Address poisoning es una estafa diseñada para engañar a usuarios y hacer que envíen cripto a la dirección de wallet incorrecta.

El ataque suele colocar una dirección falsa, pero visualmente familiar, en el historial de transacciones de una wallet. Más tarde, cuando el usuario quiere enviar fondos, copia esa dirección por error y envía activos reales al atacante.

La estafa normalmente no ataca el smart contract ni la wallet en sí. Ataca hábitos del usuario: rapidez, rutina y poca atención al revisar direcciones largas.

Address poisoning es un tipo de estafa cripto donde un atacante crea una dirección de wallet que se parece visualmente a una dirección real que la víctima usó antes.

Después envía una transacción muy pequeña, un dust transfer o una interacción con token spam para que la dirección falsa aparezca en el historial de la víctima.

El objetivo es que la dirección incorrecta parezca familiar. Cuando la víctima revisa actividad reciente y copia una dirección desde ese historial, puede copiar la del atacante en vez de la real.

Esa es la respuesta práctica a qué es address poisoning. No se trata de tomar control directo de la wallet. Se trata de plantar una dirección engañosa donde el usuario podría confiar en ella por error.

Un ataque típico de address poisoning es simple y barato.

Primero, el atacante crea una dirección parecida. Puede generar muchas direcciones hasta obtener una con inicio o final similar a una dirección que la víctima ya usó.

Como muchas wallets acortan direcciones en pantalla, una similitud parcial puede bastar.

Luego el atacante envía una transacción mínima o una transferencia de token spam. El importe suele ser insignificante. La meta no es transferir valor, sino ganar visibilidad.

Cuando eso ocurre, la dirección falsa puede aparecer en el historial, lista de transacciones o feed de actividad reciente de la víctima. La estafa solo funciona si el usuario copia luego esa dirección sin revisar bien y envía fondos reales al atacante.

Address poisoning funciona porque la mayoría de usuarios no verifica direcciones largas completas cada vez.

Las direcciones cripto son difíciles de leer y fáciles de escanear superficialmente. Muchos usuarios revisan los primeros caracteres, los últimos o la forma general de la dirección, y asumen que es la misma que usaron antes.

Las interfaces de wallet pueden empeorarlo. Muchas acortan direcciones para legibilidad, y la exposición repetida dentro del feed de actividad crea falsa confianza. Lo familiar empieza a sentirse como prueba, aunque no lo sea.

Por eso address poisoning es sobre todo un ataque de UX y factor humano, no un ataque criptográfico.

Muchos usuarios entienden mal la amenaza.

En la mayoría de casos, un atacante no puede robar fondos directamente solo por enviar una transacción poison a una wallet. Recibir un dust transfer o token spam no suele significar que la wallet fue hackeada.

El peligro llega después, cuando el usuario copia la dirección contaminada y la usa como destino de una nueva transferencia.

Ahí sí pueden perderse fondos. La estafa funciona por confusión, no por compromiso automático de la wallet.

El modelo de seguridad es:

1. la transacción poison suele ser un paso de preparación;
2. ese paso crea un rastro de direcciones engañoso;
3. la pérdida real ocurre solo si el usuario envía fondos después a la dirección falsa.

La mejor defensa es manejar direcciones con disciplina.

Nunca copies una dirección de destino solo desde el historial de transacciones. El historial puede contaminarse, y una dirección reciente no es automáticamente una dirección confiable.

Verifica siempre la dirección completa antes de enviar. Revisar solo algunos caracteres es mejor que no revisar nada, pero la verificación completa es más segura, sobre todo para transferencias importantes.

Usa una libreta de direcciones si la wallet la ofrece. Un destinatario guardado y confiable suele ser más seguro que una dirección cruda tomada de actividad reciente.

Ten más cuidado con transferencias repetidas. Address poisoning funciona en parte porque los usuarios bajan la guardia en acciones rutinarias. La idea de "ya envié aquí antes" es justo lo que el atacante quiere provocar.

Trata transferencias inesperadas de tokens o dust como sospechosas. No toda transacción entrante inesperada es peligrosa por sí misma, pero nunca debe convertirse en punto de referencia confiable.

Para importes relevantes, ve más lento: verifica el destino desde la fuente original, compáralo con un contacto guardado y, cuando corresponda, envía primero una pequeña transacción de prueba.

Hoy los usuarios cargan con gran parte del riesgo, pero wallets y plataformas pueden reducirlo.

Un producto más seguro puede ayudar así:

• etiquetar con más claridad actividad inbound sospechosa, spam o dust;
• facilitar el uso de libretas de direcciones confiables;
• avisar sobre direcciones parecidas;
• depender menos de direcciones muy truncadas en flujos críticos.

No todas las wallets se comportan igual, y cada chain expone patrones distintos de transacción. Aun así, el diseño de producto importa. Una interfaz más segura reduce la probabilidad de que el usuario confunda familiaridad con legitimidad.

"Alguien me envió un token, así que mi wallet está hackeada."

Normalmente no. Una transacción poison o un token spam no significa por sí mismo que el atacante tenga acceso a la wallet. El riesgo real es una transferencia futura mal dirigida.

"Si la wallet muestra la dirección en historial, debe ser segura."

No. El historial muestra lo que ocurrió, no lo que es confiable. Los atacantes lo saben y lo explotan.

"Coincidir primeros y últimos caracteres siempre basta."

No siempre. Es mejor que no revisar nada, pero sigue siendo un atajo. La verificación completa es más segura, sobre todo para transferencias importantes.

"Address poisoning roba fondos automáticamente."

Normalmente no. La estafa funciona solo si el usuario luego envía fondos a la dirección equivocada.

• Abre Configurar StarKey Wallet si quieres una configuración de wallet más segura antes de usar ElyxS.
• Abre Smart contracts si quieres ver por qué address poisoning es un riesgo de transferencia del lado del usuario, no un fallo de la lógica on-chain del protocolo.
• Abre Preguntas frecuentes si quieres orientación breve sobre wallets, transferencias y uso más seguro de la plataforma.

La respuesta más simple a qué es address poisoning es esta: una estafa barata y efectiva que hace que una dirección falsa parezca lo bastante familiar como para que un usuario la copie y envíe fondos al lugar equivocado.

Funciona por comportamiento humano, diseño de interfaz y hábitos rutinarios de wallet, no porque la criptografía esté rota.

La mejor defensa es básica y efectiva: no trates el historial de transacciones como fuente de verdad, verifica direcciones de destino con cuidado, usa contactos guardados cuando sea posible y baja el ritmo antes de enviar fondos.

Address poisoning coloca una dirección falsa parecida en el historial de wallet. El atacante normalmente no puede robar fondos solo por enviar una pequeña transacción entrante. El riesgo real aparece si el usuario copia después esa dirección falsa y envía fondos. El historial de transacciones nunca debe tratarse como fuente confiable para direcciones de destino. * Verificación completa de dirección, contactos guardados y más cautela en transferencias relevantes reducen mucho el riesgo.