¿Qué es el address poisoning y cómo evitarlo en 2026?

En 2024, un solo ataque de address poisoning robó aproximadamente US$ 71 millones en WBTC de una billetera. Evitaron las trampas evidentes: no hubo enlaces maliciosos ni filtración de frase semilla. Simplemente copiaron una dirección desde su historial de transacciones, como hace la mayoría, y enviaron los fondos a la dirección del hacker. Eso es lo que hace diferente a este ataque. No requiere un error técnico de la víctima, sino que explota la costumbre.

Los ataques de address poisoning crypto se aprovechan del historial público de transacciones, direcciones falsas y la tendencia a copiar desde el historial. Este artículo explica cómo funciona el ataque a nivel técnico, quiénes corren mayor riesgo y qué puedes hacer, desde hoy, para no convertirte en la próxima víctima. Para evitar el address poisoning, nunca copies desde el historial de transacciones; usa una libreta de direcciones guardada, verifica la dirección completa de destino y envía primero una transacción de prueba antes de mover grandes cantidades.

Cómo funciona el address poisoning

El ataque tiene tres etapas claras. Entender cada una es la forma más rápida de protegerte.

La preparación: vanity addresses

Una vanity address es una dirección estándar de blockchain que se genera repetidamente hasta que comienza con un prefijo específico. El proceso es solo cosmético: se ejecuta un ciclo de generación de claves, se deriva la dirección, se verifica si coincide con el prefijo deseado y se repite hasta lograrlo. El resultado, a simple vista, parece casi idéntico a una dirección real.

Los atacantes usan esto para crear una fake crypto address que coincide con los primeros y últimos caracteres de una dirección a la que ya enviaste fondos. Una dirección real podría ser 0xA3f9...7c82. La versión falsa del atacante podría ser 0xA3f1...7c82. ¿Notas la diferencia? La mayoría no, especialmente cuando la interfaz de la billetera acorta el centro de la dirección.

La transacción de envenenamiento

Una vez que existe la dirección falsa, el atacante envía una zero-value transfer (o una cantidad mínima de centavos) desde esa dirección a tu billetera. Este es el step for the zero-value transfer attack. El costo de transacción es casi nulo en la mayoría de las cadenas. No requiere ninguna acción de tu parte.

La entrada envenenada ahora aparece en tu historial de transacciones, justo al lado de la transferencia legítima que realizaste antes.

La trampa se cierra

La próxima vez que necesites enviar fondos al mismo destinatario, abres tu historial y copias la dirección. Pero copiaste la equivocada. Los fondos van al atacante.

Así es como funciona el transaction history attack crypto: se aprovecha de tu hábito de confiar en el historial como atajo. El ataque no requiere conocimientos técnicos de la víctima, solo costumbre.

Real-world scale: Varias personas han perdido US$ 100 000 o más por copiar desde el historial. En 2024, un solo ataque de address poisoning robó cerca de US$ 71 millones en WBTC de una billetera.

Estás en mayor riesgo si

No todos tienen la misma exposición. Los atacantes analizan el comportamiento on-chain para identificar objetivos de alto valor.

Estás en mayor riesgo si envías regularmente a las mismas direcciones. Los patrones de transferencia predecibles son justo lo que buscan los atacantes. Monitorean la actividad en cadena, identifican “direcciones de destino frecuentes” y programan la transacción de envenenamiento para que aparezca justo después de una transferencia legítima.

Estás en mayor riesgo si usas copy-paste from transaction history en lugar de una libreta de direcciones guardada. Es la forma más común en que las víctimas caen. La pestaña de historial parece confiable. No lo es.

Estás en mayor riesgo si no verificas la dirección completa antes de enviar. Los atacantes crean direcciones falsas que solo coinciden en los primeros y últimos caracteres. Si solo revisas seis caracteres al inicio y al final, pasarás por alto la sustitución.

Estás en mayor riesgo si usas varias billeteras y mueves fondos entre ellas con frecuencia. Trabajar con varias billeteras significa más entradas en el historial, más oportunidades para que una dirección envenenada pase desapercibida y más carga mental durante las transferencias. El punto clave: el crypto address spoofing funciona porque explota la diferencia entre lo que los usuarios revisan y lo que creen haber revisado.

Cómo aplicarlo: 5 reglas de prevención

Estas cinco reglas, aplicadas siempre, bloquean el ataque en cada etapa.

Rule 1: Never copy from transaction history.

Utiliza la libreta de direcciones o contactos de tu billetera, no la pestaña de historial. El historial muestra las direcciones que han aparecido en tus transacciones, pero eso no significa que sean verificadas. Un atacante puede inyectar una dirección falsa en tu historial sin que lo sepas. Tu libreta de direcciones solo contiene lo que guardaste deliberadamente.

Rule 2: Verify the FULL address.

Revisa cada carácter, no solo los primeros y últimos seis. Usa un explorador de bloques para pegar la dirección de destino y confirmar que su historial de transacciones corresponde al destinatario esperado. Los exploradores de blockchain ofrecen un registro permanente y con sello de tiempo de toda la actividad de una dirección, permitiendo verificar al destinatario antes de enviar fondos. Cada blockchain tiene su propio explorador, así que asegúrate de usar el correcto para la red en la que operas.

Rule 3: Send a test transaction first.

Para transferencias grandes, envía primero US$ 1. Confirma que el destinatario lo reciba. Luego envía el monto completo. Es un paso extra y toma unos minutos, pero vale la pena. Una transacción confirmada en blockchain es definitiva. Si la transacción aún está pendiente, en algunas cadenas existen opciones de reemplazo, pero lo más seguro es verificar la dirección antes de que se confirme la primera vez.

Rule 4: Use an address book in your wallet.

Guarda direcciones verificadas con etiquetas. Una vez que una dirección está en tu libreta y confirmada, selecciona por la etiqueta. Ya no copias desde el historial, sino que eliges de una lista verificada. Nunca vuelvas a escribir ni copiar una dirección de un destinatario ya guardado.

Rule 5: Check the source of any dust.

Si recibes una microtransacción inesperada, algo no solicitado y pequeño, no uses esa dirección remitente para nada. Déjala sin tocar. Nunca envíes fondos de regreso. El “dust” es el anzuelo. Interactuar con él completa la trampa.

Cómo Tangem protege contra el address poisoning

Ninguna billetera, incluida Tangem, puede evitar que los atacantes envíen transacciones dust en blockchains públicas. Cualquiera puede enviar una zero-value transfer a cualquier dirección. Es una realidad del protocolo, no una limitación del producto. Lo que Tangem sí puede hacer es dificultar estructuralmente que caigas en la trampa.

La arquitectura de hardware wallet de Tangem ofrece varias capas de protección

Address Verification on Every Transaction

Antes de firmar cualquier transacción, la app de Tangem muestra la dirección completa de destino para confirmación visual. El requisito de tocar la tarjeta física añade una pausa deliberada, un momento para verificar, que las billeteras de software no imponen. En el flujo de firma de transacciones de Tangem, el usuario inicia la transacción en la app, la app genera los datos sin firmar, el usuario toca la tarjeta, el elemento seguro firma internamente y la app transmite la transacción firmada. En ningún momento la clave privada entra en contacto con un dispositivo conectado a internet. Pero la protección relevante aquí es menos sobre el aislamiento de la clave y más sobre el punto de verificación humana obligatorio antes de tocar la tarjeta.

Address Book Integration

La libreta de direcciones de Tangem permite guardar direcciones frecuentes y seleccionarlas rápidamente por etiqueta. Una vez que guardas una dirección verificada, la seleccionas por su nombre, no copiando desde el historial. Siempre se usa la dirección verificada, sin importar lo que aparezca en la pestaña de historial. El envío de transacciones con Tangem también permite ingresar manualmente la dirección del destinatario o escanear un código QR como alternativas al copiado desde el historial.

Hardware-Enforced Confirmation

Aun si una dirección envenenada aparece en tu flujo, el toque físico de la tarjeta es el último punto de control humano. Ves la dirección en la app, verificas, tocas. Ninguna transacción se ejecuta sin esta confirmación física. Tangem Mobile Wallet también incluye confirmación por pulsación larga para firmar transacciones (agregado en la versión 5.35) para evitar toques accidentales.

One honest limitation: la interfaz de la app es la capa de verificación. Leer la dirección completa en la app antes de tocar no es opcional. Ese paso es la protección.

Using Tangem to Avoid Address Poisoning

• Utiliza la libreta de direcciones de Tangem para todos los destinatarios habituales.
• Antes de tocar tu tarjeta, lee la dirección completa que aparece en la app, carácter por carácter.
• Si una dirección en tu historial no coincide con la de tu contacto guardado, detente e investiga antes de continuar.

Qué hacer después de enviar a una dirección envenenada

La velocidad es clave aquí, pero primero hay una verdad importante que aceptar.

Las transacciones cripto confirmadas no se pueden deshacer

Una vez confirmada, una transacción en blockchain no se puede cancelar. En Bitcoin, la mayoría de los servicios considera finales de 3 a 6 confirmaciones, lo que toma cerca de una hora con bloques de 10 minutos. En Ethereum, confirmaciones similares pueden llegar en minutos, dado que los bloques tardan unos 12 segundos. Si tu transacción ya está confirmada, desde el punto de vista técnico los fondos se han perdido.

Dicho esto, hay pasos que puedes tomar.

Document the transaction hash immediately. Un TXID es público, permanente y único para cada transferencia en una cadena específica. Registra el monto, remitente, destinatario, comisiones y estado sin exponer el acceso a tu billetera. Cópialo desde tu billetera o explorador y guárdalo en un lugar seguro. Compartir un TXID es seguro porque es información pública. Lo que debes proteger son tus claves privadas y tu frase semilla.

Report to your exchange if the destination was an exchange address. Esto es poco común, ya que la mayoría de los atacantes usan direcciones no custodiales, pero si la dirección de destino está asociada a un exchange conocido, contacta de inmediato al equipo de cumplimiento o abuso de ese exchange con el hash de la transacción, las fechas y cualquier dato relevante de tu cuenta.

File a report with your local cybercrime authority. En EE. UU., es el Internet Crime Complaint Center (IC3) del FBI. En el Reino Unido, Action Fraud. Estos reportes rara vez resultan en la recuperación directa de fondos, pero contribuyen a bases de datos de investigación que ayudan a rastrear campañas más grandes.

The honest answer: la recuperación es extremadamente rara. La prevención lo es todo.

El hábito más seguro: verifica antes de tocar

Los ataques de address poisoning crypto no requieren un hacker sofisticado ni una víctima descuidada. Solo necesitan un momento de costumbre: copiar desde el historial en vez de una fuente verificada. Así ocurrió la pérdida de US$ 71 millones en WBTC en 2024. Varias víctimas han perdido US$ 100 000 o más por copiar desde el historial. La solución es conductual y estructural. Usa una libreta de direcciones. Verifica la dirección completa antes de cada transacción. Trata el “dust” no solicitado como una alerta, no como una curiosidad. Envía una transacción de prueba antes de mover grandes montos.

La billetera de hardware de Tangem está diseñada con estas protecciones: una libreta de direcciones que elimina el copiado desde el historial, la visualización de la dirección completa antes de cada toque y un paso físico de confirmación que obliga a hacer una pausa. No hace imposible el ataque a nivel de protocolo —nada lo hace—, pero elimina los hábitos de los que depende el ataque. Si buscas una billetera que estructure tu comportamiento en torno a la verificación, en vez de asumir que lo recordarás por tu cuenta, Tangem está hecha para eso. Pide la tuya en tangem.com.