Envenenamiento de direcciones (address poisoning)

El envenenamiento de direcciones es una estafa que planta direcciones parecidas en tu historial de transacciones, con la esperanza de que copies una de ellas la próxima vez que envíes fondos. El atacante genera una dirección vanity cuyos primeros y últimos caracteres coinciden con los de una dirección que usas de verdad y luego envía a tu billetera una transferencia minúscula o de valor cero, para que la dirección falsa aparezca en tu historial junto a las reales.

La estafa explota un hábito muy extendido: como las direcciones cripto son cadenas largas, mucha gente solo verifica los primeros y los últimos caracteres, y reutiliza direcciones copiándolas de una transacción anterior en el historial de su billetera o de un explorador de bloques. Por ejemplo, un usuario que envía USDT con regularidad a la dirección de depósito de un exchange que empieza por 0x9a3 y termina en f41 podría ver una entrada envenenada con esos mismos caracteres visibles, copiarla y enviar una transferencia grande directamente al atacante. Las transacciones en blockchain son irreversibles, así que los fondos se pierden en el momento en que se confirma.

Las pérdidas de esta técnica han sido considerables precisamente porque no requiere hackeo ni trucos con firmas, solo descuido. Las defensas son sencillas: no copies nunca direcciones del historial de transacciones, usa una libreta de direcciones o contactos guardados para los destinatarios recurrentes, verifica algo más que los extremos de una dirección antes de enviar y envía primero una pequeña cantidad de prueba en las transferencias grandes. Un error común es creer que recibir la transferencia de polvo envenenada es peligroso en sí mismo; es inofensiva hasta que copias la dirección equivocada.