Cómo un inversionista perdió $2.5M en stablecoins en una doble estafa de phishing: Advertencia sobre el envenenamiento de direcciones

Introducción

El mundo de las criptomonedas no solo ofrece oportunidades financieras, sino también riesgos cada vez más sofisticados. Recientemente, un inversionista perdió $2.5 millones en stablecoins (USDT) en apenas tres horas, víctima de dos ataques consecutivos de phishing. Este caso expone una técnica avanzada conocida como «zero-value transfer», una modalidad de fraude que engaña incluso a usuarios experimentados.

Con el aumento de estos ataques, es crucial entender cómo funcionan y qué medidas tomar para protegerse. En este artículo, desglosamos el incidente, explicamos el método utilizado y brindamos consejos clave para evitar caer en trampas similares.

Detalles del ataque: una pérdida millonaria en minutos

El inversionista afectado sufrió dos robos en rápida sucesión:

Primera estafa: Perdió 843,000 USDT al enviarlos a una dirección falsa.
Segunda estafa (tres horas después): Perdió 1.66 millones de USDT adicionales, completando un total de $2.5 millones en pérdidas.

El método utilizado fue el «zero-value transfer», una técnica de phishing que explota la confianza del usuario en su historial de transacciones.

¿Qué es un «zero-value transfer»?

Esta modalidad de estafa es particularmente engañosa porque no requiere que el atacante envíe fondos reales. Así funciona:

Transferencia de valor cero:
- El estafador usa la función transferFrom para enviar una transacción de cero tokens a una dirección controlada por ellos.
- La víctima ve esta transacción en su historial y, al no notar que no hubo movimiento de fondos, asume que la dirección es legítima.
Engaño y pérdida de fondos:
- Cuando el usuario necesita hacer un envío real, copia la dirección del historial sin verificarla por completo.
- Los fondos terminan en manos del atacante.

Un caso histórico similar ocurrió en 2023, cuando un hacker robó $20 millones en USDT antes de que Tether bloqueara las direcciones maliciosas.

Relación con el «envenenamiento de direcciones»

El «zero-value transfer» es una evolución del envenenamiento de direcciones, una técnica antigua pero aún efectiva:

Cómo funciona:
- Los estafadores envían pequeñas cantidades de cripto desde direcciones que imitan las del usuario (ej: cambiando un carácter).
- El objetivo es que la víctima copie y pegue una dirección falsa en futuras transacciones.
La diferencia:
- Mientras el envenenamiento tradicional requiere fondos mínimos, el «zero-value transfer» no necesita invertir nada, haciéndolo aún más peligroso.

Estadísticas alarmantes

Los ataques de phishing en blockchain están en aumento:

Más de 270 millones de intentos de envenenamiento de direcciones se registraron en Ethereum y BNB Chain entre 2022 y 2024.
Pérdidas totales: Al menos $83 millones en 6,000 ataques exitosos.

Estos números demuestran que los estafadores están refinando sus métodos, aprovechando la falta de atención de los usuarios.

Soluciones y prevención: cómo protegerse

Para evitar ser víctima de estas estafas, sigue estas recomendaciones:

1. Verificación manual extrema

Revisa cada carácter de una dirección antes de enviar fondos.
No confíes solo en las primeras y últimas letras; los atacantes suelen modificar caracteres intermedios.

2. Herramientas de seguridad

Billeteras con alertas: MetaMask y otras integran sistemas para detectar direcciones sospechosas.
IA contra phishing: Empresas como Trugard y Webacy han desarrollado sistemas con 97% de precisión para identificar direcciones falsas.

3. Buenas prácticas

Usa listas de contactos para direcciones frecuentes.
Evita copiar direcciones directamente del historial de transacciones.
Habilita confirmaciones adicionales para transacciones grandes.

Conclusión: la vigilancia es clave

Este caso de pérdida millonaria es un recordatorio de que la seguridad en cripto depende en gran medida del usuario. Los ataques de phishing son cada vez más difíciles de detectar, pero con precaución y herramientas adecuadas, pueden evitarse.

No subestimes los riesgos: Un error al copiar una dirección puede costarte todo. Mantente informado, utiliza tecnología de protección y, ante la duda, verifica dos veces.

¿Quieres profundizar en seguridad blockchain? Explora guías especializadas y listas de direcciones blacklist para mantener tus fondos a salvo.