Usuario Cripto Pierde $700.000 en Estafa de "Envenenamiento de Dirección"

Un usuario de Ethereum cayó víctima de una estafa por envenenamiento de dirección el domingo, resultando en la pérdida de casi $700.000 en la stablecoin USDT.

Los expertos advierten que es fácil de sufrir esta forma creciente de estafa si los usuarios no son rigurosos al verificar completamente la dirección a la que envían fondos.

¿Qué es el envenenamiento de dirección?

Para que el envenenamiento de dirección funcione, los actores maliciosos crean una dirección que se parece sorprendentemente a una dirección con la que la víctima ha interactuado recientemente. El atacante luego enviará una pequeña cantidad de tokens a la víctima, con el objetivo de engañarla para que piense que la dirección del atacante es con la que acaba de interactuar.

"Supongamos que tu dirección de depósito es 0x11223344556677889900. En tu wallet se verá como: 0x1122...9900", explicó a Decrypt 0xToolman, investigador on-chain pseudónimo en Bubblemaps. "Los estafadores crean entonces una dirección con la clave pública 0x1122aaaaaaaaaaaaaa9900. Aunque es diferente, sigue pareciendo 0x1122...9900 en tu wallet o [en] Etherscan, haciéndote pensar que es la dirección correcta, mientras pertenece al estafador".

El domingo, un atacante malicioso envió una transacción de 0 USDT desde una wallet que parecía casi idéntica a una wallet de Binance a la que la víctima había enviado una transacción de prueba de 10 USDT, apenas segundos antes.

"La víctima probablemente copió lo que parecía ser una dirección legítima de su historial de transacciones, confiando en ella porque acababa de completar con éxito una transferencia de prueba momentos antes", dijo a Decrypt un portavoz de la firma de seguridad PeckShield.

Los estafadores usan software especializado para generar miles de direcciones de wallet que coinciden con direcciones de depósito comúnmente utilizadas, en este caso una wallet de Binance, añadió PeckShield.

"Todo está automatizado. Utilizan una táctica de spray-and-pray, enviando miles de transacciones falsas", explicó Hakan Unal, Científico Senior de Blockchain en la firma de seguridad Cyvers. "Incluso si solo el 0,1% cae en la trampa, dar con una wallet de alto valor hace que valga la pena. Mínimo esfuerzo, alta recompensa".

Esto llevó a la víctima a enviar 699.990 USDT al atacante. Poco después de recibir los fondos, la firma de investigación blockchain AMLBot dijo a Decrypt, que el estafador cambió el USDT a DAI para evitar que Tether congelara los fondos.

Como stablecoin descentralizada, DAI no puede congelar fondos conectados con actividades maliciosas, dijo AMLBot, como Tether puede hacer con USDT. Parece que el estafador ha pasado los fondos a través de múltiples wallets para ocultar su rastro.

Aumenta el envenenamiento de direcciones

Las estafas por envenenamiento de dirección están en aumento, advirtió Cyvers a Decrypt. El año pasado, un trader de criptomonedas perdió más de $70 millones debido a una estafa de envenenamiento de dirección, en lo que Cyvers consideró el mayor caso de este tipo. Más recientemente, el viernes, una víctima perdió $467.000 en DAI tras caer en la estafa.

Afortunadamente, se pueden evitar prestando especial atención al transferir fondos.

"Sugerimos a los usuarios que realicen siempre una verificación doble o triple de las direcciones completas de las wallets antes de iniciar cualquier transferencia", dijo a Decrypt el portavoz de PeckShield. "Nunca confíes en direcciones truncadas (por ejemplo, 0x123...abc) — siempre exige visibilidad completa de la dirección. Realiza una validación carácter por carácter al copiar direcciones de depósito".

"Verifica todas las transacciones en exploradores blockchain como Etherscan para confirmación adicional", dijo el portavoz, añadiendo que los usuarios "nunca deben copiar direcciones del historial de transacciones o mensajes no verificados".