Firmas y direcciones
Lección 14 de 16 del curso «Ciberseguridad desde cero». Gratis, con animaciones y un test.
Envenenamiento de direcciones
Una dirección de monedero es larga, así que solo miramos el principio y el final. Los estafadores lo aprovechan: crean una dirección con los mismos primeros y últimos caracteres y te mandan desde ella una transferencia vacía. Aparece en tu historial y la próxima vez copias esa en vez de la real. En mayo de 2024 así se fueron en una transferencia 1155 WBTC, unos 68 millones de dólares. Ese dueño tuvo suerte y lo recuperó después, pero normalmente no vuelve.
Una firma no es “solo una firma”
El monedero no solo te pide confirmar transferencias. Un permiso da a un contrato derecho a llevarse tu token después, a veces sin límite. Una firma permit hace lo mismo pero parece un inocente “firma este mensaje” y ni cuesta comisión. Y desde la actualización de Ethereum de mayo de 2025 existe una firma que cede tu cuenta a un código ajeno. Los estafadores ya ponen “barredores” que se llevan todo lo que llega. Las webs drainer existen justo para sacarte estas firmas.
Hasta los profesionales firman a ciegas
El 21 de febrero de 2025 el exchange Bybit perdió 1.500 millones de dólares. Los atacantes infectaron el ordenador de un desarrollador de Safe{Wallet}, el servicio con el que Bybit firmaba transferencias. El equipo vio en la web una transferencia normal y la firmó. En realidad la firma cedía el control del monedero. La lección: si tu monedero muestra código ilegible en vez de un claro “enviar X a Y”, es una firma a ciegas. No se firma.
Cómo no caer
Copia la dirección de tus contactos o de la pantalla del destinatario, no del historial. Antes de una suma grande, manda una transferencia de prueba pequeña y pide confirmación. Una vez al mes abre revoke.cash o similar y revoca permisos desconocidos. Para proyectos nuevos, airdrops y memecoins usa otro monedero con poco dinero. Y el principal no lo conectes a nada salvo sitios de confianza.
Ponte a prueba
- En el historial de Dan hay una dirección parecida a la de su amigo: mismo principio y final. ¿De dónde sacar la dirección?
Respuesta correcta: De contactos guardados o del amigo, con prueba primero. Una dirección parecida en el historial es una trampa. La fuente debe ser tuya. - Una web de airdrop pide “solo firmar un mensaje”, sin comisión. ¿Qué peligro hay?
Respuesta correcta: La firma puede dar derecho a llevarse tus tokens. Las firmas permit y de cesión de cuenta no cuestan nada y se lo llevan todo. - Al firmar, el monedero muestra datos ilegibles en vez de “enviar X”. ¿Qué hacer?
Respuesta correcta: Rechazar: es una firma a ciegas. Si no entiendes lo que firmas, no firmes. Así perdió Bybit 1.500 millones.