Fraude de facturas cripto: una dirección cambiada

Un proveedor al que ya has pagado nueve veces envía la factura número diez. La misma plantilla, la misma firma, la misma persona con la que hablaste el martes. Solo cambia una línea: la dirección de la wallet. Pagas. Noventa segundos después los fondos se han intercambiado, dividido y movido, y no hay ningún banco al que llamar en ninguno de los dos extremos.

El Internet Crime Complaint Center del FBI registró 24.768 denuncias por business email compromise en 2025, con 3.050 millones de dólares en pérdidas declaradas, frente a 21.442 denuncias y 2.770 millones el año anterior. La mayor parte de ese dinero sigue moviéndose por transferencia bancaria. Pero este fraude sigue la vía que la víctima usa de verdad, y una parte creciente de las facturas se liquida hoy en USDT y USDC.

Nadie ataca la blockchain

La cadena no es la parte débil. El hilo de correo sí.

Hay dos formas habituales. En la primera, alguien está dentro de un buzón — el tuyo o el de tu proveedor — leyendo correspondencia real. Espera a que salga una factura auténtica y entonces manda un mensaje breve: hemos cambiado de proveedor bancario, usa la dirección actualizada de abajo. Llega en el mismo hilo, con el mismo nombre visible, a menudo citando el mensaje anterior. El IC3 describe la versión clásica en una línea: un proveedor con el que tratas habitualmente envía una factura con una dirección de pago actualizada.

En la segunda no se reescribe nada salvo la propia cadena de caracteres. El atacante sustituye la dirección por otra cuyos primeros cuatro y últimos cuatro caracteres coinciden con los de la real. Cualquiera que revise un destino de pago como lo hace casi todo el mundo — un vistazo al principio, un vistazo al final, aprobar — la dejará pasar. Es la misma debilidad que explota el address poisoning, aplicada a un documento en lugar de a un historial de transacciones.

Las dos funcionan por el mismo motivo. A la víctima no se le pide nada raro. Se le pide que pague una factura que ya estaba esperando.

Con cripto no hay segunda oportunidad

Una transferencia bancaria mal dirigida es un problema. También es, a veces, recuperable. Hay un banco corresponsal, un procedimiento de retrocesión, un departamento de cumplimiento en la entidad receptora y una ventana de horas o días.

Un pago on-chain mal dirigido se liquida en segundos y pertenece a quien tenga la clave. No hay retrocesión. La única palanca que queda es el emisor del token, y los emisores no son un servicio de atención al cliente.

Tether ha incluido en su lista negra cerca de 10.000 direcciones y ha congelado más de 5.000 millones de dólares en USDT. La lista de Circle es mucho más corta: unas 370 direcciones y unos 109 millones de dólares. Esas congelaciones son reales y han devuelto dinero real a víctimas reales. Pero Jeremy Allaire, de Circle, dijo en abril de 2026 que USDC no se congelará sin una orden judicial, y que la compañía no trata esa capacidad como discrecional. Conseguir una orden judicial significa abogados, una jurisdicción, un demandado con nombre y apellidos y semanas que no tienes. Trata una congelación como un billete de lotería, no como un plan de recuperación.

"Pero la dirección salió limpia"

Aquí viene la parte incómoda, y quien te venda screening debería decirla en voz alta: la wallet recién creada de un estafador suele pasar una comprobación de sanciones. Se creó hace una hora. No tiene historial y no aparece en ninguna lista. Limpia no es lo mismo que segura.

Aun así, el screening se gana su sitio, por tres razones.

Primera: buena parte de ese dinero no se queda mucho tiempo en una wallet nueva. Acaba en direcciones de recolección reutilizadas que ya tienen una reputación. Chainalysis situó las entradas ilícitas en un mínimo de 154.000 millones de dólares en 2025, un salto del 162 % interanual, con un aumento del 694 % en el valor recibido por entidades sancionadas. Es un volumen enorme de destinos ya conocidos, y un pago encaminado hacia uno de ellos es un pago que quieres detener antes de que salga.

Segunda: el screening te habla de antigüedad y comportamiento, no solo de pertenencia a una lista. Una dirección que existe desde hace dos horas y nunca ha recibido nada no es la cuenta de tesorería de una empresa que te ha facturado nueve veces. Esa incoherencia es la señal. El impacto en lista es el extra.

Tercera: si te pagan en una wallet que después resulta haber recibido producto de un delito, tu propia dirección hereda ese historial. Los exchanges analizan los depósitos a la entrada. Te enteras del problema cuando retienen tu retirada para revisión, no cuando llega la transferencia.

También existe el truco inverso, del lado del cobro. Desde que la GENIUS Act entró en vigor en julio de 2025, la firma de seguridad Blockaid ha contabilizado más de 54.000 stablecoins falsas entre los más de 17 millones de tokens emitidos en ese periodo. Un pago puede "llegar" en algo que en la interfaz de la wallet parece USDC y no vale nada. Comprueba el contrato, no el ticker.

Lo que de verdad lo detiene

Nada de esto exige tecnología nueva. Exige que la dirección de pago deje de ser una línea de texto editable dentro de un mensaje.

• Confirma cualquier dirección nueva o modificada por un canal distinto de aquel por el que llegó la petición. Llama al número que ya tenías, no al de la firma.
• Compara la cadena entera. No los primeros cuatro caracteres y los últimos cuatro.
• Envía un pago de prueba pequeño a cualquier destino nuevo y pide al receptor que confirme el importe antes de mandar la transferencia real.
• Analiza la dirección antes de pagar, no cuando el pago ya está en disputa.
• Saca la dirección del correo por completo: emite la factura de forma que la dirección de pago quede fijada al crearla, y quien paga verá un enlace en lugar de una cadena que alguien puede reescribir.

Si eres tú quien cobra, aplica la imagen invertida. Cuando un cliente insiste en que pagó y no ha llegado nada, es muy posible que el documento manipulado fuera el tuyo. Mandar los datos de pago como texto plano en el cuerpo de un mensaje significa que cada copia reenviada de ese mensaje es una oportunidad para otro. Significa además que no tienes forma de demostrar qué enviaste originalmente.

Fija una norma interna y ponla por escrito: cualquier cambio en los datos de pago, venga de quien venga y por el importe que sea, se verifica por voz antes de que salga una transferencia. Hazla aburrida e innegociable, para que nadie tenga que tomar una decisión de criterio a las seis de la tarde de un viernes cuando el proveedor suena molesto.

Nadie en esta historia es descuidado. La persona de finanzas pagó una factura que esperaba, de una empresa que conocía, en un hilo que llevaba meses leyendo. Ese es justo el punto: el ataque está diseñado para parecer trabajo rutinario. La costumbre que no cuesta nada es tratar una dirección de pago modificada como un incidente y no como una actualización, y comprobar adónde va realmente el dinero antes de que vaya.