Un inversor de criptomonedas perdió $2.6 millones en stablecoins en dos ataques de phishing casi idénticos en un lapso de tres horas, subrayando una amenaza creciente y sofisticada en las finanzas basadas en blockchain: las estafas de cero-transferencias.
El incidente, señalado el 26 de mayo por la firma de seguridad cripto Cyvers, involucró dos grandes transacciones de Tether (USDT) - la primera de $843,000, seguida horas después por una segunda transferencia de $1.75 millones. En ambos casos, la víctima parece haber caído en una táctica engañosa en la cadena conocida como transferencia de valor cero, un método de phishing desplegado cada vez más por estafadores que apuntan a los hábitos de los usuarios con respecto a las direcciones de las billeteras.
Esta pérdida doble destaca las limitaciones de las interfaces actuales de billeteras centradas en los usuarios, el auge de la ingeniería social inteligente en el crimen cripto y la necesidad urgente de soluciones de seguridad sólidas en todo Web3.
Las transferencias de valor cero explotan un defecto en cómo los usuarios interpretan el historial de transacciones y confían en las direcciones de las billeteras. La técnica abusa de la función transferFrom del estándar de token ERC-20, que permite a cualquier parte iniciar una transferencia de token sin el consentimiento del usuario, si la cantidad es cero.
Debido a que no se mueven tokens reales, estas transacciones de valor cero falsificadas no requieren una firma digital de la billetera objetivo. No obstante, se registran en la cadena, a menudo engañando a las víctimas para que crean que la dirección falsificada es una previamente confiable.
En efecto, los estafadores "envenenan" el historial de transacciones de una víctima al inyectar transferencias de valor cero que parecen legítimas. Cuando la víctima más tarde realiza una transacción real, tal vez usando el historial de la billetera o copiando una dirección con la que ha interactuado antes, puede enviar fondos accidentalmente a la dirección falsificada del atacante.
Este exploit se basa y extiende un método de ataque relacionado llamado envenenamiento de direcciones, donde los estafadores envían pequeñas cantidades de criptomonedas desde direcciones que visualmente se parecen a los contactos conocidos de un usuario. Esto generalmente se basa en explotar la dependencia del usuario en la coincidencia parcial de direcciones, a menudo los primeros y últimos cuatro caracteres, en lugar de verificar toda la cadena.
Phishing Avanzado
El peligro clave detrás de las estafas de cero-transferencias y de envenenamiento de direcciones no radica en la ruptura de protocolos criptográficos, sino en la manipulación del comportamiento del usuario. Las interfaces de billeteras criptográficas, especialmente las billeteras basadas en navegadores y aplicaciones móviles, a menudo muestran historiales de direcciones y transacciones pasadas como indicadores de seguridad, confianza o uso previo. Esto crea una superficie de ataque que no depende de vulnerabilidades en el código, sino en la toma de decisiones humanas.
En el caso reciente del robo de $2.6 millones, la víctima probablemente utilizó el historial de transacciones de su billetera para iniciar o verificar la dirección, creyendo que estaba enviando fondos a un contacto conocido o previamente de confianza. La repetición del ataque en menos de tres horas sugiere que la víctima o no detectó la pérdida inicial a tiempo o creyó que la primera transacción era legítima, ambos escenarios que apuntan a lo sigiloso y convincente que puede ser el engaño en tiempo real.
Las pérdidas fueron exclusivamente en USDT (Tether), una stablecoin ampliamente usada con miles de millones en volumen diario en la cadena. Debido a que el USDT se usa típicamente en grandes transferencias institucionales y minoristas, se ha convertido en un objetivo principal para estafas de precisión que se enfocan en billeteras de alto valor.
Ataques de Envenenamiento en Aumento
El incidente no es un caso aislado. Un estudio integral publicado en enero de 2025 reveló que se registraron más de 270 millones de intentos de envenenamiento de direcciones en Ethereum y BNB Chain entre julio de 2022 y junio de 2024. Aunque solo 6,000 de esos ataques tuvieron éxito, colectivamente representaron más de $83 millones en pérdidas confirmadas.
El gran número de intentos, tanto exitosos como no, sugiere que las estrategias de envenenamiento son baratas de ejecutar y siguen siendo efectivas debido a las tendencias de comportamiento de los usuarios y la falta de experiencias de usuario anti-phishing en las billeteras criptográficas comunes.
Notablemente, la magnitud del daño en casos individuales es significativa. En 2023, una estafa similar de transferencia cero llevó al robo de $20 millones en USDT, antes de que Tether finalmente colocara en una lista negra la billetera. Sin embargo, la inclusión en listas negras no es una salvaguarda universal: muchos tokens no admiten listas negras de emisores, y no todas las redes blockchain ofrecen herramientas de intervención similares.
Herramientas de Detección de IA y Reformas de Interfaces
En respuesta al aumento del phishing de cero-transferencias, varias empresas de ciberseguridad e infraestructura de billeteras están intentando mitigar los riesgos a través de sistemas de detección más inteligentes.
A principios de este año, la empresa de seguridad blockchain Trugard se asoció con el protocolo de seguridad en cadena Webacy para introducir un sistema de detección basado en IA diseñado específicamente para señalar posibles intentos de envenenamiento de direcciones. Según sus desarrolladores, la herramienta ha demostrado una tasa de precisión del 97% en pruebas que involucran datos históricos de ataques.
El sistema funciona analizando patrones en los metadatos de transacciones, el comportamiento de transferencias y las similitudes de direcciones, alertando a los usuarios antes de que se finalice una transacción. Sin embargo, la adopción general en las billeteras populares sigue siendo limitada, ya que muchas plataformas aún están en proceso de integrar herramientas de seguridad de terceros.
Algunos desarrolladores de billeteras también están explorando cambios en cómo se presentan los historiales de transacciones. Por ejemplo, señalar transacciones de valor cero, colorear direcciones según puntuaciones de confianza y facilitar la verificación completa de direcciones son algunas medidas consideradas para interrumpir las tasas de éxito de las estafas. Pero hasta que tales cambios de interfaz se estandaricen en toda la industria, los usuarios seguirán expuestos.
Lagunas Legales y Regulatorias
Aunque las estafas de transferencia cero son tecnológicamente simples, la acción legal contra los perpetradores es compleja y rara vez exitosa. Muchas de estas estafas se originan en entidades seudónimas o extranjeras, con fondos rápidamente blanqueados a través de intercambios descentralizados, mezcladores o puentes entre cadenas.
Los emisores de stablecoins como Tether solo pueden intervenir cuando existen mecanismos de control centralizado y solo si los fondos robados permanecen intactos o se pueden rastrear. Una vez que los atacantes trasladan los fondos a grupos de privacidad o los convierten en otros activos, la recuperación se vuelve prácticamente imposible.
Además, las agencias de aplicación de la ley a menudo carecen de la experiencia técnica o del alcance jurisdiccional para investigar tales ataques, a menos que formen parte de campañas organizadas más grandes.
La Última Línea de Defensa
Por el momento, los usuarios finales deben adoptar una mayor precaución al interactuar con direcciones de blockchain, especialmente para transferencias de gran valor. Las mejores prácticas incluyen:
- Verificar siempre la dirección completa, no solo los primeros/últimos caracteres.
- Evitar el uso del historial de billetera para copiar direcciones.
- Marcar manualmente direcciones conocidas de fuentes oficiales.
- Usar billeteras con detección de phishing incorporada, cuando estén disponibles.
- Supervisar las transferencias entrantes de valor cero como posibles señales de alerta.
El aumento de los ataques de phishing de cero-transferencias demuestra un cambio en las amenazas de Web3, de hacks a nivel de protocolo a ataques de ingeniería social que utilizan metadatos en la cadena. A medida que crece el valor de los activos en blockchains públicas, también lo hará la sofisticación de estos métodos, haciendo que la educación del usuario y el mejoramiento de las herramientas de billeteras sean críticos para proteger los fondos.