El Nombre Es Gratis: Cinco Alertas Antes de Operar en Base
Cualquiera puede llamar Tether a un token. Solo un contrato lo es.
Leímos diez minutos de tráfico de tokens en Base y encontramos un segundo "Tether USD" con los decimales equivocados, siete contratos distintos llamados USDF y una familia de 95 tokens de lanzadera disfrazados de fondos de petróleo y dividendos. Nada de eso rompe una regla. Ese es el problema. Estas son las cinco comprobaciones que separan un contrato de un disfraz antes de pulsar swap.
El Esquema
En Base, el nombre, el símbolo y el logo de un token son solo texto que escribe quien lo despliega. Los contratos impostores reutilizan nombres y tickers de activos de confianza, toman prestada la autoridad de palabras como Fund o Reserve y cuentan con compradores que buscan un ticker, ven una etiqueta conocida y aprueban el primer resultado. La única identidad que no se puede copiar es la dirección del contrato.
1. Diez Minutos, 978 Marcas
El 20 de octubre de 2026, entre las 17:08:59 y las 17:18:57 UTC, el equipo leyó todos los eventos Transfer ERC-20 de Base en 300 bloques consecutivos, del 52.863.396 al 52.863.695. Son unos diez minutos. Contenían 92.746 transferencias de tokens de 978 contratos distintos.
Después hicimos a cada contrato una sola pregunta: ¿cómo te llamas? El estándar ERC-20 permite que un contrato responda con cualquier símbolo y cualquier nombre que haya elegido quien lo desplegó. Nadie lo comprueba. No hay registro, ni oficina de marcas, ni portero en la puerta.
Nota de método: consultamos nodos públicos de Base para los eventos Transfer y Approval, leímos directamente de la cadena el símbolo, el nombre, los decimales y el propietario de cada contrato, y contrastamos los sospechosos con la API pública de tokens de GoPlus Security. Cualquiera con un endpoint RPC puede repetir el mismo rango de bloques. Cada contrato aparece con una dirección abreviada enlazada a BaseScan para que lo verifiques tú. Nada de esto es un robo confirmado; son las condiciones que un robo necesita.
2. Primera Alerta: Mismo Nombre, Otra Dirección
En nuestra ventana, dos contratos respondieron "USDT" y "Tether USD". Uno es el contrato de Tether puenteado en Base, con 630.125 titulares según GoPlus. El otro, 0x9e85…2b07, tenía 85.
Mismo nombre. Mismo símbolo. Mismo logo, si una web quiere dibujarlo. El impostor incluso tiene un pool de intercambio, así que una búsqueda de tokens puede mostrarlo junto al auténtico. GoPlus lo marca como token falso y señala la dirección genuina. La pantalla de swap de tu cartera quizá no.
Un segundo contrato, 0xa0d7…57a8, se presenta como "USD Coin (wrapped)" con el símbolo USDC. Tenía dos titulares y una función de emisión, y GoPlus también lo marca como falso. Circle publica una única dirección de USDC nativo en Base. Todo lo demás que lleva esa insignia es el traje de otro.
La comprobación: nunca elijas un token por su nombre. Pega la dirección desde la documentación del propio emisor, como la lista oficial de Circle, y compara cada carácter.
3. Segunda Alerta: El Ticker Es un Disfraz
En esos diez minutos, 27 contratos además del USDC nativo y el USDT puenteado tenían un ticker que empezaba por USD. Algunos son productos legítimos y conocidos. Otros no. El ticker no te dice cuál es cuál, y ese es todo el truco.
Y mejora. Siete contratos distintos se llamaban USDF. Otros siete eran USDP. Seis más, AODF. Mismo ticker, distinto contrato, distinto dueño del riesgo. Una web de gráficos, un promotor de Telegram y un buscador de swaps pueden estar enseñándote uno diferente cada uno mientras todos pronuncian las mismas tres letras sin pestañear.
Es la versión en token de la dirección doble que medimos en el gemelo de cuatro minutos: se copia la etiqueta porque la etiqueta es lo que la gente lee. Vimos el mismo disfraz en el caso del honeypot USDT-Z, solo que allí el disfraz venía con un candado en la salida.
La comprobación:* si un ticker devuelve más de un resultado, para. Una colisión no es una casualidad que se resuelve eligiendo el del logo más bonito.
4. Tercera Alerta: Un Fondo Solo de Nombre
La familia más grande de nuestra muestra eran 95 tokens con el mismo código de 10.144 bytes y el mismo propietario: un contrato que BaseScan etiqueta como "Whetstone: Airlock Launch Controller", una plataforma de lanzamiento de tokens. Entre todos se movieron 2.203 veces en diez minutos.
Muchos nombres parecen sacados de un folleto de pensiones: "United States Dividend Fund", "American Oil Dividend Fund", "National Oil Dividend Fund", "United Energy Reserve", varios con un emoji de fuego para ese toque extra de aprobación regulatoria. Son tokens de lanzadera. Un controlador de lanzamiento compartido es infraestructura, no prueba de delito, y no afirmamos nada sobre quién los desplegó ni por qué.
Lo que sí podemos decir es más estrecho y más útil. Un ticker que dice Fund no crea un fondo. El nombre no trae folleto, ni custodio, ni mecanismo de dividendos. GoPlus indicó que las transferencias pueden pausarse en 23 de los 25 que muestreamos, un control normal en algunos diseños de lanzamiento que conviene conocer antes de comprar.
La comprobación:* cuando el nombre de un token toma prestado el vocabulario de las finanzas reguladas, busca la parte regulada. Si no la encuentras, el producto es el nombre.
5. Cuarta Alerta: La Firma Es la Compra
Comprar un token en Base suele empezar con una aprobación: permiso para que un router o contrato mueva tus tokens. En una ventana de 600 bloques que termina en el mismo bloque contamos 20.307 eventos Approval ERC-20. 1.319 concedían un permiso prácticamente ilimitado, 1.152 de ellos el número máximo exacto que permite el estándar, desde 618 direcciones hacia 205 receptores distintos. El contrato Permit2 de Uniswap estaba entre los más frecuentes.
Aviso, para que nadie nos cite mal: algunos contratos emiten eventos Approval durante transferencias normales, y muchas aprobaciones vienen de bots. Son eventos, no un recuento de personas. Lo importante es la forma. Las aprobaciones ilimitadas son rutina, y por eso un receptor malicioso se esconde cómodamente entre la multitud.
Una aprobación ilimitada a un contrato impostor, o a una web falsa que imita un DEX conocido, no caduca al cerrar la pestaña. Ese patrón recorría el caso de phishing de aprobaciones que cubrimos antes.
La comprobación: aprueba solo la cantidad que vas a intercambiar, lee qué contrato recibe el permiso y revisa los permisos antiguos con una herramienta como Revoke.cash.
6. Quinta Alerta: Decimales y Titulares No Mienten
El Tether falso de nuestra ventana tiene 18 decimales. El USDT puenteado en Base tiene 6. Ese número es una huella que el imitador suele olvidar, porque el campo del nombre es cosmético y el de los decimales es fontanería.
El número de titulares es la otra pista rápida. 630.125 contra 85 no es una decisión ajustada. Tampoco lo es una ficha de token creada el martes pasado con un contrato que nadie ha leído.
En BaseScan, abre la página del token y revisa cuatro líneas: dirección del contrato, decimales, titulares y creador. En GoPlus o un escáner similar, busca las marcas de token falso, emisión, pausa y propietario. Ninguna es un veredicto por sí sola. Juntas llevan menos de un minuto, menos de lo que cuesta explicarle la pérdida a tu gestor.
La comprobación:* si los decimales, los titulares o el creador no coinciden con lo que publica el emisor, no estás mirando el activo que crees.
7. La Rutina de Sesenta Segundos Antes del Swap
Primero la dirección, nunca el nombre. Copia el contrato desde la documentación oficial del emisor o la documentación de Base, no desde un resultado de búsqueda, una respuesta o una web de gráficos.
Resuelve cada colisión. Si el mismo ticker devuelve varios contratos, asume que al menos uno va disfrazado y verifica la dirección antes de elegir.
Desconfía de la autoridad prestada. Palabras como Fund, Reserve, Dividend u Official se escriben gratis. Busca la entidad regulada detrás, no el emoji de al lado.
Limita la aprobación. Aprueba solo el importe del swap, confirma el receptor y limpia los permisos antiguos con regularidad.
Lee cuatro números. Decimales, titulares, fecha de creación y creador en BaseScan, y después un escáner de tokens para las marcas de falso, emisión y pausa. Ten en cuenta que la comprobación de carteras de CryptoStrapon no cubre Base por ahora, así que el explorador y un escáner de tokens son tus herramientas aquí, tanto si llegas por Aerodrome, por un lanzamiento de Clanker o por el enlace de un desconocido.
Vocabulario Descifrado
La jerga del golpe, traducida antes de que el villano cambie de sombrero.
Contrato de token impostor
Suplantación de símbolo de token
Colisión de ticker
Decimales del token
Aprobación ilimitada de tokens
Revocación de aprobación
“El nombre es gratis.”
La dirección es la única que te pasa la factura.
Preguntas Frecuentes
Fuentes y Citas
Evidencia principal: lectura propia del equipo de los eventos Transfer y Approval ERC-20 en Base, bloques 52.863.096–52.863.695 (20 oct 2026), con marcas de tokens de GoPlus Security. Los estándares y la documentación oficial aportan contexto.
BaseScan · 20 oct 2026
BaseScan · 20 oct 2026
BaseScan · 20 oct 2026
Circle · Fecha no publicada o no verificada
GoPlus Security · Fecha no publicada o no verificada
Ethereum Improvement Proposals · Fecha no publicada o no verificada
Revoke.cash · Fecha no publicada o no verificada
Base Documentation · Fecha no publicada o no verificada
Clanker · Fecha no publicada o no verificada
Verificación: Todas las transacciones y direcciones de blockchain referenciadas en este artículo pueden verificarse de forma independiente a través de los exploradores de blockchain enlazados. Animamos a los lectores a realizar su propia verificación.
Metodología: Cada caso requiere al menos dos fuentes independientes antes de publicarse, más evidencia on-chain verificable cuando existe un rastro público. Estándares completos: /es/methodology
Aviso legal: Esta evaluación se basa en datos disponibles públicamente, incluidos registros on-chain, comunicados oficiales e incidentes documentados. Es un análisis periodístico y educativo, no asesoramiento legal, una acusación de conducta delictiva ni una resolución judicial. Las empresas, proyectos, dominios, carteras y personas nombradas se describen según las fuentes citadas; una empresa puede aparecer porque fue suplantada por estafadores, no porque hiciera algo indebido. Si crees que algo es inexacto o está desactualizado, escribe a cryptostrapon@pm.me y lo corregiremos registrando el cambio. Política editorial
Historias relacionadas
Sigue aprendiendo sobre amenazas cripto
7 Estafas de Billeteras Crypto Que Drenan Víctimas [2026]
Seguridad de Billetera • 2026-06-24
Apps de phishing robaron $4.6B en 2025. Capturas reales, frases semilla falsas y la verificación de 3 pasos que detiene el 99% de drenajes.
Flash USDT: Qué Es y Cómo Verificar USDT Real
Estafa de Token • 2026-06-24
Qué es Flash USDT y cómo engañan los saldos falsos. Guías para verificar pagos, contratos por red, ofertas de software y tokens que bloquean ventas.
Bitcoin Negro: Por Qué 'BTC Barato' = Fondos Robados
Fraude OTC • 2025-08-01
70% descuento en Bitcoin suena genial — hasta que Chainalysis lo rastrea a tu billetera. Mira cómo el crypto 'contaminado' te marca y congela.