El address poisoning es uno de los trucos más simples contra las wallets cripto: nadie rompe tu contraseña ni hackea un exchange, solo te cuelan una dirección parecida a la tuya y esperan. Así funciona, por qué hasta un trader con experiencia puede caer, y qué debe hacer el operador de un exchanger para que sus clientes no pierdan dinero por un copiar y pegar.
Qué es realmente el address poisoning
El address poisoning consiste en que un estafador te envía una transacción mínima o de valor cero desde una dirección casi idéntica a la que usas habitualmente. El objetivo es simple: quedar registrado en tu historial para que, la próxima vez, copies por costumbre la dirección falsa en lugar de la real.
La mayoría de wallets muestran las direcciones de forma abreviada, algo como 0x7a3f...9e21. La gente mira el principio y el final, ve que coincide y pulsa enviar sin desplegar la cadena completa. Con eso el atacante ya tiene lo que necesita.
Cómo fabrican una dirección que "parece real"
El atacante genera millones de wallets aleatorias hasta encontrar una con los caracteres iniciales y finales que necesita — lo que se conoce como vanity address. Existen herramientas gratuitas para esa búsqueda por fuerza bruta; no se rompe ninguna criptografía. Luego solo espera a que hagas una transferencia grande para enviar justo después una transacción de polvo desde la dirección gemela.
Esa transacción aparece en tu historial justo al lado de la real. La diferencia está en unos caracteres en medio de la cadena, la parte que casi nadie revisa.
Un caso real: un exchanger, un cliente y un clic caro
Imagina un exchanger que paga USDT en la red TRON a decenas de clientes cada día. El operador trabaja rápido: abre la wallet, busca la dirección correcta entre las salidas recientes, la copia y la pega en el nuevo pago. Cómodo, hasta que una transacción envenenada se cuela justo en ese historial.
Un clic distraído y el pago del cliente termina en manos del estafador. Las transferencias en blockchain no tienen vuelta atrás, no hay a quién reclamar, y el golpe a la reputación suele doler más que la pérdida en sí.
Cómo proteger la wallet y a los clientes del exchanger
La regla básica es simple: nunca copies una dirección del historial "a ojo". Unos pocos hábitos cierran casi todo el riesgo:
- Revisa la dirección completa, no solo el principio y el final — si tienes dudas, pega ambas cadenas en un archivo de texto y compáralas carácter por carácter.
- Mantén una libreta interna de direcciones verificadas y etiquetadas para tus contrapartes habituales, y paga solo desde ahí.
- Usa códigos QR siempre que puedas: son mucho más difíciles de sustituir sin que se note.
- Configura alertas en la wallet o en el back-office para cualquier dirección nueva que el sistema no haya visto antes.
- Separa los roles: una persona prepara el pago, otra confirma la dirección — esa simple verificación cruzada atrapa casi todas estas suplantaciones.
Errores frecuentes al verificar la dirección del destinatario
Casi nunca es por ignorancia — es la prisa y la costumbre. Los mismos errores se repiten:
- Comparar solo los primeros y últimos 4-6 caracteres de la dirección.
- Copiar la dirección directamente de la "actividad reciente" sin comprobar quién la envió realmente.
- No tener un segundo canal de confirmación para contrapartes grandes o nuevas.
- Ignorar el aviso de dirección nueva de la wallet solo porque "tengo prisa".
Conclusión
El address poisoning no explota un fallo de la blockchain, sino el hábito de confiar en lo que ven los ojos y en el historial de transacciones. No existe una solución técnica, solo disciplina: verificación completa de la dirección, una libreta de contrapartes validadas y roles separados en los pagos grandes. En un exchanger esa disciplina debe formar parte del flujo de trabajo, no depender de la atención de un solo operador — montar tu propia infraestructura de wallet con libretas de direcciones y roles integrados en iEXWallet le quita parte de esa rutina a tu equipo.
