El Gemelo de Cuatro Minutos: Address Poisoning en Base
Gas barato, manos rápidas y un doble esperando en tu historial.
Pagas a alguien en USDC. Antes de que se enfríe el café, aparece una segunda dirección con la misma cara. Sin claves robadas. Sin tu firma. Solo una línea con apariencia falsa esperando tu próximo copiar y pegar. Observamos veinte minutos de Base, contamos 2.101 entradas de valor cero y cronometramos los gemelos. Lo interesante no es el disfraz: es lo rápido que trabaja vestuario.
El Esquema
Una operación automatizada vigila pagos reales de USDC en Base, genera una dirección que coincide con los cuatro primeros y últimos caracteres del destinatario y usa llamadas transferFrom de valor cero en lotes baratos para plantar ese gemelo en el historial del pagador. La apuesta es que el siguiente pago repetido se copie del historial y no de un contacto verificado.
Veinte Minutos. Una Fotocopiadora Ocupada.
El 20 de octubre de 2026, entre las 16:01:57 y las 16:21:55 UTC, el equipo leyó todos los eventos de transferencia de USDC en Base a lo largo de 600 bloques consecutivos, del 52.861.385 al 52.861.984. En esa ventana hubo 62.009 transferencias de USDC. 2.101 movieron exactamente cero USDC y aterrizaron en el historial de 1.650 carteras distintas.
Una transferencia de nada no es un pago. Es una tarjeta de visita. Una entrada de valor cero puede tener explicaciones legítimas; el cero por sí solo no condena a nadie. Pero un destinatario vestido para parecerse a alguien que el pagador ya utilizó merece otra mirada. En esos casos coincidentes, la entrada es el producto: una tarjeta de visita colada en un lugar que normalmente te inspira confianza. La fotocopiadora no imprime dinero. Imprime un sitio al que mandarlo.
Nota de método: consultamos el contrato oficial de USDC en Base a través de un nodo público y comparamos cada transferencia de valor cero con los pagos reales, distintos de cero, que hizo la misma cartera en la misma ventana. Cualquiera con un endpoint RPC puede repetir el mismo rango de bloques y obtener los mismos eventos. No contactamos ni identificamos a ningún titular.
El Gemelo se Adelanta al Café
De los 2.101 eventos de valor cero, 1.534 tenían un destinatario cuyos cuatro primeros y cuatro últimos caracteres hexadecimales coincidían con los de un destinatario de un pago auténtico, distinto de cero, hecho por la misma cartera dentro de nuestra ventana. Es alrededor del 73%. La comparación usa los caracteres hexadecimales, no el prefijo «0x». Es un criterio medido de parecido, no una prueba de que todas las entradas de valor cero sean hostiles.
En 1.520 casos coincidentes, el pago auténtico precedió al evento de valor cero. La separación mediana fue de 115 bloques: unos 230 segundos con la cadencia de dos segundos de Base, poco menos de cuatro minutos. Una cuarta parte llegó en unos dos minutos y medio; nueve de cada diez, en unos once. Esos tiempos describen el subconjunto coincidente y ordenado, no las 2.101 entradas.
Esa es la diferencia entre repartir publicidad al azar y dirigir una carta después de observar al cartero. El destinatario no se parece simplemente a alguien en algún sitio: se parece a una contraparte que esa cartera utilizó en la ventana observada. La secuencia es compatible con vigilancia automatizada y despliegue rápido. No nos dice quién dirige la operación, qué programa utiliza ni si una sola persona controla todos los gemelos.
El mejor accesorio del ataque es la frescura. Recuerdas haber pagado; aparece otra fila familiar mientras el recuerdo sigue caliente. El historial ya ofrece dos candidatos para la próxima transferencia. Uno se ganó el puesto. El otro alquiló un disfraz.
La Firma Que No Era Tuya
El truco separa dos cosas que una lista puede hacer parecer idénticas: quién envió la transacción y qué direcciones aparecen dentro del evento Transfer del token. Quien envía firma la transacción. Un evento del token puede nombrar otra dirección como remitente aparente. Una fila con tu dirección no demuestra, por sí sola, que hayas firmado nada.
ERC-20 exige tratar las transferencias de valor cero como transferencias normales y emitir el evento Transfer. En la implementación publicada de Circle, un transferFrom de valor cero puede superar la comprobación de importe frente a autorización aunque esta sea cero, sujeto a las demás comprobaciones del contrato. Eso no concede permiso para mover un saldo positivo. Basta para escribir la entrada de valor cero. Para ese paso no hace falta robar ninguna clave secreta. El código publicado explica el mecanismo; no establecimos la implementación activa en los bloques históricos ni decodificamos la ruta de llamada de cada evento.
Que un explorador o una cartera muestre, etiquete u oculte el evento depende del servicio. Si lo incluye en el historial del token, el destinatario aparente puede quedar junto al real. El señuelo depende de tratar esa vista como una lista de destinatarios de confianza. La blockchain registra el evento correctamente; la inferencia peligrosa es que todo destinatario registrado tuvo que ser elegido por ti.
No publicamos ningún pagador ni destinatario real de la muestra, ni siquiera enmascarado. El mecanismo visual no necesita exhibir a una víctima: dos direcciones completas distintas pueden compartir los extremos visibles y diferir en el centro oculto. Con cuatro caracteres hexadecimales por extremo, solo se comparan ocho de cuarenta. Los otros treinta y dos no desaparecen. La pantalla simplemente no los presenta.
No es una colisión criptográfica, una clave privada duplicada ni la toma de control de la dirección auténtica. Es una coincidencia en la vista abreviada. El mismo esmoquin en la puerta; un caballero completamente distinto dentro.
El Lote Consigue Descuento de Grupo
En nuestra muestra, quienes enviaron las transacciones agruparon las entradas de valor cero en lotes; Base no fabrica los gemelos. Las 2.101 transferencias de valor cero viajaron en solo 247 transacciones, y el lote más grande llevaba 217 entradas. El volumen sale barato cuando un sobre contiene doscientas cartas.
Sacamos el recibo de un lote que plantó 120 entradas envenenadas de USDC. Su comisión total, ejecución más el cargo por datos en la capa 1 que Base repercute, fue de 0,0000132 ETH. Sale a unos 0,00000011 ETH por cada línea falsa en el historial de un desconocido.
Ese precio es la estrategia. La propia documentación de Base explica que sus comisiones combinan un pequeño cargo de ejecución con una tarifa de seguridad de L1, y los datos en blobs introducidos por EIP-4844 abarataron esos datos. Buena noticia para quien paga el café on-chain. Igual de buena para el caballero que imprime dobles en serie.
La observación de comisiones corresponde a un recibo, no a una tarifa de toda la campaña. Excluye el trabajo de generar direcciones parecidas, la infraestructura y otras transacciones. Las comisiones también varían. Podemos demostrar que enviar ese lote fue barato; no calcular el beneficio del operador sin conocer pagos exitosos y costes más amplios. La factura es pequeña. No tenemos su contabilidad.
La Aritmética de la Cola
Hay otra forma de leer la muestra que el titular no cuenta. Los 2.101 eventos de valor cero son el 3,39% de los 62.009 eventos Transfer de USDC: alrededor de uno de cada treinta. En los 19 minutos y 58 segundos registrados, son unas 105 entradas de valor cero por minuto. Son cálculos de nuestra ventana, no un conjunto nuevo de datos ni una previsión diaria. Y cuentan todos los eventos de valor cero, no solo el subconjunto a medida.
Las 247 transacciones transportaron una media de 8,51 entradas de valor cero cada una. La mayor, con 217, representa por sí sola alrededor del 10,3% de todo el recuento de valor cero. Por eso «número de transferencias» y «número de transacciones» no son intercambiables. Un solo envío puede escribir muchas líneas. Contar cada línea como un atacante distinto convertiría a un señor con impresora en un congreso.
Del mismo modo, 1.650 carteras distintas no son 1.650 personas identificadas. Una persona puede usar varias carteras; un servicio puede representar a muchas personas. Tampoco 247 transacciones demuestran 247 operadores. Nuestro hallazgo distintivo es combinar tiempos, coincidencia de extremos visibles y lotes en la misma muestra acotada de USDC. No afirmamos que nadie haya estudiado esas características antes. La aportación del equipo es esta medición concreta y sus denominadores transparentes.
Los Catorce Que No Llevan Cronómetro
Resta 1.520 coincidencias ordenadas de 1.534 coincidencias totales: quedan catorce. Cumplen el criterio de parecido dentro de la ventana, pero están fuera del subconjunto en que el pago auténtico precedió al evento de valor cero. No los metemos en la mediana de respuesta ni inventamos una historia sobre por qué están ahí. Parecido y cronología son dos pruebas distintas; aprobar una no implica aprobar la otra.
Los otros 567 eventos de valor cero no cumplieron nuestro criterio de misma cartera, misma ventana y coincidencia. Eso no los clasifica como seguros ni maliciosos. Un pago auténtico fuera de los veinte minutos no estaría disponible para comparar. Otros patrones de parecido también quedarían fuera de una regla de cuatro caracteres al principio y cuatro al final. El filtro identifica lo que encontró; no explica todo lo que dejó fuera.
Hay un segundo límite al cerrar la ventana. Un pago auténtico cerca del último bloque puede tener un gemelo que llegue después de terminar la recogida. La distribución observada describe las parejas que pudimos ver, no el tiempo completo de respuesta de todos los ataques. No seguimos pagos posteriores a los gemelos, no agrupamos operadores ni calculamos pérdidas. Veinte minutos son un testigo útil. No un narrador omnisciente.
Un Truco Viejo, No una Condena Nueva
El truco es viejo. El estudio revisado por pares de USENIX Security 2025, firmado por investigadores de Carnegie Mellon, midió 270 millones de intentos de envenenamiento contra 17 millones de víctimas durante dos años en Ethereum y BNB Smart Chain, con al menos 83,8 millones de USD en pérdidas confirmadas.
Un coste bajo de envío puede hacer económicamente tolerables muchos intentos fallidos. Un pago grande mal dirigido podría cambiar el cálculo, pero nuestra muestra no aporta una tasa de éxito ni una estimación de beneficio. Los intentos baratos no equivalen a una campaña rentable demostrada.
La telemetría del sector apunta en la misma dirección. Webacy informó en abril de 2026 de que los eventos de envenenamiento en las carteras que monitoriza se multiplicaron aproximadamente por cuatro entre octubre de 2025 y marzo de 2026, y de que redes de capa 2 como Base suponen una parte creciente. Nuestra instantánea de 20 minutos es una sola ventana, no una línea de tendencia, pero muestra la maquinaria a pleno turno.
El Próximo Pago Es el Premio
El patrón coincidente implica carteras que hicieron pagos auténticos, distintos de cero. No podemos saber si eran nóminas, proveedores, depósitos en exchanges o amigos ajustando cuentas. Son posibles situaciones de pagos repetidos, no identidades ni finalidades establecidas por nuestros logs. El peligro común es más sencillo: elegir un destinatario del historial en vez de verificarlo de forma independiente.
Contamos la versión minorista en el caso de envenenamiento de USDC por 0,08 $, donde un doble copiado costó 9.850 $. La investigación del ataque de polvo a Kraken y HTX mostró la misma lógica de dobles dirigida a flujos de exchanges. Base no inventa un delito nuevo. Ejecuta el de siempre a volumen industrial y con velocidad de minutos.
Un límite honesto: nuestra medición muestra intentos, no pérdidas. No rastreamos si alguna de esas 1.650 carteras pagó después a un gemelo. El peligro está en la preparación, y la preparación estaba en todas partes.
No Contrates al Historial Como Contable
Empieza por el destinatario, no por la última fila. Obtén la dirección mediante un canal del destinatario verificado de forma independiente y guárdala como contacto etiquetado o en una lista de permitidos. Una etiqueta que tú asignaste después de comprobar es útil; un nombre mostrado por un remitente desconocido no ofrece la misma garantía. El historial registra eventos, no invitados aprobados por ti.
Compara el destino completo. Comprueba toda la dirección con esa fuente verificada y en la red correcta. Leer seis caracteres del centro puede revelar una imitación sencilla, pero no garantiza nada: los atacantes pueden seleccionar patrones de parecido. No sustituyas una fuente independiente por una mirada más larga. En el centro suele romperse el disfraz; la dirección completa sigue siendo la identidad.
Trata las entradas inesperadas como no fiables. Un evento de valor cero o de polvo puede ser sospechoso sin mover fondos. Ocultar spam reduce el señuelo si la cartera lo permite, pero no borra el evento de la blockchain ni certifica las filas restantes. Un evento de valor cero no demuestra por sí solo que tus claves estén comprometidas. Revocar permisos no impide que alguien emita otro evento de valor cero.
En un envío grande, prueba el destino verificado. Manda una cantidad pequeña y pide al destinatario real, mediante el canal verificado de forma independiente, que confirme la recepción. Comprueba el destino completo y la transacción en BaseScan. Después reutiliza exactamente ese destino guardado. Enviar una prueba al gemelo y verla onchain solo demuestra que se la enviaste al gemelo. El ensayo tiene que contar con el actor correcto.
Si ya pagaste a la dirección equivocada, conserva las pruebas. Guarda el registro de la transacción y la correspondencia de forma privada; contacta cuanto antes con el servicio de envío y utiliza nuestra guía oficial para denunciar el robo de criptomonedas. No pagues a un desconocido para que «desbloquee» la transferencia. Nuestra guía de prevención del envenenamiento de direcciones ofrece la rutina paso a paso. En este caso, verifica la transacción real y el destinatario completo en BaseScan; una etiqueta general de riesgo no autentica a la persona a la que querías pagar.
Vocabulario Descifrado
La jerga del golpe, traducida antes de que el villano cambie de sombrero.
Envenenamiento de Direcciones
Suena a: Alguien entró en la cartera y cambió la dirección.
En realidad: Se planta un destinatario parecido en el historial. El señuelo busca un pago posterior que tú autorizas; la entrada no redirige un pago ya hecho.
Transferencia de Valor Cero
Suena a: Un pago de cero tiene que ser inocuo o imposible.
En realidad: Un token puede emitir un evento Transfer por cero. No mueve tokens, pero sus direcciones pueden crear una entrada engañosa. Cero es un importe, no una recomendación personal.
Dirección Vanity
Suena a: Un duplicado de la cartera del destinatario auténtico.
En realidad: Una dirección generada por separado y elegida por su parecido visible. No comparte la clave privada original. Igualar los extremos imita la pantalla, no la criptografía.
Transacción de Polvo
Suena a: Es lo mismo que un evento de valor cero.
En realidad: El polvo mueve una cantidad positiva diminuta; el cero no mueve nada. Ambos pueden llamar la atención sobre un destinatario. Esta medición cuenta eventos de USDC de valor cero, no todo el polvo ni todos los tokens.
Capa 2 (L2)
Suena a: Las comisiones baratas significan que el historial está revisado.
En realidad: Base procesa transacciones con costes de ejecución y de datos en L1. El coste bajo ayuda a usuarios legítimos y puede abaratar el spam. Barato no significa comprobado.
Agenda de Direcciones Permitidas
Suena a: Todo destinatario con una etiqueta amable está verificado.
En realidad: Un destino que comprobaste de forma independiente y guardaste deliberadamente. Lo valioso es comprobarlo, no la etiqueta. Guardar al gemelo solo reserva una mesa al caballero equivocado.
“La misma cara en los dos extremos.”
Otro granuja en el medio.
Preguntas Frecuentes
Fuentes y Citas
Evidencia principal: lectura propia del equipo de los eventos Transfer de USDC en Base, bloques 52.861.385–52.861.984 (20 oct 2026). La investigación revisada por pares, la telemetría del sector y la documentación oficial de comisiones aportan contexto.
Tsuchiya, Dong, Soska, Christin / USENIX · 13 ago 2025
Webacy · 22 abr 2026
Base Documentation · 1 sept 2026
Ethereum Improvement Proposals · Fecha no publicada o no verificada
Circle · Fecha no publicada o no verificada
BaseScan · Fecha no publicada o no verificada
Ethereum Improvement Proposals · Fecha no publicada o no verificada
Circle · Fecha no publicada o no verificada
Verificación: Todas las transacciones y direcciones de blockchain referenciadas en este artículo pueden verificarse de forma independiente a través de los exploradores de blockchain enlazados. Animamos a los lectores a realizar su propia verificación.
Metodología: Cada caso requiere al menos dos fuentes independientes antes de publicarse, más evidencia on-chain verificable cuando existe un rastro público. Estándares completos: /es/methodology
Aviso legal: Esta evaluación se basa en datos disponibles públicamente, incluidos registros on-chain, comunicados oficiales e incidentes documentados. Es un análisis periodístico y educativo, no asesoramiento legal, una acusación de conducta delictiva ni una resolución judicial. Las empresas, proyectos, dominios, carteras y personas nombradas se describen según las fuentes citadas; una empresa puede aparecer porque fue suplantada por estafadores, no porque hiciera algo indebido. Si crees que algo es inexacto o está desactualizado, escribe a cryptostrapon@pm.me y lo corregiremos registrando el cambio. Política editorial
Historias relacionadas
Sigue aprendiendo sobre amenazas cripto
7 Estafas de Billeteras Crypto Que Drenan Víctimas [2026]
Seguridad de Billetera • 2026-06-24
Apps de phishing robaron $4.6B en 2025. Capturas reales, frases semilla falsas y la verificación de 3 pasos que detiene el 99% de drenajes.
Flash USDT: Qué Es y Cómo Verificar USDT Real
Estafa de Token • 2026-06-24
Qué es Flash USDT y cómo engañan los saldos falsos. Guías para verificar pagos, contratos por red, ofertas de software y tokens que bloquean ventas.
Bitcoin Negro: Por Qué 'BTC Barato' = Fondos Robados
Fraude OTC • 2025-08-01
70% descuento en Bitcoin suena genial — hasta que Chainalysis lo rastrea a tu billetera. Mira cómo el crypto 'contaminado' te marca y congela.