Envenenamiento de direcciones en la Blockchain de TRON

¿Qué es la intoxicación por direcciones?

El envenenamiento de direcciones, a veces denominado "ataque de polvo", se ha convertido en una táctica de estafa persistente y cada vez más sofisticada. En estos esquemas, los actores maliciosos envían pequeñas cantidades de criptomoneda (por ejemplo, TRX, a menudo con un valor inferior a 0,01 USD) a un gran número de direcciones de monederos. 

En la cadena de bloques de TRON, estas microtransacciones suelen denominarse "polvo TRX". Aunque aparentemente inocuas, estas transferencias se utilizan a menudo para explotar la infraestructura de bajo coste y alto rendimiento de TRON, engañando a los usuarios para que interactúen con direcciones falsas o maliciosas que se parecen a las suyas.

Ataques con polvo y en qué se diferencian de otras tácticas de estafa 

Los ataques Dusting difieren de otras formas de AirDrops no solicitados tanto en la intención como en la ejecución. Estos esquemas suelen implicar:

• Envenenamiento de direcciones: Envío de una transacción de polvo desde una dirección que imita fielmente a una contraparte legítima con la que el objetivo ha interactuado previamente.
  
• Spam y ofuscación de transacciones: Inundación de monederos con tokens no solicitados para saturar los historiales de transacciones, lo que aumenta la probabilidad de que el usuario se equivoque o participe en contratos maliciosos y enlaces de phishing.
  
• Intentos de desanonimización: Rastreo de cómo los receptores mueven los fondos o interactúan con los intercambios en un esfuerzo por agrupar la propiedad de la cartera y reducir el seudonimato.

Aunque el dusting se produce en múltiples blockchains, la arquitectura de TRON -en particular su ancho de banda gratuito para transferencias básicas de TRX- la hace especialmente susceptible a la actividad de dusting de alta frecuencia.

Objetivos comunes de los ataques de polvo

Los ataques Dusting -particularmente como parte de esquemas de envenenamiento de direcciones- sirven para múltiples propósitos, la mayoría de los cuales son maliciosos por naturaleza. Los objetivos comunes incluyen:

• Phishing y robo: El dusting se utiliza a menudo para ejecutar estafas de envenenamiento de direcciones. Al enviar fondos desde una dirección falsa que se asemeja a una contraparte legítima, los estafadores engañan a los usuarios para que copien y peguen el destinatario equivocado, lo que resulta en la transferencia inadvertida de fondos a una dirección fraudulenta.
• Análisis del comportamiento: Los estafadores pueden intentar monitorizar cómo los usuarios gestionan o consolidan las transacciones de polvo. Este comportamiento puede ofrecer información sobre los patrones de propiedad del monedero o ayudar a identificar las direcciones con saldos más elevados, lo que podría exponer nuevas superficies de ataque.
• Promoción y señuelos de estafa: En algunos casos, el polvo se utiliza para promover esquemas fraudulentos, como tokens AirDropping con enlaces de phishing en sus nombres o metadatos, diseñados para atraer a los usuarios a participar en contratos o sitios web maliciosos.

Aunque no todas las transacciones de polvo son intrínsecamente maliciosas, TRM Labs recomienda tratar los microdepósitos no solicitados en TRON como sospechosos por defecto, y evitar cualquier interacción con fichas o direcciones desconocidas hasta que se pueda verificar su legitimidad.

Automatización y escala

El gran volumen de polvo TRX observado sugiere una actividad coordinada y automatizada. Probablemente atacantes:

• Ejecutar bots que supervisen la actividad en la cadena en tiempo real para identificar los monederos activos y dirigirse a ellos de forma oportunista.
• Utilizar herramientas de generación de direcciones falsas para crear direcciones de monedero falsas que se parezcan visualmente a las de contrapartes legítimas.
• Desplegar transacciones de polvo inmediatamente después de la actividad del usuario en un intento de manipular los historiales de transacciones y aumentar la probabilidad de envenenamiento de direcciones.

Criterios de selección de objetivos

La selección de objetivos en las campañas de limpieza de TRX se basa probablemente en varios indicadores observables en la cadena y en el comportamiento:

• Actividad reciente del monedero: Los atacantes pueden dar prioridad a los monederos que han realizado transacciones recientemente, lo que aumenta la probabilidad de que los usuarios estén comprometidos y sean susceptibles de engaño
• Saldos de alto valor: Los monederos con importes más elevados -especialmente en USDT, un objetivo frecuente en las variantes relacionadas con el phishing- pueden considerarse más lucrativos.
• Contrapartes primerizas: Las transacciones iniciales con direcciones desconocidas ofrecen a los atacantes una oportunidad oportuna para introducir direcciones falsificadas que imitan a remitentes legítimos
• Monederos no custodiados: Los monederos personales suelen ser más vulnerables a los exploits basados en la interacción, mientras que las plataformas de custodia pueden filtrar o suprimir por completo las transacciones de polvo

¿Cuáles son las señales de investigación del polvo TRX?

A pesar de su uso malintencionado, el polvo de TRX también puede generar señales de investigación que respalden Inteligencia en Blockchain esfuerzos:

• Mapeo de infraestructuras: Rastrear el origen y el flujo de las transacciones de polvo puede ayudar a identificar grupos de direcciones o monederos controlados por atacantes‍.
• Identificación de víctimas: Los analistas pueden detectar a los usuarios que utilizaron direcciones falsificadas, lo que a menudo se pone de manifiesto en las transferencias salientes a destinos parecidos tras un suceso de dusting‍.
• Vínculos entre campañas: Los indicadores coincidentes, como la infraestructura reutilizada, los patrones de comportamiento o las características de las direcciones personales, pueden conectar operaciones de phishing o estafa aparentemente distintas.

Uso de Analítica de blockchain de TRM para rastrear el polvo de TRX en la cadena

Como se muestra en la siguiente imagen, la dirección etiquetada como "Destinatario del polvo" depositó USDT en la dirección etiquetada como "Destinatario previsto". Aproximadamente 18 segundos después, la misma dirección recibió polvo TRX de la "Dirección de Polvo TRX". Cabe destacar que el primer y los dos últimos caracteres de esta dirección coincidían con los del "Destinatario previsto", es decir, que la dirección de envío de polvo se creó para que se pareciera al destinatario legítimo.

Rastrear hacia atrás

El análisis de Blockchain muestra que "TRX Dusting Address" se activó a mediados de julio de 2025, y desde entonces ha realizado aproximadamente 920 transacciones salientes, por un total de alrededor de 120 TRX (aproximadamente 40 USD a fecha de hoy).

Para más información, diríjase a TRM Labs identificó dos entidades conectadas (resaltadas como nodos naranjas en la imagen inferior):

• La primera entidad parece haber financiado "TRX Dusting Address" con TRX utilizado en la posterior actividad de desempolvado
  
• El segundo probablemente creó o activó "TRX Dusting Address", y también puede ser la fuente de su TRX inicial

El rastreo de esta infraestructura en varios saltos revela un enlace a un proveedor de servicios de activos virtuales (VASP). Si más tarde se confirma que "TRX Dusting Address" está implicado en una campaña de estafa legítima, este VASP puede representar una vía potencial para obtener información de Conozca a su cliente (KYC), en función de los acuerdos jurisdiccionales aplicables de acceso e intercambio de datos.

Identificación de direcciones adicionales de desempolvado

Analizando las transacciones salientes de la dirección que activó "TRX Dusting Address," TRM Labs identificó tres nodos adicionales, cada uno de los cuales recibió depósitos TRX coincidentes de fuentes distintas y posteriormente inició la actividad de dusting. Estos nodos se visualizan en el siguiente gráfico.

El análisis de Blockchain indica que la dirección activadora ejecutó aproximadamente 4.800 transacciones AccountCreateContract, lo que sugiere la creación de hasta 4.800 nuevas direcciones, probablemente con el fin de desplegar ataques de dusting a escala.

Si bien esto pone de relieve la escalabilidad y automatización de las operaciones de desempolvado en TRON, también refuerza que estos comportamientos producen señales rastreables, lo que permite a los investigadores cartografiar la infraestructura, sacar a la luz las relaciones y buscar la atribución a lo largo del tiempo.

Cómo los actores maliciosos pueden aprovecharse del campo de los memes

En la cadena de bloques de TRON, los usuarios pueden adjuntar campos de notas a las transacciones, que suelen utilizarse para comunicar contexto o instrucciones adicionales. Sin embargo, los actores maliciosos también pueden abusar de esta función para promover estafas o incrustar enlaces de suplantación de identidad directamente en los metadatos de la cadena.

En la siguiente imagen se puede ver un ejemplo de campo memo en Tronscan, lo que ilustra cómo se pueden utilizar estos campos para atraer a los usuarios a sitios web o servicios ajenos a la cadena.

TRM recomienda a las personas que tengan cuidado al visitar estos sitios web.

Consejos para mitigar el riesgo de ataques de polvo en TRON

TRM Labs aconseja a los usuarios que:

• Compruebe dos veces las direcciones de los destinatarios antes de enviar una transacción
  
• Tenga cuidado con las transacciones entrantes a nivel de polvo que impliquen la recepción de microcantidades de TRX
  
• Evite hacer clic en los enlaces que aparecen en los campos memo a menos que la fuente esté verificada y sea de confianza.

Esta entrada de blog sólo tiene fines informativos. Por favor póngase en contacto con TRM para información adicional o solicitudes de investigación.

‍

{{horizontal-line}}

Preguntas más frecuentes (FAQ)

1. ¿Qué es la intoxicación por direcciones?

El envenenamiento de direcciones es una táctica de estafa en la que un actor malicioso envía una pequeña cantidad de criptomoneda -a menudo por valor de menos de 0,01 USD- a la cartera de un usuario. Estas transacciones falsas están diseñadas para imitar direcciones legítimas en el historial de transacciones de un usuario, lo que aumenta el riesgo de que el usuario copie y reutilice accidentalmente una dirección fraudulenta.

2. ¿Por qué se llama "espolvorear"?

El "polvo" se refiere a las pequeñas cantidades de criptomonedas (por ejemplo, TRX) enviadas a la cartera de un usuario, a menudo demasiado pequeñas para comerciar o retirar. El dusting se utiliza para ocultar historiales de transacciones, promocionar tokens fraudulentos o engañar a los usuarios para que realicen interacciones inseguras.

3. ¿Cómo funciona el envenenamiento de direcciones en TRON?

En TRON, los atacantes suelen enviar TRX a nivel de polvo desde direcciones que se parecen visualmente a las contrapartes anteriores de un usuario. Esto aprovecha el bajo coste de la infraestructura de TRON, donde las microtransacciones son prácticamente gratuitas, lo que hace factibles las campañas de envenenamiento de direcciones a gran escala.

4. ¿Cuál es la diferencia entre espolvorear y AirDrops?

Aunque ambos implican transferencias no solicitadas de tokens, los AirDrops suelen ser promocionales y transparentes. Los ataques Dusting, por el contrario, pretenden confundir, engañar o monitorizar a los usuarios, a menudo con fines de phishing, desanonimización o promoción de estafas.

5. ¿Qué esperan conseguir los estafadores con el polvo?

Entre los objetivos comunes figuran:

• Phishing: engañar a los usuarios para que envíen fondos a direcciones falsas
  
• Seguimiento del comportamiento: Observar cómo manejan los usuarios los saldos pequeños para vincular carteras o identificar objetivos de alto valor.
  
• Promoción de estafas: Incrustación de enlaces de phishing o metadatos de token falsos para atraer la interacción del usuario.
  

6. ¿Cómo puedo saber si mi cartera ha sido desempolvada?

Si recibes una transferencia de TRX por valor de una fracción de céntimo desde una dirección desconocida o de aspecto sospechoso -especialmente una que visualmente se parece a un contacto conocido- puede ser parte de un intento de dusting. Los usuarios de TRON suelen referirse a estas transacciones como "polvo de TRX".

7. ¿Pueden automatizarse estos ataques?

Sí. Muchas campañas de polvo son ejecutadas por bots que:

• Supervisar la actividad de la cadena de bloques para detectar carteras activas o de gran valor
  
• Generar direcciones falsas utilizando herramientas de vanidad
  
• Activación de operaciones de limpieza en cuestión de segundos tras la actividad del usuario
  

8. ¿Quién tiene más probabilidades de ser el blanco del polvo?

Los atacantes tienden a centrarse en:

• Billeteras con actividad reciente o de gran valor
  
• Interacciones por primera vez entre monederos (para insertar remitentes parecidos)
  
• Monederos no custodiados, que ofrecen menos filtros de transacción

9. ¿Es siempre malicioso quitar el polvo?

No necesariamente, pero suele ser sospechoso por defecto. Aunque unos pocos casos de uso pueden ser benignos, el dusting en TRON se asocia abrumadoramente con infraestructuras de estafa y tácticas de engaño. Se recomienda a los usuarios que no utilicen fichas no solicitadas.

10. ¿Se puede rastrear el polvo de TRX?

Sí. Las herramientas de Inteligencia en Blockchain pueden:

• Identificar y agrupar la infraestructura de ataque
  
• Marcar a los usuarios que interactuaron con direcciones falsificadas
  
• Conectar los monederos de polvo a través de campañas de estafa
  

Esto proporciona señales de investigación que apoyan los esfuerzos de atribución y corrección.

11. ¿Cuál es el papel de los campos memo en las estafas de TRON?

Los estafadores pueden utilizar los campos memo para incrustar enlaces de phishing o mensajes fraudulentos en las transacciones. Estos campos son visibles en herramientas como Tronscan y pueden redirigir a los usuarios a sitios web no seguros si hacen clic en ellos.

12. ¿Qué debo hacer si recibo polvo TRX?

TRM Labs recomienda:

• Evite comprometerse con fichas o direcciones desconocidas
  
• Verifique las direcciones antes de copiar y pegar
  
• Ignorar los enlaces en los campos memo a menos que se confirme la fuente
  

En caso de duda, trate los microdepósitos no solicitados como sospechosos y no interactúe.

‍

{{horizontal-line}}

Acerca de TRM Labs

TRM Labs proporciona soluciones Analítica de blockchain para ayudar a las fuerzas del orden y a las agencias de seguridad nacional, instituciones financieras y empresas de criptomoneda a detectar, investigar y desbaratar fraudes y delitos financieros relacionados con la criptomoneda. La plataforma de Inteligencia en Blockchain de TRM incluye soluciones para rastrear el origen y destino de los fondos, identificar actividades ilícitas, construir casos y elaborar una imagen operativa de las amenazas. TRM cuenta con la confianza de los principales organismos y empresas de todo el mundo que confían en TRM para hacer posible un ecosistema criptográfico más seguro. TRM tiene su sede en San Francisco, California, y está contratando personal en ingeniería, productos, ventas y ciencia de datos. Para obtener más información, visite www.trmlabs.com.