10 Preguntas-Respuestas Cripto sobre seguridad en phishing, sustitución de direcciones y más
Una transferencia de criptomonedas es irreversible y no tiene destinatario equivocado. Si los fondos llegan a una dirección que no era la tuya, llegaron bien desde el punto de vista de la red. Esa combinación —irreversibilidad y ausencia de intermediario que corrija— convirtió al momento del envío en el blanco favorito de quienes atacan usuarios. Lo que sigue no trata sobre criptografía rota, sino formas en que un atacante logra que tú, voluntariamente y con todos los pasos correctos, firmes una transacción hacia el lugar equivocado.
## 1. ¿Cómo funciona un ataque de sustitución de dirección?
La versión clásica vive en el portapapeles. Un programa malicioso instalado en la computadora vigila lo que copiás y, cuando detecta el patrón de una dirección de criptomonedas, la reemplaza por otra antes de que la pegues. Copiás la dirección correcta, pegás una ajena, y la diferencia solo se nota si comparás carácter por carácter.
Existen variantes más elaboradas. Algunas atacan el navegador y alteran lo que muestra la página de una casa de cambio. Otras se instalan como extensión y modifican el campo de destino en el momento previo al envío. En todos los casos la lógica es la misma. El atacante no necesita tus claves si logra que vos mandes los fondos hacia donde él quiere.
Este tipo de malware suele estar diseñado para pasar inadvertido durante meses y activarse solo con montos significativos.
## 2. ¿Por qué hay que verificar la dirección en la pantalla del dispositivo?
Porque la computadora puede estar mintiendo y el dispositivo no.
Una billetera de hardware tiene una pantalla propia para esto. Cuando le pedís que firme una transacción, muestra el destino y el monto reales, los que va a firmar, sin pasar por el sistema operativo. Si la máquina fue comprometida, en el monitor puede aparecer la dirección que vos esperás mientras el dispositivo revela la verdadera.
Ese contraste es toda la razón de ser del aparato. Comprar una billetera de hardware y aprobar sin mirar la pantalla equivale a no tenerla. La verificación en pantalla es la única barrera que sobrevive a una computadora infectada.
Lo mismo aplica al recibir. Cuando pedís una dirección de recepción, confirmala en el dispositivo antes de compartirla, porque un atacante que altere ese paso te hace publicar la dirección de él.
## 3. ¿Alcanza con comparar los primeros y los últimos caracteres?
No, y esa costumbre es exactamente la que explotan.
Generar una dirección que empiece y termine igual que otra es barato, y conviene entender por qué, porque a primera vista parece imposible.
El atacante no deduce nada ni rompe nada. Genera una clave privada al azar, deriva su dirección, mira si coincide en los caracteres que le interesan, y si no descarta y vuelve a empezar. Millones de veces por segundo. Cuando aparece una que sirve, se queda con esa clave. La dirección resultante es tan legítima como la tuya y él la controla por completo.
Es la misma técnica de las llamadas direcciones vanidosas, que existe desde hace años y se usaba para conseguir una dirección que empezara con el propio nombre. Lo único que cambió fue el propósito.
El costo crece de forma exponencial con cada carácter exigido. Pedir unos pocos al principio y otros pocos al final se resuelve en segundos o minutos con una placa de video común. Recién cuando se exigen muchos caracteres el cálculo se vuelve prohibitivo, y en ese punto el ataque pierde sentido porque nadie compara tanto.
Lo que el atacante no puede hacer es reproducir una dirección completa. Eso equivaldría a encontrar tu clave privada, que sigue siendo inalcanzable. El engaño no vulnera criptografía alguna, explota que los humanos comparamos los extremos de una cadena larga y damos el medio por sentado.
De ahí se deduce la defensa. La comparación tiene que ser completa. Si la vas a hacer parcial, revisá también un tramo del medio, que es donde nadie mira y donde el atacante no gastó un solo ciclo de cómputo. Mejor todavía, apoyate en el dispositivo, que muestra la cadena entera y te obliga a recorrerla.
## 4. Aparecen en mi historial transacciones diminutas que yo no hice. ¿Qué son?
Envenenamiento de historial, y es una trampa preparada para el futuro.
El atacante genera una dirección parecida a una que vos usás con frecuencia y te envía una cantidad ínfima, a veces cero. Esa transacción queda registrada en tu historial. Semanas después, cuando necesitás mandar fondos a tu dirección habitual, la buscás en el historial, ves algo que se parece mucho, lo copiás, y los fondos terminan en la dirección del atacante.
La defensa es simple de enunciar y requiere disciplina para sostener. Nunca copies una dirección de destino desde el historial de transacciones. Sacala siempre de la fuente original, sea tu propia billetera, una libreta de direcciones que armaste vos, o el sitio verificado del destinatario.
Ignorar esos montos diminutos también es buena práctica por otro motivo. Si los gastás junto con otras monedas, estás declarando públicamente que ambas son tuyas.
## 5. ¿Alguien legítimo puede pedirme la frase de recuperación?
Nunca, bajo ninguna circunstancia y por ningún motivo.
No la pide el fabricante del dispositivo, ni el soporte técnico, ni una casa de cambio, ni un proceso de actualización, ni una herramienta de recuperación, ni un formulario de validación de cuenta. No existe un solo escenario legítimo. Cualquier mensaje que la solicite es un intento de robo, sin excepciones ni matices.
Este es el fraude más productivo del sector porque no requiere vulnerar nada. Las víctimas suelen ser contactadas con información real sobre ellas, obtenida de filtraciones de bases de datos de clientes, lo que vuelve el engaño mucho más creíble. Un mensaje que menciona tu modelo de dispositivo y tu dirección de envío no prueba nada sobre quién lo escribe.
La regla práctica es no reaccionar nunca a un contacto que vos no iniciaste. Si un mensaje te alarma, cerralo y verificá por tu cuenta entrando al sitio oficial que ya tenías guardado.
## 6. ¿Cómo evito descargar una billetera falsa?
Guardando los enlaces buenos antes de necesitarlos.
Las aplicaciones y sitios fraudulentos se distribuyen sobre todo por dos vías. Los anuncios pagos en buscadores, que aparecen arriba de los resultados reales cuando alguien busca el nombre de una billetera. Y las tiendas de aplicaciones, donde publicaciones falsas con reseñas compradas sobreviven días antes de ser retiradas.
La precaución que funciona es tener el sitio oficial en marcadores desde el primer día y no llegar nunca por búsqueda. Cuando instales algo, verificá el desarrollador, la antigüedad de la publicación y la coherencia entre el nombre exacto y el que figura en la documentación oficial.
Si el software lo permite, verificá la firma criptográfica del archivo descargado. Es un paso que la mayoría saltea y que detecta manipulaciones que ninguna inspección visual encontraría.
## 7. ¿Qué es la firma a ciegas y por qué importa?
Es aprobar una operación cuyo contenido el dispositivo no puede mostrarte de forma legible.
En redes con contratos inteligentes, muchas interacciones llegan a la pantalla como datos crudos. Estás confirmando algo, pero no sabés qué. Entre esas operaciones hay una particularmente peligrosa, la autorización para que un contrato mueva tus fondos, que a veces se solicita sin límite de monto ni de tiempo. Quien firma eso le entrega a un tercero la capacidad de vaciar ese activo cuando quiera, aunque en el momento no se transfiera nada.
Las precauciones son tres. Activar la firma a ciegas solo cuando sea imprescindible y desactivarla después. Revisar periódicamente qué autorizaciones tenés vigentes y revocar las que ya no uses. Y separar en una billetera distinta los fondos que interactúan con aplicaciones de aquellos que solo están guardados.
## 8. ¿Sirve mandar una transacción de prueba?
Sirve, pero no contra todo, y conviene saber contra qué.
Una transferencia pequeña confirma que la dirección de destino es correcta y que el destinatario la controla. Protege muy bien contra errores de transcripción y contra direcciones desactualizadas.
No protege contra malware que sustituye direcciones, porque ese programa puede dejar pasar la prueba y actuar recién sobre el monto grande. Tampoco protege si repetís la operación copiando desde el historial, que es donde puede haberse alojado una dirección envenenada.
La prueba rinde de verdad cuando se combina con la verificación en la pantalla del dispositivo. Una confirma que la dirección es la que querés, la otra confirma que es la que estás firmando.
## 9. Ya envié a una dirección equivocada. ¿Puedo recuperar los fondos?
Si la dirección pertenece a un atacante, no. Las transacciones confirmadas son definitivas y no existe autoridad que las revierta.
Hay un caso con alguna posibilidad. Si los fondos fueron a parar a una casa de cambio, esa empresa controla la dirección y puede congelar la cuenta ante una denuncia. Conviene actuar en horas, no en días, aportando el identificador de la transacción y toda la información disponible.
Después de eso, una advertencia. Las víctimas de robo se convierten inmediatamente en objetivo de una segunda estafa, la de los servicios que prometen recuperar fondos perdidos. Ninguno funciona. Cobran por adelantado, piden acceso a la billetera, o ambas cosas.
Si el envío equivocado ocurrió por malware, asumí que la computadora sigue comprometida y no la uses para nada relacionado con criptomonedas hasta reinstalar el sistema desde cero.
## 10. ¿Qué rutina reduce el riesgo de forma sostenida?
Menos que una lista de herramientas, un conjunto de hábitos que no dependen de acordarse en el momento.
Verificar siempre en la pantalla del dispositivo, sin excepciones por apuro. Mantener una libreta propia de direcciones frecuentes y no copiar nunca desde el historial. Llegar a los sitios por marcadores guardados y no por buscadores. Desconfiar de todo contacto que vos no iniciaste. Separar los fondos de largo plazo de los que se usan a diario.
Y una que no parece de seguridad pero lo es. Operar sin apuro. Casi todos los engaños exitosos incluyen algún elemento de urgencia, una oportunidad que vence, una cuenta que será suspendida, un problema que exige acción inmediata. Esa prisa no es un accidente del contexto, es parte del ataque. Detenerse veinte minutos desarma la mayoría de estos fraudes, y no cuesta nada.
Por Sistemas, el 06/08/2026.
Siguiente