El envenenamiento de direcciones (address poisoning) es una forma silenciosa de vaciar una billetera cripto: el estafador cuela una dirección casi idéntica en tu historial de transacciones y espera a que la copies por costumbre. Para un usuario cualquiera es un mal rato puntual. Para quien opera un exchanger cripto, es un ticket de soporte, una disputa por un reembolso y un golpe reputacional totalmente evitable.
Qué es exactamente el envenenamiento de direcciones
El truco funciona porque casi nadie copia la dirección de pago desde un código QR o una libreta de direcciones: la mayoría toma la última parecida que aparece en su propio historial. El estafador envía una transferencia mínima o directamente de valor cero a la billetera de la víctima, desde una dirección cuyos primeros y últimos 4-6 caracteres coinciden con los de una dirección real y de confianza. Esa transacción basura queda ahí, tranquila, y la próxima vez que la víctima paga, copia la línea falsa en lugar de la verdadera.
Cómo se fabrica esa dirección gemela
No hay nada de magia. Las direcciones basadas en curvas elípticas se pueden generar por millones por segundo con una tarjeta gráfica normal, probando combinaciones hasta encontrar una que coincida al principio y al final con la dirección objetivo. Es como cambiar la placa del número de una casa: si el cartero solo revisa la primera y la última cifra, no nota el cambio. Cuantos más caracteres coinciden a simple vista, menos motivos tiene la víctima para desconfiar.
Por qué esto es, en realidad, un problema del exchanger
Imagina a un cliente que hace un mes recargó saldo a través de tu dirección de depósito en USDT sin ningún problema. Hoy decide repetir el pago, no escanea el QR y copia la dirección directamente de su historial — solo que esa línea ya estaba envenenada por una transferencia de valor cero desde una dirección gemela. 800 dólares se pierden en el vacío, y el cliente abre un ticket exigiendo que le devuelvan un dinero que el exchanger nunca recibió. Técnicamente no hiciste nada mal. En la práctica, tu soporte pierde horas con el caso y tu nombre aparece en el post furioso de algún foro.
Cómo detectar una dirección envenenada en el historial
- Verifica la dirección completa, no solo el principio y el final — el ojo humano no puede hacerlo con fiabilidad, usa una libreta de direcciones o un QR.
- Cualquier transacción inesperada de valor cero o "polvo" en tu historial es una señal de alerta: no copies esa línea ni interactúes con ella.
- Guarda las direcciones verificadas en favoritos o en una libreta de direcciones en lugar de depender de "tomar la última".
- Prefiere billeteras que distingan visualmente las direcciones guardadas y de confianza de las nuevas y desconocidas.
Qué funciona de verdad: checklist para quien opera un exchanger
- Añade un aviso en el flujo de soporte cada vez que la dirección de retiro de un cliente sea nueva o haya cambiado.
- Entrena a tu equipo de soporte para reconocer un "el dinero nunca llegó" como un posible caso de envenenamiento, no solo como una disputa de pago estándar.
- Dale a tus clientes una libreta de direcciones integrada en la billetera del exchanger en lugar de decirles "cópiala de tu última transacción".
- Registra las transacciones de polvo que lleguen a direcciones de clientes como una señal de seguridad, no como ruido para ignorar.
Conclusión
Para el estafador, este ataque cuesta casi nada: una transferencia de valor cero y algo de potencia de cálculo. Para un exchanger, el costo es mucho más difícil de recuperar: la confianza del cliente y horas de soporte por un problema que no causaste. La solución no es la paranoia, es la disciplina de proceso — libretas de direcciones verificadas y romper el hábito de copiar datos de pago a ciegas. Si estás operando tu propio exchanger, una billetera iEXWallet integrada con direcciones de clientes verificadas reduce estos incidentes sin añadir carga extra a tu soporte.
