El envenenamiento de direcciones es una estafa en la que un atacante genera una dirección parecida cuyos primeros y últimos caracteres coinciden con los de una que ya usas, y luego la planta en tu historial de transacciones mediante una transferencia dust o de valor cero, con la esperanza de que algún día la copies en lugar de la dirección real. La transferencia plantada no roba nada por sí misma: no crea ninguna aprobación, no toca ninguna clave y no da al atacante ningún control sobre tu cartera — todo el ataque es una apuesta a un futuro error de copiar y pegar. Por eso la defensa es conductual: nunca tomes una dirección del historial de transacciones, verifica la parte central de la dirección y no solo los extremos truncados, y envía una pequeña transferencia de prueba antes de una grande. Ninguna cartera puede revertir una transferencia que aprobaste, así que en una cartera totalmente non-custodial como WATS, donde el usuario tiene las claves y WATS nunca tiene ninguna, esa comprobación antes de firmar es de verdad la última línea de defensa.
La estafa que explota el copiar y pegar
La mayoría de las estafas cripto atacan tus claves o tus firmas. El envenenamiento de direcciones ataca algo más blando: tus hábitos. El atacante nunca toca tu cartera y nunca te pide firmar nada. Simplemente se las arregla para que una dirección parecida aparezca en tu historial de transacciones — y espera el día en que la copies en lugar de la real. Un pegado desatento, y una transferencia destinada a tu propia dirección o a un contacto habitual va al atacante, de forma irreversible.
Cómo funciona realmente el envenenamiento
El ataque empieza con la generación. Las direcciones cripto son lo bastante largas como para que los atacantes puedan producir a bajo coste direcciones vanity que coinciden en los primeros y últimos caracteres con la tuya o con la de alguien con quien operas — exactamente los caracteres que muestran las interfaces de las carteras. Luego viene la siembra. A veces es una minúscula transferencia "dust" de unos céntimos enviada a tu dirección desde la dirección parecida. En las cadenas EVM lo más habitual es una transferencia de tokens de valor cero: el estándar ERC-20 permite transferir un importe de cero, así que un atacante puede llamar a transferFrom haciendo referencia a tu dirección sin tener ninguna autorización (allowance) y aun así emitir un evento Transfer perfectamente válido — que los exploradores y los feeds de actividad de las carteras muestran como una transacción corriente entre tú y la dirección falsa. Más barato todavía por víctima son los contratos de token desechables que emiten eventos Transfer fabricados, por lotes, para tokens que nadie tuvo jamás. Se use el método que se use, el coste para el atacante es un poco de gas y el resultado es idéntico: ahora hay un señuelo convincente en tu historial, esperando pacientemente.
Por qué funciona: truncamiento y confianza en el historial
Dos convenciones de interfaz hacen eficaz la trampa. Primera: las carteras y los exploradores truncan casi universalmente las direcciones a algo como 0x1a2b…9f8e, así que una dirección parecida diseñada para coincidir con esos caracteres visibles es indistinguible a simple vista. Las sumas de verificación (checksum) no te rescatan aquí: una dirección envenenada es una dirección válida, con checksum correcto, que simplemente pertenece a otra persona — no hay ninguna entrada malformada que el software pueda rechazar. Segunda: la gente trata su propio historial de transacciones como una libreta de direcciones de confianza: "la dirección a la que envié la semana pasada" se siente segura de reutilizar. El envenenamiento convierte exactamente esa confianza en arma. Nada en la entrada falsa parece anómalo; se sienta junto a transacciones legítimas, con formato idéntico, a menudo imitando la forma truncada de una contraparte real.
Lo que el envenenamiento puede y no puede hacer
Conviene decirlo claramente: una transacción de envenenamiento, por sí sola, no se lleva nada. Recibir dust no compromete tus claves; una transferencia de valor cero no concede ninguna aprobación; el atacante no gana ningún poder sobre tu cartera. Todo el ataque es una apuesta a un error futuro tuyo. Esa es la buena noticia — significa que la defensa es enteramente conductual y, a diferencia de un compromiso de claves, no hay nada que remediar. Ignora el dust (interactuar con tokens "regalo" desconocidos es otra familia de estafas) y el señuelo permanece inofensivo para siempre.
Por qué el hardware y la autenticación no lo detienen
Esta es la parte que la gente juzga mal. Toda capa que protege una clave — un dispositivo hardware, una passkey, una tarjeta que acercas para autenticar — responde a una sola pregunta: ¿es la persona correcta quien está aprobando esta transacción? El envenenamiento de direcciones nunca discute eso. La firma es genuina, la aprobación es deliberada, la clave no está comprometida; solo el destino es incorrecto. La tarjeta metálica NFC de WATS ilustra limpiamente la distinción: no almacena ninguna clave privada, se acerca para autenticar frente a las claves que viven en las apps de WATS, y está más cerca de una llave de seguridad física que de una bóveda de almacenamiento en frío. Eso la convierte en una protección sólida frente a que otra persona mueva tus fondos, y en ninguna protección en absoluto frente a que seas tú quien envíe fondos a una dirección copiada de la fila equivocada de tu historial. La comprobación del destino tiene que ocurrir en pantalla, hecha por ti, antes de aprobar — por eso firmar a ciegas algo que no has leído es el primer hábito que conviene abandonar.
Los hábitos que te vuelven inmune
Cuatro hábitos cierran la puerta. Nunca copies direcciones del historial de transacciones — tómalas de la interfaz del propio destino, de una página oficial o de un contacto guardado. Verifica más que los extremos: antes de firmar, comprueba también una sección intermedia de la dirección, ya que las imitaciones se generan para coincidir precisamente con los extremos que muestran las interfaces. Usa un contacto guardado o un servicio de nombres legible para contrapartes recurrentes, de modo que los envíos rutinarios no impliquen copiar nada. Y para transferencias grandes o primerizas, envía un pequeño importe de prueba y confirma la llegada antes de comprometer el resto. Combina esto con la higiene más amplia de las mejores prácticas de seguridad de carteras — y recuerda que el momento de firmar es siempre la última línea de defensa, el mismo principio que rige a la hora de conectar una cartera a una dApp de forma segura.
Dónde encaja una cartera como WATS
Ninguna cartera puede deshacer una transferencia que aprobaste, así que la pregunta práctica es si tu cartera mantiene la decisión en tus manos y elimina la fricción que hace que la gente se apresure. WATS es totalmente non-custodial: el usuario tiene las claves y WATS nunca tiene ninguna, en Ethereum, Arbitrum, Optimism, Base, Polygon, BNB Chain, Solana y TON. Del lado de la fricción, WATS cobra las comisiones de red en un solo token, ATS, en lugar del token de gas nativo de cada cadena — usando abstracción de cuenta ERC-4337 en EVM y LayerZero OFT para que un único saldo de ATS funcione omnichain. Eso no es un descuento; cambia qué token paga, no cuánto cuesta la transacción. Lo que sí cambia es el comportamiento: ese pequeño envío de prueba que de otro modo te saltarías porque no tienes el token de gas en esa cadena concreta pasa a ser algo que siempre puedes hacer. El ATS recaudado como comisión alimenta una quema que lleva el suministro de 100M hasta 30M, y WATS es la primera y única cartera que combina las comisiones de token único ERC-4337 y OFT con esa quema; la mecánica está en la página de la comisión ATS. Si vas a dar un paso concreto después de leer esto, que sea este: deja de sacar direcciones de tu historial y, la próxima vez que pagues a una dirección nueva en WATS, envía primero un pequeño importe de prueba y verifica la parte central de la dirección, no solo sus extremos, antes de aprobar el resto.
Preguntas frecuentes
¿Qué es un ataque de envenenamiento de direcciones?
Es una estafa en la que un atacante genera una dirección parecida que coincide con los primeros y últimos caracteres visibles de una que usas, y luego la planta en tu historial de transacciones mediante una transferencia dust o de valor cero. El ataque no se lleva nada por sí mismo — espera a que más tarde copies la dirección falsa de tu historial y le envíes fondos. La defensa es conductual: nunca obtengas direcciones del historial y verifica más allá de los extremos truncados.
Recibí dust o un token extraño de una dirección desconocida — ¿estoy comprometido?
No. Las transferencias entrantes no pueden robar claves, crear aprobaciones ni controlar tu cartera — cualquiera puede enviar cualquier cosa a una dirección pública. El riesgo surge solo si más tarde copias la dirección del atacante por error, o si interactúas con el contrato de un token desconocido (un patrón de estafa distinto — simplemente no lo toques). Ignora el dust y tus fondos siguen exactamente igual de seguros que antes.
¿Un dispositivo hardware o una tarjeta NFC me protegen del envenenamiento de direcciones?
No, y WATS explica claramente por qué. La tarjeta metálica NFC de WATS no almacena ninguna clave privada; se acerca para autenticar frente a las claves que viven en las apps de WATS, más cerca de una llave de seguridad física que de una bóveda de almacenamiento en frío. La autenticación demuestra quién está aprobando una transacción, no adónde van los fondos — y en el envenenamiento de direcciones la aprobación es genuina y lo que está mal es el destino. Solo leer la dirección de destino antes de aprobar derrota este ataque.
¿Cómo debo verificar una dirección antes de enviar?
Comprueba más que los extremos: las imitaciones se generan específicamente para coincidir con los primeros y últimos caracteres que muestran las interfaces, así que compara también una sección intermedia. Mejor aún, evita la comparación manual en pagos rutinarios usando contactos guardados, y en transferencias grandes o primerizas envía un pequeño importe de prueba y confirma su llegada antes de enviar el resto. En WATS, las comisiones de red se cobran en ATS y no en el token de gas nativo de cada cadena, así que ese envío de prueba es posible en cualquier cadena soportada sin tener que conseguir antes un activo de gas aparte.