50 Millones de USDT Desaparecieron Debido a un Error Desesperado: Lección sobre Envenenamiento de Direcciones

Uno de los traders de criptomonedas más experimentados fue víctima de uno de los ataques más simples y, al mismo tiempo, más costosos en la historia de la seguridad digital. El 20 de diciembre del año pasado, el trader perdió casi la totalidad de 50 millones de USDT en un ataque de “envenenamiento de direcciones” — un fraude que no utiliza tecnología avanzada, sino hábitos humanos y limitaciones funcionales de las interfaces de usuario. Este caso envía una señal de alarma desesperada para toda la comunidad cripto.

Cómo la Tecnología Fue Usada en Contra de la Seguridad

Según análisis realizados por los conocidos investigadores de blockchain Specter y ZachXBT, el ataque se desarrolló de la siguiente manera. El trader, preparándose para transferir fondos desde un exchange a su cartera, primero realizó una pequeña transacción de prueba por 50 USDT. Esta acción sensata fue el momento en que el estafador observó la actividad de la víctima y actuó.

El atacante generó inmediatamente una dirección de cartera que tenía una propiedad clave: las cuatro primeras y las cuatro últimas cifras eran iguales a las de la víctima. En las carteras y exploradores de bloques modernos, las cadenas largas de caracteres se acortan a un hash — por ejemplo, 0xBAF4…F8B5 — lo que hace que, para un observador no familiar, ambas direcciones parezcan casi idénticas.

La Trampa de la Simplificación

Luego, el estafador envió una pequeña cantidad de criptomonedas desde una dirección falsa a la víctima, “contaminando” efectivamente su historial de transacciones. Este es un elemento clave del ataque: cuando llegó el momento de transferir la cantidad principal, la víctima, siguiendo la práctica estándar de seguridad informática, copió la dirección del historial de transacciones en lugar de ingresarla manualmente.

En ese momento, la situación desesperada se volvió irreversible. El trader copió la dirección del historial sin darse cuenta de que estaba copiando la dirección del estafador, disfrazada como auténtica. Se enviaron 49,999,950 USDT directamente a la cartera del atacante.

Limpieza Digital Planeada y Ejecutada

Lo más impactante: todo el proceso de lavado de dinero tomó solo 30 minutos. Los fondos robados se cambiaron por stablecoin DAI y luego se convirtieron en aproximadamente 16,690 ETH. Toda la transacción pasó por Tornado Cash, lo que en la práctica significa una completa desintegración de la huella digital.

Al darse cuenta de la gravedad, la víctima desesperada envió un mensaje en cadena al atacan