Cuando los hackers apuntan a tus «hábitos», ¿cómo reducir desde la fuente el riesgo de envenenamiento de direcciones?

En el mundo de Web3, la primera reacción de muchas personas ante la seguridad es proteger las claves privadas, las frases de recuperación y los permisos de autorización.

Por supuesto, estos son importantes, pero en la práctica, hay un tipo de riesgo que no proviene de la filtración de claves, ni depende de vulnerabilidades en los contratos, sino que ocurre en una operación tan común como copiar una dirección: copiar la dirección.

El envenenamiento de direcciones, precisamente, aprovecha esto. No se obtiene ganancia mediante hackear sistemas, sino mediante disfraz, interferencia e inducción, haciendo que el usuario, en un proceso de transferencia aparentemente normal, envíe activos a una dirección equivocada.

Este tipo de ataques no son difíciles de entender en términos técnicos; lo que los hace complicados de prevenir, es que aprovechan con precisión los hábitos visuales y las dependencias de ruta que los usuarios tienen en sus operaciones diarias.

¿Qué es el envenenamiento de direcciones?

El envenenamiento de direcciones consiste en que un atacante genera una dirección falsa que se asemeja mucho visualmente a la dirección que el usuario usa habitualmente, y mediante transacciones de monto cero o muy pequeño, mezcla esa dirección en el historial del usuario.

Cuando el usuario necesita hacer una transferencia por segunda vez, si simplemente copia la dirección del historial sin verificar cada carácter, puede terminar enviando los activos a la dirección disfrazada preparada por el atacante.

Este tipo de ataque no es raro. En los últimos dos años, ya han surgido varios casos públicos en la cadena, demostrando que el envenenamiento de direcciones no solo causa pérdidas reales, sino que incluso hábitos como hacer una prueba con un monto pequeño antes de una transferencia oficial, no siempre son suficientes para evitar el riesgo.

Aún más grave, debido a que Fusaka ha reducido significativamente las tarifas de Gas tras su actualización, el costo marginal de los ataques de envenenamiento de direcciones ha bajado notablemente. Según Blockaid, en enero de 2026, los intentos de envenenamiento en la cadena alcanzaron 3.4 millones, un aumento de 5.5 veces respecto a noviembre del año pasado (628,000), mostrando un crecimiento explosivo en la frecuencia de estos ataques.

¿Por qué el envenenamiento de direcciones es tan fácil de que alguien caiga en la trampa?

Desde un punto de vista técnico, el envenenamiento de direcciones no es complicado; lo que realmente lo hace difícil de prevenir, es que toca varias debilidades naturales en las operaciones de los usuarios.

1. La propia dirección no es adecuada para verificar manualmente

Una cadena de caracteres en una dirección suele tener 42 caracteres. Para la mayoría de los usuarios, verificar cada carácter de la dirección completa no es una operación realista, estable ni sostenible. Muchas veces, solo revisan las primeras y las últimas pocas letras, y si parecen “parecer esa dirección”, continúan con la siguiente operación. Y los atacantes diseñan sus engaños precisamente en torno a este hábito.

2. Las transacciones maliciosas se mezclan con el ruido de transacciones normales

Las transacciones de envenenamiento suelen realizarse con montos muy bajos o en cero, y en apariencia no difieren esencialmente de las transferencias normales en la cadena. Cuando se mezclan en los registros reales, es muy difícil para el usuario distinguir rápidamente, solo con la vista, cuáles son transacciones legítimas y cuáles son interferencias deliberadas.

3. Las alertas tradicionales suelen llegar demasiado tarde

Muchas advertencias de seguridad aparecen antes de “confirmar la transferencia”. Pero en el caso del envenenamiento de direcciones, el momento clave suele ser mucho antes: en el instante en que el usuario decide copiar la dirección del historial.

Si la detección y la advertencia solo ocurren en el último paso, la ruta de error ya está configurada.

Para enfrentar el envenenamiento de direcciones, las carteras deben hacer más que solo “advertir”

La particularidad de este riesgo es que no puede resolverse simplemente con que el usuario sea más cauteloso o revise una vez más.

Como interfaz de interacción entre el usuario y la cadena, la cartera debe asumir más trabajo de juicio previo y protección activa, bloqueando el riesgo en puntos de contacto más tempranos, en lugar de dejar toda la responsabilidad en el usuario.

En imToken 2.19.0, hemos mejorado aún más la capacidad de control de seguridad respecto al riesgo de envenenamiento de direcciones. La estrategia no consiste en agregar una advertencia única, sino en integrar la detección, filtrado, aviso y verificación en momentos más adecuados durante la operación del usuario.

Tres niveles de protección contra el envenenamiento de direcciones

1. Ocultar transacciones de alto riesgo, reducir la contaminación del historial

Para las direcciones maliciosas que contaminan los registros con transacciones de montos pequeños o en cero, la nueva versión activa por defecto la función de “ocultar transacciones de riesgo”.

Cuando el sistema detecta una transacción de alto riesgo de envenenamiento, prioriza su filtrado en los registros y notificaciones relacionadas, intentando reducir al máximo que este tipo de interferencias lleguen a la vista del usuario.

El objetivo no es solo mantener una interfaz limpia, sino también reducir desde la fuente la probabilidad de que el usuario copie accidentalmente una dirección de riesgo desde el historial.

2. Poner la advertencia antes de que ocurra la acción de copiar

El punto más crítico del envenenamiento de direcciones no es el botón de transferencia en sí, sino el paso de copiar la dirección.

Por eso, cuando el usuario realiza la acción de copiar desde la página de detalles de la transacción, el sistema añadirá una advertencia más clara, guiando al usuario a verificar la dirección de forma más completa, en lugar de solo juzgar por los caracteres iniciales y finales.

En comparación con solo advertir antes de transferir, esta estrategia se acerca más al momento real en que puede ocurrir el riesgo, ayudando a romper la inercia de copiar sin verificar.

3. Mantener marcado el riesgo en los puntos clave del proceso

Además de los registros y escenarios de copia, el sistema también marcará claramente las direcciones sospechosas y dará advertencias en puntos críticos como los detalles de la transacción o antes de transferir.

El objetivo no es molestar, sino proporcionar una retroalimentación de riesgo más oportuna y coherente antes de que el usuario realice la siguiente acción.

Interpretación técnica: por qué el control de riesgos de envenenamiento de direcciones necesita una capacidad de “sensado” dinámica

El envenenamiento de direcciones no aprovecha vulnerabilidades en los protocolos en la cadena, sino que se basa en los hábitos y la inercia visual del usuario. Los atacantes crean direcciones disfrazadas que se parecen mucho a las reales, y mediante transacciones de monto pequeño o en cero, las mezclan en el historial, induciendo al usuario a copiar o transferir por error.

Su dificultad para ser gestionado radica en que: desde el resultado en la cadena, estas transacciones parecen “normales”. No muestran anomalías evidentes en los protocolos ni firmas de ataque tradicionales, por lo que depender solo de listas negras estáticas o alertas posteriores, no suele cubrir los riesgos reales.

imToken responde a estos riesgos no solo etiquetando las direcciones como “buenas” o “malas” de forma permanente, sino en los puntos clave como la actualización de transacciones, visualización de detalles, copia de direcciones o inicio de transferencias, combinando datos en tiempo real en la cadena y el contexto de interacción actual, para identificar dinámicamente transacciones sospechosas y activar filtrados, marcados, advertencias fuertes o verificaciones previas.

La detección de riesgos no solo consiste en “parecerse”

La clave para detectar envenenamiento no es solo si la dirección es similar en cadena, sino cómo combinar múltiples evidencias en un entorno de ruido complejo. La lógica actual considera principalmente las siguientes señales:

Evidencia de similitud

Para que un ataque tenga sentido, la dirección disfrazada debe parecer “suficientemente similar” visualmente. El sistema cuantifica las características estructurales de la dirección para identificar riesgos de alta similitud.

Evidencia de coste y forma

El envenenamiento busca difusión de bajo costo, por lo que suele mostrar patrones específicos en distribución de montos y forma de las transacciones. La señal de monto no es decisiva por sí sola, pero puede usarse junto con otras evidencias para reducir falsos positivos.

Evidencia de comportamiento en secuencia

Algunas transacciones de envenenamiento aparecen justo después de que el usuario realiza una transferencia real, intentando aprovechar la inercia de la acción reciente para insertar rápidamente la dirección disfrazada en el registro. El sistema evalúa estas conductas en un marco temporal y contextual específicos.

¿Por qué es importante una decisión de riesgo unificada?

Una sola señal no suele ser suficiente para una evaluación de riesgo confiable. Por eso, el sistema combina varias evidencias para emitir un resultado de riesgo unificado, que luego se mapea a diferentes puntos de interacción.

Este diseño aporta principalmente tres beneficios:

• Menos falsos positivos: señales débiles no disparan acciones de alto nivel.
• Consistencia en la experiencia: la misma transacción recibe una evaluación de riesgo coherente en diferentes pantallas.
• Facilita la revisión y mejora continua: cada detección puede retroalimentar y ajustar los criterios.

Para carteras no custodiales, esta capacidad de control de riesgos es especialmente desafiante.

Porque el envenenamiento de direcciones aprovecha las rutas de comportamiento del usuario, no anomalías evidentes en la cadena; además, las técnicas de ataque cambian continuamente con la cadena, los activos, el ritmo y las formas de disfraz. Sin un control centralizado, la protección depende mucho de la calidad de la detección, el diseño de los puntos de interacción y la capacidad de iterar en las estrategias.

Por eso, imToken construye esta capacidad como un sistema de ingeniería de seguridad evolutivo, que soporta actualizaciones de estrategia, gestión por versiones, y monitoreo y revisión de resultados, para que la protección pueda mantenerse al día con las nuevas formas de ataque.

¿Cómo mejorar la protección?

Si ya usas imToken, te recomendamos actualizar a la versión 2.19.0 cuanto antes.

En esta versión, las funciones de protección contra el envenenamiento de direcciones están activadas por defecto, sin configuración adicional, brindando una detección y advertencia más proactiva.

Para concluir

El envenenamiento de direcciones nos recuerda que la seguridad en Web3 no solo ocurre en los momentos más peligrosos, sino también en las operaciones más cotidianas y familiares.

Cuando el riesgo empieza a aprovechar los hábitos humanos, la protección también debe avanzar desde solo alertar sobre los resultados, hacia una protección en el proceso. Para las carteras, lo más importante no es solo ejecutar la transacción, sino ayudar al usuario a reducir errores y minimizar riesgos en los puntos clave.

Por eso, imToken continúa mejorando sus capacidades de control de riesgos, para que los usuarios puedan mantener el control, mientras reciben una protección más oportuna y efectiva.