Un usuario de Ethereum habría perdido aproximadamente $100,000 en un ataque de envenenamiento de direcciones tras copiar una dirección de billetera de su historial de transacciones sin verificar independientemente el destino antes de transferir los fondos.

La plataforma de análisis blockchain Lookonchain señaló el incidente, atrayendo renovada atención sobre la amenaza persistente de las estafas de envenenamiento de direcciones, una categoría de fraude con criptomonedas que aprovecha la forma en que los usuarios identifican y copian direcciones de billetera. El envenenamiento de direcciones ha sido vinculado a pérdidas acumuladas sustanciales en todo el ecosistema cripto, con empresas de seguridad blockchain documentando incidentes que van desde robos individuales de cinco cifras hasta compromisos multimillonarios dirigidos a billeteras de grandes inversores. Esta clase de ataque forma parte de un panorama más amplio de explotaciones de ingeniería social que los investigadores de seguridad identifican consistentemente como uno de los vectores más comunes de robo de criptomonedas, precisamente porque evita por completo la seguridad del protocolo blockchain y se dirige al comportamiento del usuario.

Cómo opera el envenenamiento de direcciones

Los ataques de envenenamiento de direcciones se basan en el comportamiento humano más que en cualquier vulnerabilidad técnica de la red Ethereum. Los atacantes generan direcciones de billetera que se parecen mucho a aquellas con las que una víctima ha interactuado previamente, a menudo coincidiendo con los primeros o últimos caracteres. Luego envían una pequeña transacción a la billetera de la víctima, lo que hace que la dirección engañosa aparezca en el historial de transacciones de la víctima. Generar direcciones coincidentes es computacionalmente factible porque las direcciones de Ethereum incorporan un checksum pero aún se muestran en forma truncada en la mayoría de las interfaces de billetera, creando una ventana para el engaño visual.

Las direcciones de billetera son cadenas alfanuméricas largas, lo que dificulta que los usuarios distingan entre direcciones legítimas y fraudulentas cuando una interfaz de billetera muestra solo los primeros y últimos caracteres. Si un usuario posteriormente copia una dirección de ese historial sin verificar la cadena completa, los fondos pueden ser desviados al atacante.

La técnica es particularmente efectiva porque los usuarios pueden asumir que cualquier dirección que aparezca en su registro de transacciones es inherentemente confiable. Sin embargo, la presencia de una dirección en un historial de transacciones no confirma que pertenezca al destinatario previsto.

La pérdida reportada de $100,000 en Ethereum ilustra cómo una sola dirección de billetera no verificada puede provocar la pérdida permanente de activos digitales, ya que las transacciones blockchain generalmente no pueden revertirse una vez confirmadas. Esta irreversibilidad contrasta fuertemente con los sistemas financieros tradicionales, donde las transferencias erróneas a veces pueden ser rechazadas o marcadas a través de intermediarios institucionales.

La verificación sigue siendo la defensa clave

El incidente subraya la importancia de confirmar independientemente las direcciones de billetera antes de transferir Ethereum o cualquier otro activo digital. Los usuarios pueden reducir su exposición obteniendo las direcciones de los destinatarios directamente de una fuente confiable en lugar de seleccionarlas de los historiales de transacciones.

Las precauciones recomendadas adicionales incluyen:

• Comparar la dirección de billetera completa carácter por carácter antes de confirmar una transacción, particularmente para transferencias grandes.
• Enviar una pequeña cantidad de prueba antes de transferir el saldo completo.
• Usar las funciones de libreta de direcciones que ofrecen algunas billeteras y exchanges, siempre que la dirección sea verificada antes de ser guardada.

Algunos desarrolladores de billeteras han respondido a la prevalencia del envenenamiento de direcciones implementando funciones que muestran direcciones completas, advierten a los usuarios sobre direcciones similares en su historial, o integran pantallas de confirmación de billeteras de hardware que muestran el destino completo antes de firmar. Sin embargo, estas mitigaciones no están universalmente adoptadas en todo el ecosistema.

Los especialistas en seguridad recomiendan consistentemente tratar cada dirección de billetera como no confiable hasta que haya sido verificada independientemente, especialmente cuando una transacción involucra una cantidad sustancial de criptomonedas.

Lookonchain emitió una alerta pública en X:

Address poisoning is everywhere. Always double-check the wallet address before sending funds, and never copy an address from your transaction history. Another victim copied a wallet address from the transaction history and sent funds without double-checking, losing $100K!… pic.twitter.com/L2H8K3IpVk

— Lookonchain (@lookonchain) August 13, 2026

https://x.com/lookonchain/status/2087749414995759528

Un riesgo creciente en todas las redes blockchain

El envenenamiento de direcciones se ha convertido en una preocupación recurrente a medida que la adopción de criptomonedas se expande y las transacciones blockchain siguen siendo en gran medida irreversibles. A diferencia de las transferencias bancarias tradicionales, los pagos blockchain generalmente no ofrecen ningún mecanismo centralizado para cancelar una transacción después de que se haya finalizado.

El incidente también ilustra por qué el historial de transacciones no debe tratarse como un directorio de direcciones. Incluso si una dirección parece haber sido utilizada en una transacción anterior, los usuarios deben confirmar que todavía pertenece al destinatario previsto antes de enviar fondos adicionales.

El riesgo se extiende más allá de Ethereum. Las estafas similares basadas en direcciones pueden afectar a los usuarios en múltiples redes blockchain porque la metodología de ataque depende principalmente de las prácticas de verificación del usuario y no del protocolo subyacente. Las redes con formatos de dirección compatibles con EVM, incluidas Polygon, Arbitrum y Optimism, presentan la misma superficie de vulnerabilidad.

Para individuos y empresas que poseen activos digitales sustanciales, las consecuencias de una transferencia errónea a una billetera controlada por un atacante pueden ser significativas. La recuperación puede ser difícil o imposible, lo que hace de la prevención la medida de protección más efectiva.

El incidente reportado sirve como recordatorio de que la seguridad de las criptomonedas depende no solo de la tecnología blockchain sino también de prácticas de transacción disciplinadas. Verificar dos veces la dirección de destino y evitar la confianza ciega en el historial de transacciones puede reducir significativamente el riesgo de ser víctima de ataques de envenenamiento de direcciones.