¿Cómo reducir el riesgo de envenenamiento de direcciones desde la fuente?

Escrito por: imToken

En el mundo Web3, la primera reacción de muchas personas ante la seguridad es proteger las claves privadas, las frases de recuperación y los permisos de autorización.

Por supuesto, estos son importantes, pero en la práctica, hay un tipo de riesgo que no proviene de la filtración de claves, ni depende de vulnerabilidades en los contratos, sino que ocurre en una operación tan común como copiar una dirección: copiar la dirección.

El envenenamiento de direcciones, precisamente, aprovecha esto. No se logra mediante hackeo del sistema, sino mediante disfraz, interferencia e inducción, haciendo que el usuario en un proceso de transferencia aparentemente normal, envíe los activos a una dirección equivocada.

Este tipo de ataques es difícil no por un alto umbral técnico, sino porque aprovecha con precisión los hábitos visuales y las dependencias de ruta que los usuarios tienen en sus operaciones diarias.

¿Qué es el envenenamiento de direcciones?

Lo que se llama envenenamiento de direcciones, es que un atacante genera una dirección falsa que se asemeja mucho visualmente a la dirección que el usuario usa habitualmente, y luego, mediante transacciones de monto cero o muy pequeño, mezcla esa dirección en el historial del usuario.

Cuando el usuario necesita hacer una transferencia la próxima vez, si simplemente copia la dirección del historial sin verificar cada carácter, puede transferir los activos a la dirección disfrazada preparada por el atacante.

Este tipo de ataque no es raro. En los últimos dos años, en la cadena se han presentado varios casos públicos que demuestran que el envenenamiento de direcciones no solo causa pérdidas reales, sino que incluso hábitos como “hacer una prueba con un monto pequeño antes de la transferencia oficial” no siempre son suficientes para evitar el riesgo.

Más aún, debido a que Fusaka ha actualizado para reducir significativamente las tarifas de Gas, el costo marginal de los ataques de envenenamiento de direcciones ha bajado notablemente. Según Blockaid, en enero de 2026, los intentos de envenenamiento en la cadena alcanzaron 3.4 millones, un aumento de 5.5 veces respecto a noviembre del año pasado (628,000), mostrando un crecimiento explosivo en la frecuencia de estos ataques.

¿Por qué el envenenamiento de direcciones es tan fácil de caer?

Desde el punto de vista del principio, el envenenamiento de direcciones no es complejo; lo que realmente lo hace difícil de prevenir, es que toca varias debilidades naturales en las operaciones del usuario.

1. La propia dirección no es adecuada para verificar manualmente

Una cadena de caracteres en una dirección suele tener 42 caracteres. Para la mayoría de los usuarios, verificar cada carácter de la dirección completa no es una operación realista, estable ni sostenible. Muchas veces, solo revisan las primeras y las últimas cifras, y si parecen “parecer esa dirección”, continúan con el proceso. Y los atacantes diseñan sus falsificaciones en torno a este hábito.

2. Las transacciones maliciosas se mezclan con el ruido de transacciones normales

Las transacciones de envenenamiento suelen aparecer con montos muy bajos o en cero, y en apariencia no difieren esencialmente de las transferencias normales en la cadena. Cuando se mezclan en los registros reales, es muy difícil para el usuario distinguir rápidamente, solo con la vista, cuáles son transacciones legítimas y cuáles son interferencias deliberadas.

3. Las alertas tradicionales suelen llegar demasiado tarde

Muchas advertencias de seguridad ocurren antes de “confirmar la transferencia”. Pero en el caso del envenenamiento de direcciones, el momento clave suele ser mucho antes: en el instante en que el usuario decide copiar la dirección del historial.

Si la detección y la advertencia solo aparecen en el último paso, la ruta de error ya está formada en los pasos anteriores.

Para enfrentar el envenenamiento de direcciones, las carteras deben hacer más que solo “advertir”

La particularidad de este riesgo es que no se puede resolver simplemente con que el usuario eche un vistazo más cuidadoso o sea más cauteloso.

Como interfaz de interacción entre el usuario y la cadena, la cartera debe asumir más trabajo de juicio previo y protección activa, bloqueando el riesgo en puntos de contacto más tempranos, en lugar de dejar toda la responsabilidad al usuario.

En imToken 2.19.0, hemos mejorado aún más la capacidad de control de riesgos relacionados con el envenenamiento de direcciones. La estrategia no consiste en agregar una advertencia única, sino en colocar la detección, filtrado, aviso y verificación en etapas más apropiadas del flujo de operación del usuario.

Tres niveles de protección contra el envenenamiento de direcciones

1. Ocultar transacciones de alto riesgo, reducir la contaminación del historial

Para las direcciones maliciosas que contaminan los registros con transacciones de montos pequeños o en cero, la nueva versión activa por defecto la función de “ocultar transacciones de riesgo”.

Cuando el sistema detecta una transacción de alto riesgo de envenenamiento, prioriza su filtrado en los registros y notificaciones relacionadas, intentando reducir al máximo que este tipo de interferencias lleguen a la vista del usuario.

El objetivo no solo es que la interfaz sea más limpia, sino también reducir desde la fuente la probabilidad de que el usuario copie accidentalmente una dirección de riesgo desde el historial.

2. Anteponer la advertencia en el momento de copiar

El punto más crítico del envenenamiento de direcciones no es el botón de transferencia en sí, sino el paso de copiar la dirección.

Por ello, cuando el usuario realiza la acción de copiar desde la página de detalles de la transacción, el sistema añadirá una advertencia más clara, guiando al usuario a verificar la dirección de forma más completa, en lugar de solo juzgar por los caracteres iniciales y finales.

En comparación con solo advertir antes de transferir, este método se acerca más al momento real en que el riesgo puede ocurrir, y ayuda a interrumpir la inercia de “copiar sin pensar”.

3. Mantener marcado el riesgo en los puntos clave del flujo

Además de los registros y escenarios de copia, el sistema también marcará claramente las direcciones sospechosas y dará advertencias en detalles de transacción, antes de la transferencia.

Esto no busca molestar más, sino ofrecer una retroalimentación de riesgo más oportuna y coherente antes de que el usuario realice la siguiente acción.

Interpretación técnica: ¿Por qué el control de riesgos “dinámico” es necesario para el envenenamiento de direcciones?

El envenenamiento de direcciones no aprovecha vulnerabilidades en los protocolos en la cadena, sino que se basa en los hábitos de operación y la inercia visual del usuario. Los atacantes crean direcciones disfrazadas muy similares a las reales y, mediante transacciones de monto pequeño o en cero, las mezclan en el historial, induciendo al usuario a copiar o transferir por error en operaciones posteriores.

Su dificultad para ser gestionado radica en que: desde el resultado en la cadena, estas transacciones parecen “normales”. No muestran anomalías evidentes en el protocolo ni firmas de ataque tradicionales, por lo que depender solo de listas negras estáticas o alertas posteriores, no suele cubrir los riesgos reales.

En imToken, la respuesta a estos riesgos no consiste en simplemente etiquetar las direcciones como “buenas” o “malas” de forma permanente, sino en realizar detecciones dinámicas en puntos clave como la actualización del historial, la visualización de detalles, la copia de direcciones o la iniciación de transferencias, combinando datos en tiempo real en la cadena y el contexto de interacción actual, para identificar transacciones sospechosas y activar filtrado, marcado, advertencias fuertes o verificaciones previas.

La detección de riesgos no solo se basa en “parecerse”

La clave para detectar envenenamiento no es solo si la cadena de caracteres es similar, sino cómo combinar múltiples evidencias en un entorno de ruido complejo. La lógica actual de detección considera principalmente estas señales:

Evidencia de similitud

Para que un disfraz sea efectivo, la dirección falsa debe parecer “suficientemente similar” visualmente. El sistema cuantifica las características estructurales del disfraz para identificar riesgos de alta similitud.

Evidencia de coste y forma

El envenenamiento busca difusión de bajo coste, por lo que suele mostrar patrones específicos en la distribución de montos y en la forma de las transacciones. La señal de monto no es decisiva por sí misma, pero puede usarse junto con otras evidencias para reducir falsos positivos.

Evidencia de comportamiento en secuencia temporal

Algunas transacciones de envenenamiento aparecen justo después de que el usuario realiza una transferencia real, intentando aprovechar la inercia de la acción para insertar rápidamente la dirección disfrazada en el registro. El sistema evalúa estas conductas en un marco temporal y contexto específicos, para hacer una valoración integral.

¿Por qué es necesario un sistema de decisión de riesgo unificado?

Una sola señal no suele ser suficiente para una evaluación de riesgo confiable. Por eso, el sistema combina varias evidencias para emitir un resultado de riesgo unificado, que luego se mapea a diferentes puntos de interacción.

Este diseño trae tres beneficios principales:

• Reducir falsos positivos: señales débiles no disparan acciones de alto nivel.

• Mantener coherencia en la experiencia: la misma transacción recibe una evaluación de riesgo consistente en diferentes pantallas.

• Facilitar la revisión y mejora continua: cada detección puede ser retroalimentada para ajustar criterios y estrategias.

Para las carteras no gestionadas, esta capacidad de control de riesgos es especialmente desafiante.

Porque el envenenamiento de direcciones aprovecha los caminos de operación del usuario, no anomalías evidentes en la cadena; además, las técnicas de ataque cambian continuamente con la cadena, los activos, el ritmo y las formas de disfraz. Sin un control centralizado, la protección depende mucho de la calidad de la detección, el diseño de los puntos de interacción y la capacidad de iterar estrategias.

Por eso, imToken construye esta capacidad como un sistema de seguridad evolutivo, que soporta actualizaciones de estrategia, gestión por versiones, y monitoreo y revisión de resultados, para que la protección pueda mantenerse al día con las nuevas formas de ataque.

¿Cómo mejorar la protección?

Si ya usas imToken, te recomendamos actualizar a la versión 2.19.0 cuanto antes.

En esta versión, las capacidades de protección contra el envenenamiento de direcciones están activadas por defecto, sin configuración adicional, brindando una detección y advertencia más proactiva.

Para concluir

El envenenamiento de direcciones nos recuerda que la seguridad en Web3 no solo ocurre en los momentos más peligrosos, sino que puede estar escondido en las operaciones más cotidianas y familiares.

Cuando el riesgo empieza a aprovechar los hábitos humanos, la protección también debe avanzar desde solo alertar sobre resultados, hacia una protección en el proceso. Para las carteras, lo más importante no es solo ejecutar la transacción, sino ayudar al usuario a reducir errores y minimizar riesgos en los puntos clave.

Por eso, imToken continúa mejorando sus capacidades de control de riesgos, para que los usuarios puedan mantener el control, mientras reciben una protección más oportuna y efectiva.