Abres MetaMask, Rabby o Etherscan y observas una actividad inusual: llegan a tu monedero cantidades minúsculas de USDT, USDC o ETH. A veces son 0,01 $, otras veces 0,0001 $ y, en ocasiones, incluso 0 USDT. Además, las direcciones de los remitentes se parecen sospechosamente a aquellas con las que ya has realizado transacciones.
En algunos casos, incluso aparecen transferencias salientes que nunca has autorizado.
Lo primero que se te pasa por la cabeza es que te han hackeado el monedero. Pero, a menudo, la causa es totalmente distinta: el «envenenamiento de direcciones» (Address Poisoning).
Se trata de una estafa en la que los delincuentes introducen direcciones falsas en el historial de transacciones, con la esperanza de que el usuario copie en algún momento una dirección incorrecta y les envíe dinero por su cuenta.
En 2026, este tipo de ataques se han generalizado y automatizado. Se han registrado casos de pérdidas de decenas de millones de dólares a causa de un solo error al copiar una dirección.
¿Qué es el «Address Poisoning»?
El «Address Poisoning» es un ataque dirigido a la confianza del usuario en el historial de transacciones de su monedero criptográfico.
Imaginemos que transfieres regularmente USDT entre dos de tus propios monederos o a la dirección de depósito de una plataforma de intercambio.
Ya te has aprendido de memoria que la dirección correcta empieza por 0x6d90 y termina en 2e48. Cuando necesites repetir la transferencia, abrirás el historial de operaciones, buscarás la dirección que ya conoces y la copiarás.
Eso es precisamente lo que espera el estafador.
Crea su propia dirección de criptomoneda, cuyos primeros y últimos caracteres coinciden con los de la dirección de tu destinatario real. A continuación, te envía una cantidad insignificante de criptomoneda o crea una transferencia de tokens nula o falsa.
Ahora, la dirección fraudulenta aparece entre tus transacciones.
El principal peligro: el dinero no desaparece en el momento de recibir la microtransacción. El robo se produce más tarde, cuando el propio usuario envía los fondos a la dirección falsa.
Cómo es una dirección «envenenada»: un ejemplo real de 2026
El 30 de enero de 2026 se produjo un ataque en Ethereum, como resultado del cual un usuario envió 4 556 ETH a un atacante. La empresa de análisis Bitquery valoró la transferencia en aproximadamente 12,4 millones de dólares, según el precio del ETH en la fecha del incidente.
Los investigadores identificaron las siguientes direcciones:
Dirección real del destinatario:
0x6d90cc8ce83b6d0acf634ed45d4bcc37eddd2e48
Dirección del atacante:
0x6d9052b2df589de00324127fe2707eb34e592e48
Ambas direcciones comienzan por 0x6d90 y terminan en 2e48.
Veamos cómo se ven en la interfaz del monedero, que omite la parte central de la dirección:
| Dirección | Visualización |
|---|---|
| Verdadera | 0x6d90…2e48 |
| Falsas | 0x6d90…2e48 |
En este formato abreviado, las direcciones son visualmente idénticas. Sus partes centrales son completamente diferentes, pero es posible que el usuario no lo perciba.
Antes del robo, el estafador envió en repetidas ocasiones cantidades minúsculas de ETH al monedero de la víctima. La primera de estas transferencias se registró el 3 de octubre de 2025. Unos meses más tarde, la víctima transfirió 4 556 ETH a una dirección falsa.
¿Por qué los estafadores eligen precisamente las últimas 4 o 5 letras y números?
Para comprender el mecanismo, es importante saber cómo están estructuradas las direcciones de Ethereum y otras redes EVM.
Una dirección de Ethereum consta de 40 caracteres hexadecimales tras 0x. Se utilizan los números del 0 al 9 y las letras de la a a la f.
Cada carácter tiene un total de 16 valores posibles.
Un atacante no puede modificar arbitrariamente varios caracteres de su dirección conservando la clave privada correspondiente. En su lugar, genera de forma masiva nuevas claves privadas y direcciones hasta que encuentra la combinación adecuada.
A estas direcciones se las denomina «vanity addresses», es decir, direcciones con una secuencia de caracteres elegida de antemano.
La dificultad de la búsqueda crece exponencialmente: cada carácter hexadecimal adicional que coincida multiplica por 16 el número medio de intentos.
| Coincidencia requerida | Número medio de intentos |
|---|---|
| Solo los últimos 4 caracteres | 65 536 |
| Solo los últimos 5 caracteres | 1 048 576 |
| Los 4 primeros y los 4 últimos | 4.29 mil millones |
| Los 5 primeros y los 4 últimos | 68 720 millones |
| Los 5 primeros y los 5 últimos | 1,10 billones |
Los valores representan las expectativas matemáticas para direcciones distribuidas uniformemente en una comparación sin tener en cuenta el registro de las letras. El tiempo real de búsqueda depende del equipo y de la implementación del generador.
Es importante distinguir aquí entre dos situaciones.
La coincidencia exclusivamente de los últimos 4-5 caracteres requiere un número relativamente pequeño de cálculos. Encontrar este tipo de direcciones es bastante sencillo.
La coincidencia simultánea de los primeros y los últimos 4-5 caracteres es mucho más compleja: ya estamos hablando de miles de millones o billones de candidatos. Sin embargo, con el uso de software optimizado, GPU y cálculo paralelo, este tipo de tareas siguen siendo técnicamente factibles.
Los estafadores no necesitan un duplicado perfecto. Les basta con que coincidan precisamente aquellas partes de la dirección que muestra el monedero o que comprueba la persona.
Por eso, 4 o 5 caracteres de cada extremo son un compromiso habitual entre el esfuerzo computacional y la similitud visual.
Son precisamente las interfaces que ocultan la parte central de la dirección tras tres puntos las que hacen que este tipo de ataques sean eficaces.
No obstante, la generación de una dirección duplicada no supone un ataque a la criptografía de Ethereum. La clave privada de la dirección real sigue siendo desconocida para el atacante.
¿Por qué enviar 0,0001 $, 0 USDT y otras microcantidades?
El objetivo de la microtransferencia no es transferir valor, sino incluir la dirección deseada en el historial de transacciones.
Técnicamente, los estafadores utilizan varias variantes.
1. «Dust transfers» (transferencias de polvo)
El atacante envía realmente a la cartera una cantidad minúscula de ETH, USDT u otro token desde una dirección propia similar.
Como resultado, esa dirección aparece como remitente de la transacción entrante.
El valor de los activos enviados puede ser insignificante en comparación con el beneficio potencial. Aun así, el estafador paga las comisiones de red necesarias.
Es importante no confundir las unidades: 0,01 céntimos equivale a 0,0001 dólares, mientras que 0,01 dólares es un céntimo. Es posible que en la interfaz se muestre un importe redondeado, por lo que la transferencia real puede ser aún menor.
2. Transferencias de valor cero
En algunos contratos ERC-20 es posible realizar llamadas transferFrom por un importe nulo sin autorización expresa para gastar tokens.
Esto permite generar un evento Transfer con un importe de 0, que puede parecer una operación realizada desde el monedero de la víctima.
Dicha transferencia, por sí sola, no significa que el atacante haya obtenido acceso a la clave privada ni la capacidad de disponer de los activos.
3. Suplantación de eventos (event spoofing)
Los estafadores despliegan sus propios contratos de tokens y generan eventos Transferque imitan operaciones reales.
Por ejemplo, se crea un token falso con el símbolo USDT. Su contrato notifica a la cadena de bloques una transferencia que, a simple vista, se asemeja a una operación con el Tether auténtico.
Algunas interfaces pueden mostrarla entre las transacciones del usuario si no distinguen con suficiente precisión entre los contratos de tokens auténticos y los falsos.
Como resultado, se puede ver una supuesta transferencia saliente que el usuario nunca ha firmado.
Por eso es necesario comprobar no solo el nombre del token, sino también la dirección de su contrato, así como el iniciador de la transacción.
Más información: guía oficial de Etherscan sobre el «Address Poisoning».
¿Hasta qué punto se han generalizado los ataques en 2026?
El «Address Poisoning» hace tiempo que dejó de ser una estafa manual poco común.
En el estudio «Blockchain Address Poisoning», publicado en la conferencia USENIX Security 2025, investigadores de la Universidad Carnegie Mellon y sus coautores analizaron Ethereum y BNB Smart Chain durante el periodo comprendido entre el 1 de julio de 2022 y el 30 de junio de 2024.
Los investigadores revelaron lo siguiente:
- Unos 270 millones de intentos de envenenamiento de direcciones.
- Más de 17 millones de direcciones que sufrieron ataques.
- 6 633 casos detectados de desvío de fondos con éxito.
- Transferencias de las víctimas por un importe total de al menos 83,8 millones de dólares.
Esta última cifra no puede considerarse automáticamente como la pérdida definitiva no recuperable: parte de las transferencias en algunos casos concretos conocidos se recuperaron.
Fuente: USENIX Security 2025 — Blockchain Address Poisoning .
En marzo de 2026, Etherscan publicó datos adicionales sobre el aumento de la actividad.
Durante los 90 días posteriores a la actualización Fusaka de Ethereum, que tuvo lugar el 3 de diciembre de 2025, el número de transferencias de USDT por un valor inferior a 0,01 dólares aumentó de 4,2 millones a 29,9 millones en comparación con los 90 días anteriores.
El aumento fue del 612 %.
Esto no significa que las 29,9 millones de transacciones fueran fraudulentas: Etherscan señala expresamente que no todas las transferencias de «polvo» constituyen un ataque. Sin embargo, las campañas masivas de «envenenamiento de direcciones» contribuyen a esta actividad.
Además, MetaMask informó en junio de 2026 de que su socio Blockaid había marcado 65,4 millones de transacciones como «envenenamiento de direcciones» durante el periodo comprendido entre enero de 2025 y febrero de 2026.
Esta cifra corresponde a los casos detectados por el sistema, no al número de robos consumados.
Casos reales: cómo los usuarios perdieron millones de dólares
Mayo de 2024: entre 68 y 71 millones de dólares en WBTC
El 3 de mayo de 2024, un usuario de Ethereum envió 1 155 WBTC a la dirección de un atacante que imitó una dirección utilizada anteriormente.
En el momento de la transacción inicial, el valor de los activos se estimaba en unos 68 millones de dólares. En otras publicaciones aparece una cifra de unos 71 millones de dólares debido a un cambio en la valoración de los activos.
Chainalysis ha reconstruido la secuencia de operaciones y ha confirmado el mecanismo de «envenenamiento» de la dirección.
Tras unas negociaciones públicas, el atacante devolvió la mayor parte de la suma a la víctima.
Un detalle importante: aunque se logró recuperar la transferencia de gran cuantía, Chainalysis estimó que los beneficios obtenidos por el atacante en el marco de una campaña más amplia ascendieron aproximadamente a 1,49 millones de dólares, incluso teniendo en cuenta la devolución de los fondos a la víctima principal.
Fuente: Chainalysis — Anatomy of an Address Poisoning Scam .
Diciembre de 2025: casi 50 millones de dólares en USDT
El 20 de diciembre de 2025 se produjo uno de los incidentes más reveladores.
Un usuario tenía previsto transferir una cuantiosa suma de USDT entre sus monederos.
En primer lugar, realizó una transferencia de prueba de 50 USDT a la dirección auténtica. A continuación, el sistema automatizado del atacante preparó una dirección gemela que coincidía con la del destinatario en los cinco primeros y los cuatro últimos caracteres.
La dirección falsa se introdujo en el historial de transacciones mediante pequeñas transferencias.
Aproximadamente 26 minutos después de la prueba, el usuario envió 49 999 950 USDT a la dirección fraudulenta.
Según datos de The Block y SlowMist, el atacante cambió rápidamente el USDT por DAI y, posteriormente, por ETH. Una parte considerable de los activos se transfirió a través de Tornado Cash.
La víctima ofreció una recompensa de 1 millón de dólares por la devolución del importe principal. En una publicación verificada se confirma la oferta de recompensa, pero no se ha confirmado la devolución de los fondos en este caso.
Este episodio pone de manifiesto otro problema: la transferencia de prueba protege contra algunos errores, pero no garantiza la seguridad si, tras la prueba, el usuario vuelve a copiar la dirección del historial ya comprometido.
Fuente: The Block, 20 de diciembre de 2025.
Enero de 2026: 4 556 ETH, aproximadamente 12,4 millones de dólares
El 30 de enero de 2026 se produjo un ataque contra un monedero que anteriormente había realizado varias transferencias de ETH al mismo destinatario.
La dirección fraudulenta coincidía con la auténtica en los cuatro primeros y los cuatro últimos caracteres.
El atacante comenzó a enviar transferencias insignificantes ya en octubre de 2025. Tras otra de estas transferencias en enero de 2026, el usuario transfirió 4 556 ETH al destinatario falso.
Aproximadamente 33 minutos después, los fondos se transfirieron a otra dirección.
Bitquery publicó las direcciones de los participantes y los hash de las transacciones correspondientes, lo que permite investigar de forma independiente la cadena de operaciones.
Fuente: Bitquery, análisis de agosto de 2026.
Agosto de 2026: unos 39 890 $ tras una transferencia de prueba falsa
En el análisis publicado por Bitquery también se menciona un episodio ocurrido el 9 de agosto de 2026.
Un usuario envió una transferencia de prueba por valor de 115,147641 USDT.
A los 12 segundos, el contrato fraudulento generó un evento falso que simulaba una transferencia a una dirección duplicada.
Aproximadamente 13 minutos después, el usuario envió unos 39 890 USDT a la dirección errónea.
Este caso es especialmente ilustrativo: el ataque puede copiar no solo el aspecto de la dirección, sino también el importe de la operación que acaba de realizarse.
Fuente: Bitquery — Address Poisoning on Ethereum .
¿Qué medidas de protección existen en 2026?
En los últimos años, han surgido mecanismos de protección no solo en las herramientas de análisis de blockchain, sino también directamente en los monederos de los usuarios.
1. Etiquetas públicas de Etherscan: «Poisoning Address»
Etherscan marca parte de las direcciones fraudulentas detectadas con etiquetas públicas especiales.
En la página de un monedero sospechoso pueden aparecer las siguientes indicaciones:
Poisoning AddressFake_Phishing...Phish / Hack
Para algunas direcciones, Etherscan también muestra una advertencia sobre su implicación en ataques de «envenenamiento de direcciones».
Por ejemplo, esta dirección en Etherscan fue marcada como utilizada por un atacante para el «envenenamiento de direcciones».
Estas etiquetas públicas aparecen sin necesidad de crear una etiqueta de usuario manualmente. Etherscan confirma que marca activamente las direcciones fraudulentas y los tokens falsos.
Sin embargo, la ausencia de una etiqueta no garantiza la seguridad. Pueden aparecer nuevas direcciones antes de que el sistema tenga tiempo de detectarlas. Las advertencias públicas son un indicador adicional, no una garantía de protección.
2. Ocultación de transferencias de valor cero y tokens sospechosos en Etherscan
Etherscan oculta por defecto las transferencias de tokens con valor cero y utiliza mecanismos de filtrado de transacciones con tokens de baja reputación.
El usuario también puede aplicar una lista de tokens ignorados: la Token Ignore List.
Como resultado, parte de las operaciones fraudulentas deja de saturar la interfaz.
Esto reduce la probabilidad de copiar una dirección por error, pero no elimina los registros de la cadena de bloques.
3. Address Highlight y etiquetas personales de Etherscan
La función «Address Highlight» permite resaltar visualmente las direcciones idénticas en la interfaz del explorador.
Se puede activar a través de Site Settings, si está desactivada.
Además, Etherscan admite «Private Name Tags», es decir, etiquetas personalizadas para las direcciones.
Por ejemplo, a un destinatario verificado se le puede asignar la etiqueta «Mi monedero para USDT» o «Exchange — dirección de depósito».
Estas etiquetas están disponibles en una cuenta autorizada de Etherscan y ayudan a distinguir las direcciones conocidas de posibles duplicados aleatorios.
Importante: una etiqueta personal no sustituye a la verificación inicial de la dirección. Solo debe asignarse tras confirmar que se trata del destinatario correcto.
4. Detección automática de «Address Poisoning» en MetaMask
El 17 de junio de 2026, MetaMask anunció la implementación de la detección de «Address Poisoning».
Este mecanismo compara la dirección que el usuario introduce antes de realizar el envío con las direcciones utilizadas anteriormente.
Si la dirección parece familiar —por ejemplo, si coinciden los primeros y los últimos caracteres, pero la parte central es diferente—, el monedero muestra una advertencia antes de ejecutar la operación.
También se muestra una advertencia específica al enviar fondos a una dirección que no se haya utilizado anteriormente.
Según MetaMask, en el momento del lanzamiento, la función ya estaba disponible en la aplicación móvil y en la extensión del navegador para redes EVM.
Las nuevas advertencias no impiden técnicamente que se realicen envíos erróneos: el usuario sigue teniendo la posibilidad de confirmar la operación por sí mismo.
Fuente oficial: MetaMask — Address Poisoning Detection, junio de 2026.
5. Libreta de direcciones y listas de destinatarios de confianza
El método organizativo más fiable para las transferencias habituales es guardar de antemano las direcciones verificadas.
Por ejemplo, en MetaMask se puede utilizar la sección Contacts. Otras carteras y servicios también cuentan con funciones similares de libretas de direcciones o destinatarios de confianza.
El principio es sencillo: la dirección del destinatario se añade una sola vez tras verificarla en una fuente fiable, y las transferencias posteriores se realizan precisamente a la dirección guardada, y no a la dirección que aparece en el historial de transacciones entrantes.
Para las operaciones corporativas resultan útiles medidas adicionales: direcciones autorizadas, confirmación independiente de nuevos destinatarios y autorización multilateral de pagos de gran cuantía.
6. Verificación completa de la dirección, incluso en un monedero físico
El monedero físico protege la clave privada, pero por sí solo no garantiza la protección contra el «address poisoning».
Si el usuario confirma una transferencia a una dirección incorrecta, el dispositivo físico firmará de buena fe precisamente esa operación.
Por lo tanto, antes de confirmar, es necesario cotejar la dirección del destinatario con una fuente independiente de confianza, incluida su parte central.
En el caso de importes elevados, es especialmente importante asegurarse de que la dirección sea validada tanto por la interfaz de envío como por el dispositivo de firma.
¿Qué hacer si ya han llegado transacciones sospechosas a la cartera?
El mero hecho de recibir una transferencia sospechosa no es, por sí solo, prueba de un hackeo.
Si detectas una operación sospechosa:
- No copies la dirección del remitente. Ni siquiera si coincide con una dirección utilizada anteriormente en varios caracteres.
- Comprueba la operación en un explorador de blockchain. Presta atención al contrato de tokens, al importe, al verdadero iniciador de la transacción y a las etiquetas de riesgo.
- No interactúes con tokens desconocidos. No accedas a los sitios web que anuncian y no firmes las transacciones que te propongan.
- Utiliza los filtros de tu monedero y de Etherscan. Los tokens sospechosos y las transferencias de valor cero se pueden ocultar en la interfaz.
- Antes de realizar un envío, utiliza únicamente direcciones verificadas. No te fíes de los últimos registros del historial ni de las abreviaturas.
- Si ya has enviado el dinero al estafador, guarda el hash de la transacción y las direcciones. Ponte en contacto inmediatamente con el servicio que utilices, con el emisor del token —si existe tal procedimiento— y con las fuerzas del orden. No se garantiza la devolución.
No obstante, no es necesario cambiar automáticamente la frase de semilla, transferir todos los activos a un monedero nuevo ni revocar todos los permisos solo por una microtransacción entrante.
Sin embargo, si la comprobación revela que se trata de transacciones salientes auténticas y no autorizadas, esto ya constituye un indicio claro de una posible compromisión y requiere una evaluación inmediata de la seguridad del monedero.
¿Es posible evitar por completo este tipo de ataques?
Por lo general, es imposible impedir por completo que terceros envíen transferencias a una dirección pública de la cadena de bloques.
Cualquier participante de la red puede enviarte activos. En algunos casos, también puede crear un evento de token que afecte a la visualización de tu dirección en el explorador.
Por lo tanto, la tarea principal de los sistemas de protección no es necesariamente impedir la aparición de transacciones de spam en la cadena de bloques, sino evitar que se utilicen como fuente de direcciones de confianza.
De aquí a 2026, la protección más eficaz se basará en varios niveles: el filtrado de operaciones sospechosas, el marcado de direcciones fraudulentas, la detección de duplicados en el momento del envío y el uso de libretas de direcciones verificadas previamente.
Conclusión
Las transferencias extrañas de 0,01 $, 0,0001 $ o 0 USDT pueden formar parte de un ataque a gran escala de «envenenamiento de direcciones» (Address Poisoning).
Los estafadores no necesitan hackear el monedero, obtener la clave privada ni explotar una vulnerabilidad del contrato inteligente.
En algunos casos, basta con generar una dirección similar, enviar una cantidad mínima y esperar a que el usuario la copie del historial de transacciones.
La coincidencia de los últimos cuatro o cinco caracteres no es prueba de la autenticidad de la dirección. Incluso la coincidencia de varios caracteres en ambos extremos puede ser el resultado de una selección deliberada.
La regla de seguridad fundamental en 2026: el historial de transacciones es un registro de eventos, no una agenda de contactos de confianza.
Comprueba la dirección completa del destinatario, utiliza las alertas de seguridad de MetaMask y las etiquetas de Etherscan, y para las transferencias recurrentes, guarda las direcciones en una lista de contactos previamente verificada.
Una sola diferencia que pase desapercibida en la parte central de la dirección puede salirte mucho más cara que todas las microtransacciones con las que los estafadores llenan tu monedero.