Tipos de estafa
Address poisoning: direcciones engañosas en el historial
Cómo llegan las direcciones parecidas al historial, cuándo se produce la pérdida y qué pruebas necesita una investigación.
En este artículo
El ataque apunta a la dirección que copias
El address poisoning introduce una entrada engañosa en el historial de transacciones de una cartera. El atacante utiliza una dirección parecida a la de un destinatario real, esperando que su propietario la copie al realizar un pago posterior. Recibir una transferencia no solicitada no autoriza, por sí solo, a gastar los fondos de la cartera receptora. La pérdida ocurre cuando se aprueba después un pago saliente hacia la dirección equivocada. MetaMask explains the transfer-history mechanism.
El engaño aprovecha cómo leemos las direcciones. Una cartera puede mostrar únicamente sus primeros y últimos caracteres y ocultar la parte central. Dos direcciones distintas pueden parecer idénticas en esa vista abreviada. Una abreviatura reconocible facilita la presentación, pero no verifica ninguna identidad. El mismo problema aparece al copiar una dirección del historial de retiradas de una plataforma o de una captura de pantalla.
Reconstruir la secuencia de operaciones
Imaginemos una empresa que ya ha pagado al proveedor A. Más adelante, su contable observa una pequeña transferencia asociada a la dirección B, cuyo inicio y final visibles coinciden con los de A. Copia B para el siguiente pago. Hay al menos 3 registros relevantes: el pago legítimo anterior, la entrada engañosa del historial y la transferencia posterior a B. La última transacción, por sí sola, no explica cómo se eligió el destino.
Conserva esos registros por separado. Anota la blockchain, las direcciones completas, los identificadores de las transacciones, el contrato del token y las marcas de tiempo. El nombre visible del token no basta: un atacante puede asignar una etiqueta conocida a un activo sin relación. Tampoco un importe diminuto convierte una entrada en fiable. En el ejemplo, la pequeña transferencia resulta útil por su posición en la interfaz, no por su valor económico.
Verificar el destino por una vía independiente
Obtén la dirección del destinatario de una agenda previamente verificada o confírmala mediante un canal de contacto establecido. Compara la dirección completa, incluidos los caracteres centrales, en la pantalla de confirmación final. MetaMask advierte expresamente de que el historial no debe utilizarse como una agenda fiable. Una alerta sobre una dirección desconocida o parecida requiere una comprobación independiente. Descartarla porque la versión abreviada resulta familiar repite el error inicial.
Un pago de prueba puede demostrar que el destinatario recibió una cantidad pequeña, pero solo si este confirma la recepción de forma independiente. Comprobar únicamente que la transacción se completó demuestra que la dirección introducida recibió el pago. No demuestra que pertenezca a la persona prevista. El destino del pago posterior de mayor importe también debe ser exactamente la misma dirección verificada.
Qué demuestran los registros
Una gran semejanza visual y un patrón de transferencias coherente pueden respaldar la explicación de un address poisoning. No identifican automáticamente a quien controla la dirección receptora. El informe debe distinguir entre la secuencia observada, el relato del usuario sobre cómo copió la dirección y las pruebas adicionales de atribución. Así el hallazgo sigue siendo útil sin presentar una etiqueta de blockchain como una identidad demostrada.