Address poisoning: comprueba el destinatario antes de enviar

Para evitar el address poisoning, obtén la dirección del destinatario de forma independiente y compara el destino completo antes de confirmar. No reutilices una dirección solo porque una fila reciente de transacciones parezca familiar. Una entrada del historial indica que se registró actividad; no establece que la dirección pertenezca a la persona a la que quieres pagar.

Esta guía ofrece una comprobación del destinatario que puedes repetir. No te pide mover fondos, firmar una transacción de prueba ni interactuar con un token desconocido.

Por qué la dirección del historial puede parecer correcta

En una estafa de address poisoning, un atacante crea una dirección parecida y la introduce en tu historial mediante una transferencia de valor insignificante o cero. El objetivo es que copies esa dirección para un pago posterior. La explicación de MetaMask describe el mecanismo y advierte que no debes fiarte de inicios y finales coincidentes: el centro puede diferir.

Recibir una entrada así por sí solo no demuestra que tus claves de firma estén comprometidas. El peligro está en el destino que elijas después.

Imagina dos etiquetas abreviadas:

• Destinatario previsto: MISMO-INICIO [centro verificado] MISMO-FINAL
• Imitación: MISMO-INICIO [centro diferente] MISMO-FINAL

Son etiquetas simbólicas, no direcciones de billeteras. Si la interfaz oculta el centro, ambas filas pueden parecer igual de familiares. Ampliar una fila revela más caracteres, pero sigues necesitando una referencia independiente para saber cuál es la dirección completa prevista.

Prepara una referencia del destinatario antes de abrir Enviar

Escribe el propósito de la transferencia con palabras sencillas: tu propia billetera receptora, la billetera de una persona concreta o un depósito en tu cuenta de un servicio. Ese propósito determina de dónde debe salir la referencia.

Destino previsto	Referencia independiente
Tu propia billetera	Su dirección completa de recepción
Otra persona	Dirección confirmada mediante un canal de contacto conocido
Depósito en un servicio	Página actual de depósito dentro de la cuenta oficial

Para otra persona, haz una pregunta concreta: «¿Es esta tu dirección de recepción para esta red?» Envía la dirección candidata completa por el canal que ya usas con esa persona. Una respuesta de una cuenta desconocida no confirma que hables con tu contacto habitual.

Para un servicio, lee las instrucciones actuales junto con la dirección. Comprueba el activo y la red seleccionados, además de cualquier información adicional de destino que exija el servicio. Un nombre de cuenta familiar o una captura antigua de depósito no resuelven una discrepancia con las instrucciones de hoy. Si el destino sigue sin estar claro, detente antes de crear la transferencia.

Si el destinatario usa un nombre legible, nuestra guía de nombre ENS a dirección explica cómo examinar el registro de dirección correspondiente. Buscar un nombre y verificar a la persona prevista son comprobaciones distintas.

Compara la dirección completa después de pegarla

Mantén disponible la referencia independiente mientras preparas la transferencia. Las recomendaciones de Trezor también piden comprobar cada carácter antes de confirmar, incluso cuando el destino es tu propia billetera. Esta es una lista editorial para aplicar la comprobación de la dirección completa, no una función atribuida a una billetera concreta.

1. Elige la red y el activo previstos. Asegúrate de que la referencia corresponde al mismo contexto de destino.
2. Pega la dirección completa del destinatario desde la fuente verificada. Amplía el campo de destino si solo muestra una etiqueta abreviada.
3. Compara cada parte del valor pegado. Recorre toda la cadena en grupos manejables, incluido el centro. No termines la comprobación porque coincida el prefijo.
4. Lee la confirmación final. Comprueba el destinatario real, la red y el importe que aparecen para la transferencia que vas a autorizar. Si el destinatario completo no está disponible, no has completado esta comprobación.
5. Detente ante cualquier discrepancia. Vuelve a la fuente fiable y establece de nuevo la dirección prevista. No elijas la fila del historial que más se parezca.

MetaMask recomienda contactos verificados y describe la pantalla del destinatario de una billetera de hardware como otro punto de comprobación. Un contacto guardado solo es útil después de comprobar su dirección. La pantalla de un dispositivo ofrece otro lugar para comparar; confirmar la misma dirección incorrecta en dos pantallas no establece el destinatario correcto.

Separa las comprobaciones del destinatario de la limpieza de la cartera

Una entrada no deseada del historial, un activo no deseado y un permiso de gasto plantean preguntas diferentes. Nuestra guía de tokens spam y NFT trata la identidad de los activos y la limpieza de su visualización. La guía de permisos de tokens trata los permisos que tiene quien puede gastar. Ni ocultar una fila ni desconectar un sitio verifica el destino del siguiente pago.

Owlio lee los activos de direcciones públicas. Añadir una dirección a un rastreador puede ayudarte a examinar la billetera elegida, pero su saldo no prueba que pertenezca al destinatario previsto. Owlio no firma ni envía tu transferencia, y esta guía no afirma que detecte entradas manipuladas del historial.

Si ya confirmaste una transferencia a una dirección sospechosa, conserva el identificador de la transacción, la red y el destino completo para investigarla. Consulta a tu billetera de envío o al servicio mediante su canal oficial de soporte. Actualizar la cartera, editar un contacto u ocultar una fila no revierte el pago confirmado, y esta lista no puede prometer una recuperación.

Para la siguiente transferencia, la regla para detenerse es sencilla: continúa solo cuando el destino completo coincida con la referencia del destinatario verificada de forma independiente en la confirmación de envío. Una fila reciente del historial no puede aportar esa verificación por sí sola.