Una cartera de Solana envió primero 10 USDT a su dirección legítima de depósito en Gate.io y, segundos después, realizó una pequeña transferencia de prueba a una dirección fraudulenta. El error terminó con el envío de 30.749,80 USDT al mismo destinatario equivocado, según un análisis publicado el 9 de octubre de 2026 por la firma de datos de cadena de bloques Bitquery.
El caso ilustra el riesgo de las estafas conocidas como envenenamiento de direcciones. La técnica no necesita vaciar directamente una cartera: introduce en su historial una dirección visualmente parecida a otra utilizada previamente por el usuario. Si este la copia más adelante sin comprobarla, puede enviar los fondos al estafador.
Una transferencia de prueba no confirma al destinatario
El incidente analizado por Bitquery se produjo el 17 de noviembre de 2025. La cartera envió inicialmente 10 USDT a su dirección de depósito de Gate.io. Doce segundos más tarde, una dirección parecida recibió una transferencia mínima, diseñada para aparecer cerca del movimiento legítimo en el historial.
Después, el propietario de la cartera remitió otros 10 USDT a esa dirección falsa como prueba. La operación se completó, pero solo confirmó que los fondos habían llegado a la dirección seleccionada. No demostró quién controlaba el destino ni que la dirección perteneciera a Gate.io. A continuación, la misma cartera envió 30.749,80 USDT a la dirección fraudulenta.
La conclusión es relevante para cualquier usuario que utilice una transferencia pequeña antes de mover una cantidad mayor: si la dirección se ha copiado de forma incorrecta, repetir el pago —aunque sea por un importe reducido— repite también el error. La recepción de una transferencia mínima, por sí sola, no permite al atacante retirar fondos de la cartera. La pérdida se produce cuando el usuario autoriza posteriormente un pago a la dirección parecida.
Millones de carteras expuestas, pero no todas perdieron fondos
Bitquery identificó 4.497.798 carteras objetivo entre el 30 de octubre de 2025 y el 7 de octubre de 2026. Para incluir una cartera en ese recuento, exigió que hubiera realizado el mismo día un pago de al menos 1 dólar en SOL, USDC o USDT y que después recibiera una cantidad mínima o un token estable falso desde otra dirección. Esa dirección debía coincidir con al menos tres caracteres al principio y al final de la dirección legítima del destinatario.
La cifra de carteras atacadas no equivale al número de usuarios que perdieron dinero. Para estudiar las pérdidas, Bitquery utilizó un subconjunto de aproximadamente 3 millones de carteras envenenadas hasta el 9 de julio de 2026. De ellas, 1.104 realizaron pagos que cumplían los criterios del análisis, por un valor total de 940.106 dólares.
La propia firma considera que ese importe es un mínimo. El cálculo solo incluye pagos de al menos 1 dólar realizados dentro de los 90 días posteriores a la primera transferencia mínima. También podía incluir operaciones posteriores si ese mismo día se recibían nuevas transferencias mínimas. Quedaron fuera las carteras envenenadas después del 9 de julio, los pagos que no encajaban en esas reglas y algunas relaciones que parecían legítimas, como direcciones entre las que ya había habido pagos o devoluciones. Por tanto, algunas pérdidas reales podrían no figurar en el recuento.
La recomendación: no copiar direcciones del historial
Phantom, una de las carteras utilizadas en Solana, aconseja no copiar direcciones desde el historial de transacciones y comprobar siempre el destinatario antes de enviar fondos. Sus instrucciones para recibir pagos separan además dos comprobaciones: verificar primero la dirección exacta y la red, y consultar después el estado de la operación en un explorador de bloques.
La plataforma también advierte de que no puede recuperar los tokens enviados a una dirección incorrecta. En este tipo de fraude, una transferencia de prueba puede completarse con normalidad y, aun así, llevar al usuario a repetir el pago hacia un destinatario que no controla.
