta una nueva dirección cuyos caracteres iniciales y finales coinciden con los de la contraparte. El estudio de USENIX observó que un grupo sofisticado parecía usar GPU para ello, mientras que otros recurrían a CPU.
3. La coloca en su historial. El atacante envía una transacción que vincula su dirección con la dirección parecida, normalmente en cuestión de minutos. Los investigadores comprobaron que las transferencias de envenenamiento llegan «en su mayoría en los 20 minutos» siguientes a la transferencia original.
4. Usted copia la dirección equivocada. La próxima vez que paga a esa contraparte, abre su wallet o un explorador de bloques, ve lo que parece la dirección conocida en la parte superior de su historial, la copia y envía.

Como la transferencia es válida y está on-chain, no se puede revertir. Ese es todo el modelo de negocio.

Las tres variantes principales

El artículo «Blockchain Address Poisoning» de USENIX Security 2025, de Taro Tsuchiya y Nicolas Christin, y las recomendaciones de Etherscan describen tres formas habituales.

Transferencias de valor cero

El atacante registra una transferencia de cero tokens desde su dirección hacia la dirección parecida. En muchas implementaciones populares de ERC-20, la función pública transferFrom permite a cualquiera indicar un remitente arbitrario cuando el importe es cero, explica el artículo. El resultado es una entrada en el historial que da la impresión de que usted ya envió dinero al atacante. El artículo considera esta variante potencialmente más peligrosa que las demás, porque la dirección parecida aparece como un destinatario anterior elegido por usted.

Transferencias diminutas («dust»)

La dirección parecida le envía una cantidad muy pequeña de un token que usted usa, de modo que aparece en su historial de entradas. Etherscan considera dust las transferencias inferiores a 0,01 $ en USDT, USDC o DAI, o inferiores a 0,00001 ETH, aunque señala que algunas transferencias de dust son legítimas.

Transferencias de tokens falsificados

El atacante despliega un token falso y lo mueve entre su dirección y la dirección parecida, a menudo replicando el importe exacto que usted acaba de enviar. Como los tokens ERC-20 no tienen restricciones de nombre ni de símbolo, el falso puede parecerse mucho al real, señala el artículo.

¿Qué dimensión tiene el problema?

El estudio de USENIX, que abarca Ethereum y BNB Smart Chain del 1 de julio de 2022 al 30 de junio de 2024, encontró unos 270 millones de intentos de envenenamiento dirigidos a aproximadamente 17 millones de víctimas. Confirmó 6.633 incidentes con éxito y pérdidas de al menos 83,8 millones de dólares, y su recuento de ataques es 13 veces superior a estimaciones anteriores (CMU CyLab).

El éxito es poco frecuente, alrededor del 0,01 % de los intentos en Ethereum según la medición del artículo, pero automatizar los ataques es barato. «Es un juego de números», dijo el coautor Nicolas Christin, y CMU indica que algunos grupos organizados ganan entre 10 y 20 veces lo que gastan en comisiones e infraestructura.

Los investigadores afirman que las pérdidas reales probablemente son mayores, ya que muchas víctimas nunca denuncian. El total de 83,8 millones de dólares tampoco incluye los dos mayores casos individuales que se describen a continuación: el artículo observó la transferencia de WBTC pero no la contó como pérdida confirmada, y el caso de USDT se produjo después.

Pérdidas destacadas por envenenamiento de direcciones

1.155 WBTC, mayo de 2024 (unos 68 millones de dólares)

A principios de mayo de 2024, una víctima envió 1.155 wrapped bitcoin, que entonces valían unos 68 millones de dólares, a una dirección parecida envenenada. Tras negociaciones on-chain, en las que la víctima ofreció al atacante quedarse con el 10 %, este empezó a devolver los fondos el 10 de mayo de 2024 y reenvió unos 22.960 ETH por valor de 65,7 millones de dólares, más del 96 % del valor original en dólares, informó Cointelegraph. Una devolución así es la excepción. Para saber más sobre el token implicado, consulte qué es el wrapped bitcoin (WBTC).

49.999.950 USDT, diciembre de 2025 (unos 50 millones de dólares)

En diciembre de 2025, una víctima envió 49.999.950 USDT tras copiar una dirección maliciosa de su historial de transacciones, informó Cointelegraph el 20 de diciembre de 2025. La víctima había enviado primero una pequeña transacción de prueba a la dirección correcta. El atacante envenenó entonces el historial, y el importe completo fue a parar a la dirección parecida minutos después. Los USDT robados se cambiaron por ether, se repartieron entre varias wallets y en parte se movieron a Tornado Cash.

Por qué una transacción de prueba no le protege

El caso de diciembre de 2025 muestra un malentendido habitual. Una transacción de prueba demuestra que la dirección utilizada para la prueba funciona. No dice nada de la dirección que pegue a continuación.

La prueba puede incluso empeorar las cosas. Genera justo el evento on-chain al que reaccionan los bots de envenenamiento, y coloca una entrada nueva en la parte superior de su historial justo antes de que vuelva a copiar la dirección para la transferencia principal. Si hace una prueba, pegue la segunda dirección desde la misma fuente de confianza que la primera vez, nunca desde su historial, y vuelva a comprobar cada carácter.

Cómo protegerse del envenenamiento de direcciones

• Nunca copie direcciones de su historial de transacciones. Las recomendaciones de MetaMask dicen lo mismo. Copie desde la fuente original, como la página de depósito del exchange.
• Use la libreta de direcciones de su wallet. Guarde las direcciones que haya verificado una vez y envíe solo a contactos guardados.
• Compruebe la dirección completa, sobre todo la parte central. Los atacantes imitan los extremos, así que la diferencia aparece en los caracteres del medio. Compare por bloques.
• Confirme en la pantalla de una hardware wallet. Una hardware wallet normalmente le obliga a confirmar el destino en el propio dispositivo, lo que le da una segunda revisión independiente antes de firmar. Consulte hot wallet frente a cold wallet.
• Haga caso a las advertencias de la wallet. MetaMask afirma que ahora detecta cuándo un destino se parece mucho a una dirección que usted ya ha usado, por ejemplo si coinciden los cuatro primeros y los cuatro últimos caracteres, y muestra una advertencia bloqueante. También avisa cuando envía a una dirección por primera vez.
• Ignore las transferencias inesperadas de valor cero o diminutas. No interactúe con ellas ni con tokens desconocidos. Etherscan oculta por defecto las transferencias de valor cero y muestra un aviso emergente cuando copia una dirección vinculada a actividad sospechosa.
• Use nombres cuando sea posible. Los nombres legibles, como ENS en Ethereum o SuiNS en Sui, reducen los errores al copiar y pegar, aunque conviene comprobar igualmente que el nombre apunta a la dirección correcta.

Nada de esto es exclusivo de una blockchain. Las direcciones de MultiversX, por ejemplo, son claves públicas codificadas en bech32 que empiezan por erd1, y se aplica la misma comprobación de la dirección completa. Tanto si mueve EGLD para hacer staking y obtener JWLEGLD como SUI para hacer staking y obtener JWLSUI, verifique el destino antes de firmar.

Qué hacer si ha enviado fondos a una dirección envenenada

Actúe rápido, pero asuma que los fondos se han perdido salvo que ocurra algo excepcional.

1. Registre todo. Guarde el hash de la transacción, la dirección del atacante y la hora.
2. Contacte con el emisor del token y con cualquier exchange implicado. Algunos emisores de stablecoins pueden congelar los tokens de una dirección concreta, así que la rapidez importa.
3. Denúncielo a la policía y al servicio nacional de denuncia de fraudes. Las denuncias ayudan a los investigadores a vincular wallets.
4. Desconfíe de las ofertas de recuperación. Las víctimas de grandes pérdidas públicas son objetivo de falsos servicios de «recuperación de fondos». Lea nuestra guía sobre estafas de recuperación de criptomonedas antes de pagar a nadie.

El envenenamiento no compromete su wallet en sí, por lo que no necesita una nueva seed phrase. Si firmó una aprobación de token o se conectó a un sitio desconocido, se trata de otro ataque: consulte wallet drainers y phishing de aprobaciones.

Preguntas frecuentes

¿Qué es un ataque de envenenamiento de direcciones?

Es una estafa en la que un atacante envía una transferencia de valor cero, diminuta o de un token falso para que aparezca una dirección parecida en su historial de transacciones. Si después copia esa dirección en lugar de la real, sus fondos van al atacante.

¿Puede el envenenamiento de direcciones robar fondos sin mi firma?

No. La transferencia de envenenamiento no puede mover sus tokens. Las pérdidas solo se producen cuando usted mismo firma una transferencia a la dirección parecida, por eso comprobar la dirección completa evita el ataque.

¿Por qué he recibido una transferencia de valor cero desde mi propia dirección?

Algunos tokens ERC-20 permiten a cualquiera registrar una transferencia de importe cero con un remitente arbitrario. Los atacantes lo aprovechan para que parezca que usted envió fondos a su dirección parecida. Ignórela y nunca copie direcciones de ella.

¿Basta una transacción de prueba para evitar el envenenamiento de direcciones?

No. Una prueba solo demuestra la dirección que usó para la prueba. En un caso de diciembre de 2025, una víctima envió una prueba, después copió una dirección envenenada de su historial y perdió casi 50 millones de dólares en USDT.

¿Cuánto se ha perdido por el envenenamiento de direcciones?

Un estudio de USENIX Security 2025 confirmó pérdidas de al menos 83,8 millones de dólares en Ethereum y BNB Smart Chain entre julio de 2022 y junio de 2024. Entre los casos individuales figuran una pérdida de 68 millones de dólares en WBTC en 2024, devuelta en su mayor parte, y una pérdida de 50 millones de dólares en USDT en 2025.

¿Puedo recuperar mis criptomonedas tras un envenenamiento de direcciones?

Normalmente no, porque las transferencias en blockchain son definitivas. Contacte rápidamente con el emisor del token y con cualquier exchange implicado y denúncielo a la policía, pero desconfíe de quien ofrezca servicios de recuperación de pago.

Siga leyendo

• Wallet drainers y phishing de aprobaciones
• Estafas con wallets falsas en 2026
• Estafas cripto en 2026
• ¿Qué es una seed phrase?
• Auditorías de smart contracts explicadas

Este artículo es educativo y no constituye asesoramiento financiero ni jurídico. Las cifras y los detalles de los casos corresponden al 17 de octubre de 2026 y proceden de las investigaciones y noticias enlazadas; las funciones de las wallets cambian con el tiempo.