Phantom Chat en la Mira: Investigadores Señalan Riesgo de Pérdidas por Envenenamiento de Direcciones

Un inversor perdió $264K en wBTC en un ataque de phishing habilitado por la función de mensajería de la cartera, reavivando el debate sobre la seguridad en la experiencia del usuario.

La función de mensajería integrada Phantom Chat está bajo escrutinio luego de que un inversor perdiera aproximadamente 3.5 Wrapped Bitcoin (wBTC), equivalentes a $264,000, en un ataque de phishing por envenenamiento de direcciones. El investigador blockchain ZachXBT expuso el caso, señalando que la interfaz de la cartera no filtra transacciones de spam, lo que facilita esta estafa. El incidente reaviva las críticas sobre la necesidad de mejores medidas de seguridad proactivas en las experiencias de usuario de las carteras digitales.

El Incidente: Anatomía de una Pérdida de $264K

El investigador ZachXBT detalló que la víctima transfirió 3.5 wBTC a una dirección fraudulenta etiquetada como de “alto saldo” en la plataforma de análisis Nansen. ZachXBT identificó el patrón como un claro caso de “envenenamiento de direcciones” (address poisoning) y criticó directamente la interfaz de Phantom.

“El chat es solo un nuevo método para que drenen fondos”, afirmó el investigador, añadiendo que “la interfaz de Phantom no filtra transacciones de spam”.

Este caso no es aislado. Otro usuario reportó haber sido víctima de dos ataques similares a través de Phantom Chat, con pérdidas de $136 y $101 en la stablecoin USDC, subrayando la persistencia de esta amenaza.

¿Qué es el Envenenamiento de Direcciones?

Cómo Funciona la Estafa

El “envenenamiento de direcciones” es una técnica de phishing que explota los malos hábitos de los usuarios. Los estafadores envían primero transacciones con montos insignificantes a la billetera de la víctima. El objetivo es que su dirección fraudulenta aparezca en el historial de transacciones recientes. Posteriormente, cuando el usuario intenta enviar fondos a un contacto legítimo, puede copiar por error la dirección del estafador de su propio historial.

Diferenciación Clave

A diferencia de un hackeo, esta estafa no compromete las claves privadas o la semilla de la cartera. Su éxito se basa exclusivamente en la confusión del usuario y en interfaces que no ayudan a prevenir este error humano.

Llamados a la Acción y Críticas a la Experiencia de Usuario

La Postura de los Expertos y la Industria

El incidente ha reabierto el debate sobre la responsabilidad de los desarrolladores de carteras. En diciembre de 2025, Changpeng “CZ” Zhao, cofundador de Binance, ya había abogado por medidas más estrictas.

“Todas las carteras deberían simplemente verificar si una dirección receptora es una ‘dirección envenenada’… no deberían ni siquiera mostrar estas transacciones de spam”, declaró.

Expertos en seguridad refuerzan este llamado. El equipo de investigadores de Hacken recomienda que los usuarios mantengan una “fuente única de verdad”, como una libreta de direcciones confiables. Por su parte, Deddy Lavid, CEO de la firma de seguridad Cyvers, señaló que la industria necesita implementar “verificaciones de riesgo pre-transacción, detección de similitud de direcciones y advertencias claras”.

La Respuesta de Phantom

Phantom, en sus recomendaciones generales de seguridad, aconseja a los usuarios desconfiar de tokens no solicitados y no hacer clic en enlaces que prometen airdrops gratuitos. Sin embargo, respecto al incidente específico de los $264,000, Cointelegraph contactó al equipo de Phantom para obtener una declaración oficial, pero la información proporcionada no incluye una respuesta directa de la empresa.

Contexto Amplio y Soluciones Técnicas

Un Problema Sistémico y Costoso

El envenenamiento de direcciones es una amenaza de alto impacto. En diciembre de 2025, un ataque similar resultó en pérdidas estimadas en $50 millones. El problema trasciende a los usuarios minoristas, como lo demostró un ataque a una cartera institucional vinculada a Galaxy Digital el 30 de enero de 2026, donde se intentaron desviar 12.3 millones de ETH.

Herramientas y Carteras con Enfoque Preventivo

Como solución técnica, Cyvers propone simulaciones de seguridad en tiempo real “estilo firewall” que alerten al usuario de riesgos antes de confirmar una transacción. Algunas carteras ya ofrecen herramientas preventivas. Rabby Wallet y Zengo Wallet, por ejemplo, implementan verificaciones de direcciones y simulaciones. El propio Phantom Wallet también incluye funciones de seguridad preventiva, lo que hace que la crítica se centre en la implementación específica de su función de chat.

La conclusión implícita entre los expertos es que la responsabilidad es compartida: los desarrolladores deben mejorar la experiencia de usuario (UX) para hacerla más segura por diseño, mientras que los usuarios deben adoptar prácticas más rigurosas, como verificar meticulosamente cada dirección antes de enviar fondos valiosos.