El ecosistema de las criptomonedas fue sacudido recientemente por uno de los fraudes on-chain más grandes de los últimos años. Casi 50 millones de dólares en USDT pertenecientes a un usuario fueron enviados a la billetera equivocada en cuestión de segundos mediante un método de ataque conocido como “address poisoning” (envenenamiento de direcciones). Este incidente no solo puso en evidencia un error individual, sino que también resaltó cómo las arquitecturas blockchain y los comportamientos de los usuarios pueden cruzarse de manera peligrosa.
Cómo ocurrió el ataque de address poisoning
En el centro del incidente se encuentra una billetera que ha estado activa durante casi dos años y que se utiliza principalmente para transferencias de USDT. Tras retirar fondos de Binance, el usuario recibió aproximadamente 50 millones de dólares en USDT. Creyendo que era un método seguro, el usuario primero realizó una pequeña transferencia de prueba. Unos minutos después, se efectuó la transferencia principal, pero sin saberlo, el usuario utilizó la dirección equivocada.
Antes de llegar a este punto, el estafador ya había preparado el ataque de “address poisoning”. Se creó una billetera que se parecía mucho a una dirección que la víctima usaba frecuentemente, y se le envió una cantidad minúscula de USDT, sumando así a su historial de transacciones. Dado que las direcciones en la interfaz de la billetera aparecen como cadenas largas y complejas, el usuario copió inadvertidamente esta dirección falsa desde el historial de transacciones al intentar transferir fondos, lo que resultó en que casi 50 millones de dólares fueran enviados a la billetera del atacante con un solo clic.
La controversia sobre el modelo UTXO y la perspectiva de Charles Hoskinson
Charles Hoskinson, el fundador de Cardano, opinó sobre el incidente, argumentando que una pérdida así es mucho más difícil de experimentar en ciertas arquitecturas blockchain. Señaló que los modelos basados en cuentas, como los utilizados por Ethereum y las redes basadas en EVM, estructuralmente permiten fraudes como el address poisoning. En este modelo, las direcciones se mantienen como cuentas permanentes y las billeteras suelen sugerir a los usuarios copiar direcciones de transacciones previas, un hábito aprovechado por los estafadores.
Según Hoskinson, las redes que emplean el modelo UTXO, como Bitcoin y Cardano, son más resistentes en este aspecto. En el modelo UTXO, cada transacción genera nuevas salidas mientras consume las antiguas, eliminando la idea de un “saldo de cuenta” permanente. Por lo tanto, no existe un historial de direcciones persistente que pueda ser visualmente envenenado. Él enfatiza que este incidente no es una falla del protocolo ni un error de smart contract, sino una interacción peligrosa entre el diseño y el comportamiento humano.
Riesgos similares han sido señalados por otros informes recientemente. En las últimas semanas, un importante proveedor de billeteras lanzó una actualización de seguridad para advertir a los usuarios sobre el hábito de copiar direcciones y renovó sus pantallas de verificación de direcciones. Estos desarrollos subrayan la importancia del diseño de las billeteras junto con las precauciones individuales.
