Envenenamiento de direcciones: la estafa de la dirección parecida y cómo evitarla

Cómo funciona la estafa

MetaMask lo describe en tres pasos (MetaMask). Haces una transacción normal, a un amigo o a otra cuenta tuya. Un estafador con un programa que vigila las transferencias de ciertos tokens, normalmente stablecoins, la detecta. Con un generador de direcciones «vanity» crea una dirección muy parecida a la tuya o a la de tu contacto y te envía desde ella una transacción de valor insignificante, normalmente una transferencia de cero tokens.

En ese momento no te han robado nada. La única función de esa transferencia es quedarse en tu historial, junto a la dirección real, casi igual que ella.

Por qué funciona

Las direcciones son largas, así que las billeteras y los exploradores las acortan, y la gente las reconoce por el principio y el final. Una dirección generada solo tiene que coincidir en esas partes visibles; el medio es justo lo que está hecho para disimular. La próxima vez que copies «la dirección de siempre» de tu historial, puedes estar copiando la del estafador.

Cómo evitarlo

Los consejos de MetaMask (MetaMask):

• Revisa la dirección de destino entera antes de enviar, sobre todo con montos grandes: los caracteres del medio, no solo el principio y el final.
• Guarda en la libreta de direcciones las que usas a menudo, una vez verificadas, y envía desde ahí.
• No copies direcciones de tu historial de transacciones.
• Usa una billetera física: la mayoría te hace confirmar la dirección de destino en el propio dispositivo. La guía de Ledger describe la misma comprobación del lado que recibe: comparar la dirección en la pantalla del dispositivo con la que muestra la aplicación (Ledger).

Qué hace la billetera

MetaMask compara la dirección de destino con tu historial. Si se parece mucho a una que ya usaste, muestra un aviso que bloquea el envío; si es una dirección con la que nunca interactuaste, también te avisa (MetaMask). La detección funciona en MetaMask Mobile y en la extensión, en todas las redes EVM (MetaMask). Un aviso solo sirve si lo lees: la estafa está pensada para el momento en que estás seguro de enviar al sitio correcto.

Si ya enviaste los fondos

MetaMask lo dice directamente: las transacciones en la cadena no se pueden alterar una vez confirmadas, así que los fondos perdidos de esta forma son irrecuperables (MetaMask). Lo que sigue en tus manos es el paso siguiente. Quien después se ofrezca a recuperar el dinero y te pida la frase de recuperación o las claves privadas está, en palabras de MetaMask, intentando robar todos tus activos (MetaMask). Más sobre ese patrón en drainers de billeteras.