Cómo el Envenenamiento de Direcciones Vació $50M en USDT: La Explosión de un Error de Billetera que Nadie Vio Venir

Un solo clic. Cincuenta millones de dólares. Desaparecidos.

El ataque fue brutal en su simplicidad. Los ciberdelincuentes no hackearon un contrato inteligente complejo ni explotaron una vulnerabilidad de código oscura. En su lugar, se aprovecharon de algo mucho más básico: la interfaz humana. Un usuario, probablemente con prisa, copió y pegó una dirección de billetera que parecía legítima. Era casi idéntica a la suya, salvo por unos pocos caracteres manipulados. La transacción se firmó, los fondos se enviaron y, en un instante, se esfumaron en la blockchain, imposibles de recuperar.

El anzuelo perfecto: direcciones casi idénticas

La técnica, conocida como 'envenenamiento de direcciones' o 'address poisoning', es el equivalente cripto al phishing de alta precisión. Los atacantes generan direcciones de billetera que comienzan y terminan con los mismos caracteres que la de la víctima. Para el ojo humano, distraído o confiado, son indistinguibles. Los monederos que no validan la totalidad de la cadena de caracteres, o que muestran una versión abreviada, facilitan el engaño. El usuario cree estar enviando fondos a sí mismo o a un contacto conocido, pero en realidad está financiando directamente a un criminal.

Un recordatorio costoso para la autodeposición

Este incidente de $50 millones no es un fallo de la tecnología blockchain subyacente, sino un fracaso en las capas de interfaz y educación. Subraya una verdad incómoda: la seguridad absoluta de las claves privadas es inútil si el eslabón más débil—la persona que las usa—es engañado. En un ecosistema que se enorgullece de la autodeposición, la responsabilidad última recae en el individuo. Claro, es liberador hasta que un error de copia y pega cuesta más que el PIB de una pequeña nación—todo en nombre de evitar a los intermediarios 'obsoletos' como, no sé, un banco con un departamento de fraude.

La próxima vez que copies una dirección, mírala dos veces. Mejor aún, mírala tres. Porque en la cadena, no hay llamada a servicio al cliente que pueda revertir un error de $50 millones.

En Resumen

• Un individuo transfirió accidentalmente casi 50 millones USDT a un estafador después de copiar una dirección de billetera falsa de transacciones pasadas.
• Los fondos robados fueron rápidamente convertidos de USDT a DAI, luego a más de 16,000 ETH, y depositados en Tornado Cash para ocultarlos.
• Después de la pérdida, la víctima emitió una alerta en cadena solicitando que se devolviera la mayor parte de los fondos, incluyendo advertencias legales y ofreciendo una recompensa de $1 millón por la recuperación total.

Pequeña Transferencia de Prueba Conduce a Pérdida de $50M USDT

El investigador en cadena Web3 Antivirus compartió en X que la víctima perdió 49,999,950 USDT después de copiar inadvertidamente una dirección de billetera fraudulenta de su historial de transacciones. El usuario primero realizó una pequeña transferencia de prueba a lo que creía que era la dirección correcta antes de enviar los $50 millones completos minutos después. Aunque la transferencia inicial parecía inocua, sentó las bases para una pérdida significativa.

EyeOnChain, un analista en cadena, explicó que la estafa aprovechó la transacción inicial de prueba de 50 USDT. El atacante luego creó una billetera casi idéntica a la original, manteniendo los primeros y últimos caracteres iguales mientras se aprovechaba de interfaces de billetera que ocultan la sección del medio con “…”. Cuando la víctima intentó luego enviar los 49,999,950 USDT restantes, copió la dirección del historial de transacciones en lugar de verificarla manualmente. Confiando en los caracteres iniciales y finales familiares, el usuario envió sin saberlo el monto completo a la billetera del estafador. Esta secuencia de eventos la convirtió en una de las mayores pérdidas por estafa en cadena registradas este año.

Poco después de recibir los fondos robados, el atacante se movió rápidamente para ocultarlos : en 30 minutos, cambiaron 50 millones de USDT a DAI usando MetaMask Swap, convirtieron todo DAI en 16,690 ETH, y depositaron 16,680 ETH en Tornado Cash, ocultando efectivamente los activos.

La Respuesta de la Víctima y la Mecánica del Envenenamiento de Direcciones

Tras la pérdida, la víctima publicó una alerta en cadena solicitando que se devolviera el 98% de los fondos robados dentro de 48 horas, incluyendo advertencias legales y ofreciendo una recompensa de $1 millón para sombreros blancos si el atacante devolvía el monto total. El análisis de la billetera mostró que había estado activa aproximadamente dos años y principalmente manejaba transferencias de USDT, con los fondos retirados de Binance poco antes del incidente.

Generalmente, el envenenamiento de direcciones no explota fallas en contratos inteligentes o criptografía. En cambio, se aprovecha de comportamientos comunes de los usuarios. ¿Cómo ocurre entonces?

• El estafador inicia una pequeña transferencia o polvo usando una billetera que se asemeja mucho al destinatario previsto, haciendo que parezca legítima a primera vista.
• Esta dirección fraudulenta aparece luego en el historial de transacciones de la víctima, mezclándose con otras transacciones pasadas y creando una falsa sensación de seguridad.
• Cuando el usuario copia esta dirección de su historial para enviar fondos, transfiere inadvertidamente los activos al atacante en lugar del destinatario correcto.

Los riesgos ilustrados por casos como este reflejan un auge más amplio en ataques en el espacio cripto. El año 2025 ha sido particularmente activo para actores maliciosos que atacan plataformas cripto. Cointribune reportó que los hackeos en el sector llevaron a pérdidas de $3.4 mil millones, marcando el total anual más alto desde 2022. La mayor parte del daño provino de un pequeño número de ataques mayores, con solo tres brechas representando el 69% del valor total robado.

¡Maximiza tu experiencia en Cointribune con nuestro programa "Read to Earn"! Por cada artículo que leas, gana puntos y accede a recompensas exclusivas. Regístrate ahora y comienza a acumular beneficios.