Address misuse: un fallo de direcciones drenó 574,8 millones en ETH y BNB, según USENIX

Un estudio académico presentado en el foro de seguridad USENIX cuantificó por primera vez el impacto del address misuse, un patrón de errores y abusos en el manejo de direcciones de criptomonedas que habría drenado alrededor de 574,8 millones de dólares en Ether (ETH) y BNB. La investigación pone cifra a un problema que suele quedar oculto entre los grandes hackeos, pero que afecta de forma silenciosa tanto a usuarios como a contratos inteligentes.

El término, que podría traducirse como «uso indebido de direcciones», agrupa situaciones en las que fondos terminan en direcciones equivocadas, controladas por atacantes o simplemente irrecuperables. No se trata siempre de un robo clásico: en muchos casos el capital se pierde por fallos de diseño, direcciones generadas de forma insegura o transacciones dirigidas a destinos que nadie controla.

Qué revela el estudio sobre el address misuse

Los investigadores analizaron el comportamiento en las dos redes más activas por volumen de valor movido, Ethereum y BNB Chain, para rastrear cómo y dónde se produce esta fuga de fondos. La suma de 574,8 millones de dólares corresponde al valor agregado detectado en ambas cadenas, repartido entre distintos tipos de incidentes vinculados al mal uso de direcciones.

Publicidad

Entre los patrones documentados aparecen las direcciones débilmente generadas —donde una clave privada puede deducirse o colisionar—, los envíos a direcciones «quemadas» o sin dueño, y las técnicas de suplantación en las que un atacante induce a la víctima a copiar una dirección casi idéntica a la legítima. Este último método, conocido como address poisoning, se ha vuelto habitual: el estafador siembra el historial de transacciones de la víctima con movimientos de montos mínimos desde una dirección parecida, esperando que la persona copie la equivocada al pagar.

La conclusión de fondo es incómoda para la industria: buena parte de estas pérdidas no responde a vulnerabilidades exóticas, sino a debilidades conocidas en la forma en que se crean, muestran y verifican las direcciones. El eslabón humano, sumado a interfaces que muestran cadenas largas de caracteres difíciles de auditar a simple vista, amplifica el riesgo.

Por qué importa para usuarios de ETH y BNB

La cifra sitúa el address misuse en el mismo orden de magnitud que algunos de los mayores incidentes de seguridad del año, aunque su naturaleza dispersa lo haga menos visible. A diferencia de un exploit puntual contra un protocolo, aquí las pérdidas se acumulan gota a gota en miles de transacciones, lo que dificulta tanto la detección como la recuperación de los fondos.

Para quien opera con ETH o BNB, las implicaciones son prácticas. Verificar la dirección completa antes de enviar, no copiar destinos desde el historial de transacciones y apoyarse en listas de contactos o nombres de dominio verificables reduce de forma notable la exposición a estas técnicas. Los ataques de suplantación funcionan precisamente porque explotan el hábito de revisar solo los primeros y últimos caracteres.

El estudio también interpela a exchanges y billeteras. El diseño de las interfaces, las alertas ante direcciones nunca antes usadas y los controles sobre transferencias de monto cero pueden mitigar buena parte del problema sin cambiar el protocolo de base.

Un problema recurrente de seguridad

El hallazgo se suma a una serie de reportes que este año han insistido en el factor humano y en las fugas silenciosas de capital dentro del sector. Investigaciones recientes han documentado desde robos vinculados a billeteras físicas que rondan los 150 millones en Bitcoin hasta campañas de ingeniería social que operan en plataformas profesionales, como las estafas cripto en LinkedIn que las autoridades de Singapur cifraron en 11,8 millones de dólares.

El patrón común es claro: a medida que la infraestructura de las redes se endurece, los atacantes migran hacia el punto más vulnerable, que suele ser el usuario y su interacción cotidiana con las herramientas. El address misuse encaja en esa tendencia, porque no requiere romper la criptografía subyacente ni vulnerar un contrato: basta con aprovechar un descuido o una configuración deficiente.

Los autores del trabajo sugieren que la comunidad debería tratar la gestión de direcciones como una superficie de ataque de primer orden, con estándares más estrictos de generación de claves y validación en la capa de aplicación. Mientras esas prácticas no se generalicen, la advertencia de fondo permanece: en redes donde una transacción es irreversible, un solo carácter equivocado puede significar la pérdida definitiva de los fondos.