Por qué el address poisoning funciona sin robar claves 🔐

Qué es el address poisoning

El address poisoning es un ataque no contra tu billetera, sino contra tu atención. El estafador hace que en tu historial de transacciones aparezca una dirección parecida a una conocida. Luego apuesta por un hábito típico: copias la dirección desde el historial o desde las últimas transacciones y envías los fondos. Pero por accidente eliges la dirección equivocada. 

El punto es que nadie te roba las claves. Tú mismo confirmas la transacción en tu billetera, solo que con un destinatario incorrecto.

Cómo funciona

Normalmente el esquema es simple:

• el estafador envía a tu billetera una transferencia pequeña para que su dirección aparezca en tu historial
• la dirección se ve muy similar a una que ya usaste o que ves con frecuencia
• la próxima vez que haces una transferencia, tomas la dirección del historial y te equivocas
• el dinero va al estafador porque la transacción está firmada correctamente por ti

Esto es especialmente peligroso cuando la app muestra la dirección abreviada, solo el inicio y el final. El ojo ve la coincidencia y el cerebro confía automáticamente.

Por qué funciona sin acceso a las claves

Las claves privadas se necesitan para firmar transacciones en tu lugar. En este caso el estafador no firma nada. Solo crea “ruido” en tu historial para que tú mismo elijas una dirección incorrecta. Para la blockchain es una transferencia normal, por eso casi siempre es imposible cancelarla.

Cómo no caer

La mejor protección es la disciplina:

• no copies la dirección desde el historial de transacciones
• verifica la dirección completa, no solo los primeros y últimos caracteres
• para direcciones importantes usa contactos o una lista blanca, si existe
• para montos grandes haz una transferencia de prueba con una cantidad pequeña

Si ya enviaste a la dirección equivocada

En la mayoría de los casos no se podrá recuperar el dinero. Pero si la transferencia fue a través de un exchange o un servicio con soporte, conviene escribir de inmediato a soporte y enviar los datos de la transacción. A partir de ahí depende de la plataforma y de la situación.