Envenenamiento de direcciones

El ataque tiene dos piezas. Primero, el atacante genera por fuerza bruta una dirección vanity cuyos primeros y últimos caracteres coinciden con la dirección que la víctima suele usar, ya que muchas wallets ocultan el centro y la gente solo verifica los extremos. Después inyecta esa dirección señuelo en el historial: mediante un zero-value transfer, que aprovecha que un transferFrom de ERC-20 permite mover un importe cero sin tener saldo ni autorización, o enviando polvo o un token falso con el mismo nombre. La víctima, en un envío posterior, copia la dirección parecida del historial.

A diferencia del phishing de aprobaciones, aquí no hay firma de autorización: el daño se materializa por un error humano de copiado. La defensa es no copiar direcciones del historial, usar una libreta de direcciones o lista de confianza, verificar la dirección completa y no solo prefijo y sufijo, y hacer un envío de prueba pequeño antes de mover una cantidad relevante. El fenómeno está documentado y advertido por MetaMask, Trezor, Ledger y Etherscan, que marca estas transacciones como sospechosas en su explorador.