Alerta de seguridad: Pérdida de casi $50 millones en USDT por ataque de "address poisoning"

Un trader de criptomonedas sufrió una devastadora pérdida de 49.999.950 USDT (casi 50 millones de dólares) el 20 de diciembre de 2025, al ca...

Un trader de criptomonedas sufrió una devastadora pérdida de 49.999.950 USDT (casi 50 millones de dólares) el 20 de diciembre de 2025, al caer en un sofisticado ataque conocido como "address poisoning" o envenenamiento de direcciones. Este incidente, uno de los mayores robos individuales en cadena de este tipo en 2025, resalta los peligros persistentes en el ecosistema crypto, donde errores humanos simples pueden costar fortunas enteras.

El ataque comenzó cuando la víctima retiró una gran cantidad de USDT desde Binance hacia su wallet personal. Siguiendo una práctica recomendada de seguridad, primero envió una transacción de prueba pequeña, de solo 50 USDT, a la dirección correcta para verificar que todo funcionara bien. Sin embargo, los atacantes, que aparentemente monitoreaban transacciones de alto valor en la blockchain (posiblemente mediante scripts automatizados), actuaron con rapidez. Generaron una dirección falsa que coincidía exactamente en los primeros y últimos caracteres con la dirección legítima —un truco común, ya que la mayoría de las wallets muestran solo el inicio y el final de las direcciones largas, ocultando el medio con puntos suspensivos.

Para "envenenar" el historial de transacciones de la víctima, el estafador envió una cantidad mínima (conocida como "dust" o polvo) desde esa dirección falsa a la wallet de la víctima. Esto insertó la dirección maliciosa en el registro reciente de transacciones, haciendo que pareciera familiar y confiable. Apenas 26 minutos después de la prueba, la víctima copió una dirección de su historial para enviar el monto completo, seleccionando inadvertidamente la falsa. Los fondos irrevertibles terminaron en manos del atacante.

Los estafadores no perdieron tiempo: en menos de 30 minutos, intercambiaron todo el USDT por DAI (una stablecoin descentralizada que no puede ser congelada, a diferencia de USDT que Tether puede bloquear), luego por Ethereum, y depositaron gran parte en Tornado Cash, un mixer que ofusca el rastro de las transacciones. La víctima, desesperada, envió un mensaje on-chain ofreciendo una recompensa de 1 millón de dólares como "white-hat bounty" por la devolución del 98% de los fondos, amenazando con acciones legales internacionales si no se cumplía en 48 horas. Hasta ahora, no hay indicios de recuperación, similar a muchos casos previos.

Este tipo de estafa, que explota hábitos humanos más que vulnerabilidades técnicas, ha cobrado impulso en 2025, contribuyendo a pérdidas totales en crypto que superan los 3.400 millones de dólares según firmas como Chainalysis. Incidentes similares incluyen una pérdida de 71 millones en WBTC en 2024 (que sí se recuperó parcialmente tras negociaciones). El "address poisoning" no requiere hackear wallets ni contratos inteligentes; basta con que la víctima copie la dirección equivocada del historial.

Para evitar caer en esta trampa, la regla esencial es verificar siempre la dirección completa carácter por carácter, especialmente en transferencias grandes. No confíes solo en el inicio y final, ni copies directamente del historial reciente sin chequear. Otras recomendaciones incluyen usar wallets con verificación en pantalla (como hardware wallets), mantener listas de direcciones confiables separadas, ignorar transacciones "dust" no solicitadas y habilitar alertas de seguridad avanzadas. Un segundo de atención puede salvar millones. En un mundo donde las transacciones blockchain son irreversibles, la vigilancia eterna es la mejor defensa contra estos engaños cada vez más refinados.