Estafa del envenenamiento de dirección en USDT: cómo funciona, los casos de 68 y 129 millones de dólares y la defensa
El estafador no invade la billetera: coloca en el historial de la víctima una dirección parecida a la del destinatario y espera la copia equivocada. En 2024, el truco se llevó 68 millones de dólares en bitcoin envuelto y cerca de 129 millones en USDT en la red TRON.
Referencia histórica: 17 de diciembre de 2024. Publicado en este sitio el 2 de noviembre de 2026. Las fechas del texto identifican el período tratado.
En este artículo
En resumen
- En el envenenamiento de dirección, el estafador crea una billetera con el mismo inicio y el mismo final de la billetera de destino de la víctima y envía una transacción mínima, para que aparezca en el historial.
- La víctima copia la dirección del historial, sin verificar el medio, y envía el dinero al estafador. Una transferencia confirmada no se puede deshacer.
- En mayo de 2024, 1.155 WBTC (cerca de 68 millones de dólares) fueron enviados al estafador; en noviembre, cerca de 129 millones en USDT en TRON. En los dos casos, casi todo volvió, algo raro.
- La protección es simple: nunca copiar del historial, verificar la dirección completa, usar una libreta de direcciones y hacer un envío de prueba.
Un pago de millones de dólares en USDT sale de la billetera de una empresa hacia una dirección que parece la del proveedor. Los primeros y los últimos caracteres coinciden. El medio, no. El dinero llega a un estafador. Así funciona el envenenamiento de dirección (*address poisoning*), un fraude que no depende de invadir ningún sistema: depende de una verificación apresurada. Dos casos de 2024 muestran el tamaño del problema.
Cómo funciona la estafa
Las direcciones de billetera son secuencias largas y difíciles de memorizar. Por eso, casi todos verifican solo el comienzo y el final. El estafador explota ese hábito en cuatro etapas:
- Observación. Monitorea la blockchain, que es pública, e identifica transferencias grandes entre dos direcciones.
- Falsificación. Con programas que generan millones de billeteras, produce una dirección con el mismo inicio y el mismo final del destinatario real.
- Contaminación. Envía a la víctima una transacción sin valor o de valor mínimo, desde la dirección parecida. Esta pasa a figurar en el historial de la billetera, junto a la dirección verdadera.
- Error. En la próxima transferencia, la víctima abre el historial, copia la dirección que parece correcta y la pega. El pago va al estafador.
Nada de esto exige acceso a la clave privada de la víctima.
El caso de 68 millones de dólares en bitcoin envuelto
El 3 de mayo de 2024, un usuario envió 1.155 WBTC, versión del bitcoin en Ethereum, a una dirección falsa. La pérdida, de cerca de 68 millones de dólares, fue señalada primero por CertiK y confirmada por Cyvers y por el investigador ZachXBT, según CoinDesk. El estafador imitó los seis primeros y los seis últimos caracteres del destinatario habitual y usó como señuelo una transferencia de 0,05 ETH.
El desenlace fue inusual. El estafador convirtió el monto en ETH y, tras una negociación on-chain en la que la víctima aceptó dejar el 10% como recompensa, empezó a devolver los fondos el 10 de mayo. En más de 225 transacciones, devolvió cerca de 22.960 ETH (65,7 millones de dólares en ese momento), más del 96% del monto, según Cointelegraph. Fue una excepción, no la regla.
El caso de 129 millones de dólares en USDT en TRON
El 20 de noviembre, la empresa de seguridad Scam Sniffer reportó el ataque a un inversionista que enviaba cerca de 129 millones de dólares en USDT en la red TRON. La dirección de destino correcta empezaba con “TMS” y terminaba en “bu8”; la falsa empezaba con “THc” y terminaba en “bu8”. Después de una prueba de 100 USDT, la víctima envió el resto a la dirección equivocada. Según Scam Sniffer, el caso era “un ejemplo clásico” de envenenamiento.
El estafador devolvió 116,7 millones de USDT en una hora y los 12,96 millones restantes cuatro horas después, y la víctima reenvió el monto a la dirección correcta, según CryptoSlate. La razón de la devolución no está clara. El punto central es otro: la víctima hizo antes una prueba de 100 USDT y, aun así, se equivocó con la dirección del pago principal. La prueba solo protege cuando la dirección viene de una fuente confiable.
- Enviados al estafador el 03/05/2024, cerca de 68 millones de dólares
- 1.155 WBTC
- Parte devuelta en el caso de mayo, en ETH
- 96%
- USDT enviados a la dirección falsa en TRON el 20/11/2024
- ~129 millones de dólares
- Tiempo hasta que el USDT fue devuelto por completo, según CryptoSlate
- ~4 h
Cómo protegerse
La defensa es procedimental. Vale para cualquier red, y más aún para quienes hacen pagos recurrentes en USDT, porque la rutina crea el hábito de confiar en el historial.
| Práctica | Por qué funciona |
|---|---|
| Nunca copiar la dirección del historial de transacciones | El historial es justamente lo que el estafador contamina |
| Verificar la dirección completa, carácter por carácter | El ataque solo engaña a quien mira el inicio y el final |
| Usar la libreta de direcciones de la billetera o la plataforma | Una dirección guardada tras la verificación no depende de la memoria ni del historial |
| Confirmar la dirección con el destinatario por otro canal | Reduce el riesgo de un correo o una conversación adulterados |
| Hacer un envío de prueba copiando la dirección del canal oficial | Si la prueba llega al destino correcto, el pago principal usa la misma dirección |
| Verificar la dirección en la pantalla de la billetera de hardware | La pantalla del dispositivo muestra lo que realmente se va a firmar |
Los dos casos terminaron en devolución, pero ninguna regla obliga al estafador a devolver. En la práctica, el dinero enviado a la dirección equivocada suele estar perdido. Trate las transacciones minúsculas e inesperadas, provenientes de direcciones desconocidas, como una señal de alerta, y nunca interactúe con ellas.
Para empresas: convertir la verificación en rutina
Quien paga a proveedores con frecuencia corre más riesgo, porque la rutina induce el atajo de repetir el último pago. El control central es separar a quien registra la dirección de quien aprueba el envío, y nunca armar el pago a partir del historial. Algunos controles simples:
- Registrar la dirección de cada proveedor una sola vez, con confirmación por un segundo canal (por ejemplo, una llamada a un teléfono ya conocido), y reutilizar solo el registro.
- Exigir doble aprobación para montos superiores a un límite definido por la empresa, con verificación de la dirección completa por parte de los dos aprobadores.
- Bloquear envíos a direcciones fuera de la lista registrada, cuando la plataforma lo permita.
- Registrar el hash de cada transacción y confirmar el destino en el explorador público de la red (en TRON, Tronscan) justo después del envío.
Para entender la base de la verificación, conviene repasar el formato de las direcciones en TRON y qué es en realidad el USDT. Otros fraudes están en la categoría Seguridad.
Preguntas frecuentes
¿Qué es el envenenamiento de dirección (address poisoning)?
Es una estafa en la que el delincuente genera una billetera con el mismo inicio y el mismo final de la dirección que usa la víctima y le envía una transacción mínima. La dirección falsa entra en el historial, y la víctima, al copiarla, envía el dinero al estafador.
¿La estafa necesita mi clave privada o mi contraseña?
No. Se basa solo en datos públicos de la blockchain y en un error de verificación. Por eso, la protección es de procedimiento y no depende de un antivirus ni de una contraseña fuerte.
¿Se puede recuperar el USDT enviado a la dirección equivocada?
En general, no. Las transacciones confirmadas son irreversibles. Tether puede congelar USDT en direcciones vinculadas a delitos, a pedido de las autoridades, pero no hay garantía de devolución. En los dos casos de 2024, los estafadores devolvieron casi todo: en el primero, tras una negociación; en el segundo, sin explicación pública.
¿Cómo saber si recibí una transacción de envenenamiento?
Desconfíe de transferencias de valor cero o irrisorio provenientes de direcciones desconocidas, sobre todo justo después de un pago suyo. Compare siempre la dirección completa con la que le dio el destinatario por un canal confiable.
¿Te resultó útil? Compártelo con quien paga a proveedores en el exterior.
Fuentes
- Exploiter steals $68M worth of crypto through address poisoning · CoinDesk, 3 may 2024
- WBTC address poisoner returns nearly all funds after negotiations · Cointelegraph, 10 may 2024
- Crypto phishing scam nets $129 million in USDT then funds mysteriously return · CryptoSlate, 20 nov 2024
Contenido informativo, sin recomendación de inversión. Las marcas de terceros citadas pertenecen a sus titulares; la mención es periodística y no indica asociación ni vínculo con Swapo Finance.
Pagos internacionales con la velocidad del Pix y las reglas del Banco Central.
Convierte reales en USDT y envíalos al proveedor en la red TRON. Tarifa única mostrada antes, política de segregación patrimonial, atención humana. Activo virtual sin cobertura del FGC; solicitud de autorización presentada ante el BCB.
