Envenenamiento de direcciones y secuestro del portapapeles: cuando se cuela la dirección equivocada

Las direcciones de cripto son cadenas largas de caracteres que casi nadie lee completas. Los estafadores explotan esa costumbre con dos trucos relacionados: el envenenamiento de direcciones (address poisoning), que planta una dirección casi idéntica en tu historial de transacciones, y el secuestro del portapapeles (clipboard hijacking), que cambia en silencio la dirección que copiaste por otra que controla el atacante. Ambos buscan que envíes fondos al lugar equivocado.

En qué consisten estas estafas

El envenenamiento de direcciones siembra en el historial de tu wallet una transacción procedente de una dirección diseñada para parecerse a una que tú usas. Más tarde, cuando copias una dirección de tu propio historial, puedes tomar por error la del impostor. El secuestro del portapapeles es malware instalado en tu dispositivo que vigila si copias una dirección de cripto y la sustituye al instante por la del atacante, de modo que pegas el destino equivocado sin darte cuenta.

Cómo funcionan, paso a paso

1. Envenenamiento de direcciones

El atacante genera una dirección cuyos primeros y últimos caracteres coinciden con los de otra con la que interactúas a menudo, porque esas son las partes que la gente mira de pasada. Te envía una transacción de importe mínimo o nulo para que su dirección clonada aparezca en tu historial. Cuando después reutilizas una dirección copiándola de ese historial, corres el riesgo de copiar la suya. Y entonces envías fondos reales directamente al atacante.

2. Secuestro del portapapeles

El malware, a menudo incluido en una descarga dudosa o en una app falsa, se ejecuta discretamente en tu dispositivo. Vigila tu portapapeles y, en cuanto detecta una dirección de cripto, la sustituye por una del atacante. Copias la dirección correcta, la pegas y el campo muestra ahora otra distinta que quizá no examines. Confirmas la transacción y los fondos van a parar al ladrón.

Las señales de alarma exactas

• Transacciones de importe mínimo o nulo procedentes de direcciones clonadas desconocidas que aparecen en tu historial.
• Una dirección pegada cuyos caracteres centrales no coinciden con lo que copiaste, aunque el principio y el final sí coincidan.
• Reutilizar direcciones copiándolas del historial de transacciones en lugar de tomarlas de una fuente verificada.
• Haber instalado hace poco software o herramientas de wallet no oficiales antes de que las direcciones empezaran a comportarse de forma extraña.
• Cualquier discrepancia, por pequeña que sea, entre el destino que pretendías y el que se muestra.

Cómo evitarlo

Nunca copies una dirección de tu historial de transacciones para reutilizarla, porque ahí es exactamente donde se esconde el envenenamiento. En su lugar, pide la dirección al destinatario por un canal de confianza cada vez, o usa un contacto guardado y verificado en tu wallet que hayas configurado con cuidado una sola vez.

Verifica siempre la dirección completa antes de enviar, no solo los primeros y últimos caracteres. Comprueba también varios caracteres del centro, ya que las direcciones clonadas están hechas para engañar en los extremos. Para transferencias grandes, envía primero una pequeña cantidad de prueba y confirma que llega correctamente antes de mandar el resto. Mantén limpio tu dispositivo instalando software de wallet únicamente desde fuentes oficiales, y sospecha si una dirección pegada difiere alguna vez de la que copiaste, porque eso apunta a malware de portapapeles.

Estos dos trucos son peligrosos precisamente porque explotan la comodidad y no el miedo. No hay ningún mensaje urgente ni presión emocional; simplemente estás haciendo algo rutinario, como pagar a una wallet que ya has usado antes, y el ataque se cuela aprovechando tus propias buenas costumbres vueltas un poco descuidadas. Por eso las defensas tienen que ver con el proceso y no con estar alerta en un momento concreto. Si siempre obtienes las direcciones de un contacto verificado o directamente del destinatario, siempre lees la cadena completa y siempre pruebas los envíos grandes, eliminas la oportunidad de la que dependen estas estafas. Convertir esos pasos en una rutina fija significa que sigues protegido incluso los días en que estás cansado, distraído o con prisa.

Qué hacer si te ha afectado

• Si enviaste fondos a una dirección envenenada o sustituida, ten presente que la transferencia es probablemente irreversible y detén de inmediato cualquier envío adicional.
• Si sospechas que hay secuestro del portapapeles, desconéctate de internet, ejecuta un análisis con un antimalware de confianza y no realices transacciones hasta que el dispositivo esté limpio. Plantéate mover los fondos a una wallet en un dispositivo en el que confíes, usando una frase semilla nueva si la propia wallet puede estar expuesta.
• Elimina el software sospechoso y cualquier app o extensión de navegador no oficial instalada recientemente.
• Denuncia el robo ante la policía local y ante el servicio nacional de denuncia de ciberdelincuencia o fraude, y conserva los detalles de la transacción para los investigadores. Algunas firmas de seguridad on-chain de prestigio rastrean campañas de envenenamiento.

Una promesa nuestra: TokenSpin nunca te enviará una dirección de wallet para que pagues, ni te pedirá que conectes una wallet o compartas una frase semilla. Verifica siempre cualquier dirección por un canal directo y de confianza antes de enviar.