Ataque al portapapeles: cómo el malware cambia la dirección de cartera que copiaste

Copias la dirección de recepción desde tu cartera, cambias a la ventana de tu plataforma de intercambio, la pegas y confirmas la retirada. Si en tu ordenador se está ejecutando lo que se conoce como un clipper, la dirección que has pegado ya no es la que habías copiado. Pertenece al atacante, es técnicamente válida por completo y tu cartera no tiene motivo alguno para rechazarla. El dinero se pierde en cuanto la transacción queda confirmada.

Este tipo de ataque es antiguo, pero en el verano de 2026 cambió en tres puntos que te afectan directamente como tenedor: la vía de entrada al ordenador, el sistema operativo y la cuestión de cuánto se te sustrae en realidad. Este texto explica cada uno de esos tres puntos a partir de las publicaciones en las que se describieron, y dice al final qué comprobación funciona de verdad.

El ataque al portapapeles explicado: cómo el malware sustituye la dirección de cartera copiada

Un clipper es un programa malicioso que vigila el contenido del portapapeles y sustituye cualquier dirección cripto que reconozca por una dirección del atacante. Esa es toda la idea. No se descifra nada, no se abre ningún archivo de cartera, no se adivina ninguna contraseña. El ataque aprovecha el único momento en el que una dirección abandona la zona segura de tu cartera y viaja como texto plano por el sistema operativo.

La diferencia decisiva frente a casi cualquier otro ataque contra patrimonio cripto está en que haces todo bien y aun así pierdes. Copiaste la dirección correctamente. Tu cartera no está comprometida. Tu frase semilla reposa intacta en la caja fuerte. La transacción que firmas es exactamente la transacción que ves, solo que a otro destinatario. Por eso aquí no sirve ninguna de las precauciones que protegen frente a autorizaciones falsificadas o frente a la sustracción de claves.

Bitcóin es solo uno de los objetivos. Si te interesa el precio del mayor de los criptoactivos, encontrarás nuestro análisis actual en nuestra predicción del precio de bitcóin. Para este texto, de bitcóin solo importa una cosa: los formatos de dirección están documentados públicamente y son fáciles de reconocer por una máquina, y justo eso los hace cómodos para un clipper.

ClickFix: por qué eres tú quien pega y ejecuta el código malicioso

ClickFix designa un engaño en el que una página web deposita una orden en tu portapapeles y a continuación consigue que la pegues y la ejecutes tú mismo en la línea de comandos de tu ordenador. El nombre viene de que la página te escenifica un problema y te ofrece acto seguido la reparación correspondiente.

Esa es la razón por la que este tipo de ataque funciona tan bien. No hay ningún archivo adjunto de correo que un antivirus pudiera revisar, ni ninguna descarga que tu navegador marque como sospechosa. El código malicioso llega como texto al portapapeles, y de la ejecución se encarga el usuario con su propia mano. Desde el punto de vista del sistema operativo, el usuario que ha iniciado sesión ha introducido una orden. Que es exactamente lo que ha hecho.

El proceso paso a paso: lo que describió la Oficina Federal de Ciberseguridad

La Oficina Federal suiza de Ciberseguridad desglosó el proceso en seis pasos en su repaso semanal del 24 de febrero de 2026. Primero, los atacantes manipulan una página web o insertan un anuncio con una ventana de apariencia engañosamente real. Al abrir la página, el código malicioso ya se copia automáticamente al portapapeles, sin que haya hecho falta pulsar en nada. La ventana afirma entonces que hay un problema técnico, por lo general una actualización del navegador que habría fallado o un CAPTCHA que quedaría por resolver.

Después se indica al usuario que introduzca combinaciones de teclas de aspecto inocuo. Estas abren la consola, pegan el código preparado y lo ejecutan. Al final está la descarga de un programa que captura credenciales de acceso y datos de cartera. El organismo formula su recomendación más importante sin ambigüedad: desconfiar en cuanto una página web afirme que el navegador debe actualizarse, y no copiar nunca código de origen desconocido directamente en la línea de comandos. El aviso no menciona a propósito ninguna línea de comandos concreta, porque los atacantes las cambian continuamente de todos modos.

De ahí se deriva para ti una regla práctica que no exige conocimientos técnicos. Ningún programa serio del mundo te hace pegar una orden desde el portapapeles en una ventana negra para resolver un problema del navegador o para demostrar que eres una persona. Quien te lo pide te está atacando.

Cada 500 milisegundos: con qué frecuencia lee un clipper el portapapeles

El 17 de junio de 2026, Microsoft describió una campaña contra Windows que, según sus propios datos, está en marcha desde febrero de 2026. El programa malicioso consulta a su servidor de control y lee el portapapeles aproximadamente cada 500 milisegundos. Al hacerlo no busca solo direcciones, sino que captura igualmente frases semilla y claves privadas en cuanto aparecen allí.

Dos veces por segundo significa en la práctica que no hay ninguna ventana de tiempo lo bastante corta. Entre copiar y pegar rara vez transcurren en una retirada más que unos pocos segundos, y eso basta con mucho margen. La segunda parte del hallazgo es al menos igual de desagradable. Quien alguna vez copia sus palabras de recuperación al portapapeles, por ejemplo al mudarse a otro programa de cartera, las deja al descubierto en un ordenador infectado.

Bitcóin, Tron y Monero: qué formatos de dirección reconoce el malware

La variante documentada por Microsoft reconoce seis formatos de dirección por su comienzo y su longitud. En bitcóin son las direcciones antiguas, que empiezan por un uno y tienen entre 32 y 36 caracteres; las direcciones P2SH, con un tres al principio y la misma longitud; las direcciones Taproot, que empiezan por bc1p y tienen entre 40 y 64 caracteres; y las direcciones Bech32, que empiezan por bc1q dentro del mismo rango. A ello se suman las direcciones de Tron, que comienzan por una T mayúscula y cuentan exactamente 34 caracteres, y las de Monero, con un cuatro o un ocho al principio y exactamente 95 caracteres.

Esta lista no es un saber secreto, y muestra lo mecánicamente que trabaja el ataque. Un patrón encaja o no encaja. En cuanto encaja, se produce el cambio. Quien mueve valores entre redes con cierta frecuencia debería tener presente que la detección puede ampliarse a más formatos con unas pocas líneas de código; los seis anteriores son el estado de una única campaña documentada, no una enumeración exhaustiva de lo que es posible.

Por qué la suma de verificación de tu dirección de bitcóin no sirve aquí

Aquí reside el malentendido más peligroso. Las direcciones cripto llevan una suma de verificación, es decir, algunos caracteres adicionales a partir de los cuales puede deducirse por cálculo si el resto permanece inalterado. Muchos tenedores concluyen de ahí que su cartera rechazaría necesariamente una dirección manipulada.

Es una conclusión falsa, y el motivo es sencillo. La suma de verificación detecta una dirección dañada. Pero el clipper no entrega una dirección dañada, sino la dirección impecable de otro destinatario. Está correctamente construida, su suma de verificación cuadra, su red cuadra, y la cartera la confirma por tanto sin objeción. Una suma de verificación protege frente a erratas y a errores de transmisión. Frente a una sustitución no protege, porque desde el punto de vista de las matemáticas una sustitución no es ningún error.

Memorias USB y tareas programadas: cómo se asienta y se propaga el clipper

La variante para Windows descrita por Microsoft llega mediante archivos de acceso directo preparados en memorias USB. Tras ejecutarse, rastrea el soporte en busca de documentos corrientes, oculta los originales y coloca en su lugar accesos directos con los mismos nombres de archivo. Quien abre después la memoria cree ver sus archivos y en realidad inicia el programa malicioso.

Para instalarse de forma duradera, el programa crea dos tareas programadas sin fecha de fin. Una se encarga de que cada memoria USB recién conectada y todavía limpia quede también preparada; la otra realiza la captura propiamente dicha. Eso explica por qué estas infecciones vuelven en hogares y oficinas pequeñas después de parecer ya eliminadas: la siguiente memoria las trae de vuelta.

Tor y un proxy local: por qué el tráfico pasa inadvertido

La campaña incorpora un cliente Tor portátil y encamina su tráfico por un proxy SOCKS5 local en el puerto 9050. En la práctica eso significa que en la red no se ve ninguna conexión llamativa hacia un servidor sospechoso contra la que un cortafuegos o un router pudiera intervenir. Quien confía en que su red doméstica bloquea destinos maliciosos no tiene aquí nada a lo que agarrarse.

Un contrato en BNB Smart Chain: por qué las listas de bloqueo pueden poco contra ClickFix

El 6 de agosto de 2026, Microsoft Threat Intelligence describió un conjunto de páginas web comprometidas que sirven señuelos de ClickFix. El código JavaScript inyectado, codificado en Base64, se conecta a un nodo de acceso de BNB Smart Chain y consulta allí a un contrato inteligente sus instrucciones. Entre lo que se distribuye están Lumma Stealer, las herramientas de control remoto Xworm y AsyncRAT, y un descargador llamado MintsLoader. Microsoft habla de campañas que apuntan a diario a miles de dispositivos en empresas y hogares de todo el mundo.

El truco está en dónde se guardan las instrucciones. Un dominio puede desactivarse, un servidor incautarse. Una entrada en un contrato público de una cadena de bloques no puede eliminarse desde fuera, y solo puede modificarla quien posea la clave correspondiente. La defensa pierde así su palanca más eficaz, y la protección se desplaza de la red al dispositivo y a los hábitos de quien lo usa. Que sea precisamente una cadena pública la que asume ese papel es la moraleja incómoda: la misma propiedad que la hace valiosa como libro de cuentas la convierte aquí en un buzón inalcanzable.

macOS ya no es un puerto seguro: el hallazgo de principios de agosto

El 7 de agosto de 2026, The Hacker News informó sobre un programa malicioso para macOS escrito en Go y distribuido mediante señuelos de ClickFix. El análisis procede de los investigadores de seguridad del proveedor Huntress. Según su exposición, están afectados bitcóin, litecoin, dogecoin, monero, ether y XRP.

Con ello cae una suposición que se mantiene con tenacidad entre los tenedores. La idea de que un Mac es la opción más segura para custodiar cripto era ya antes más costumbre que hallazgo, y la vía de ataque a través de una orden pegada en el terminal funciona en macOS por el mismo motivo que en Windows: se basa en que es el propio usuario quien la ejecuta. También el aviso del organismo de febrero menciona expresamente Windows y macOS uno junto a otro.

Vaciado parcial en lugar de pérdida total: por qué un pequeño descuadre puede ser más peligroso

Un detalle del hallazgo del 7 de agosto merece atención especial. El programa malicioso incluye una rutina que primero consulta el saldo de una cartera y después puede retirar también un importe parcial en lugar de todo el fondo. El investigador citado lo describe como el primer programa malicioso con esa capacidad que él conoce.

Por qué eso es peor de lo que suena: una cartera vaciada se nota de inmediato. Un descuadre que se mantenga lo bastante pequeño puede pasar meses sin que nadie lo advierta, y durante ese tiempo la infección persiste, sigue recopilando credenciales y viaja con la siguiente memoria USB. Quien solo lleva sus posiciones a ojo no percibe una salida así. Un registro llevado con rigor es por eso también una medida de seguridad y no una mera obligación frente a Hacienda.

Envenenamiento de direcciones y clipper: dos caminos hacia la dirección equivocada

El 22 de agosto de 2026 describimos con detalle un caso de envenenamiento de direcciones en el que unos dos millones de dólares fueron a parar a una dirección imitada. La diferencia con el tema de hoy es importante, porque determina cuál es la defensa correcta.

En el envenenamiento de direcciones no hay ningún programa malicioso en tu ordenador. El atacante coloca una dirección engañosamente parecida en tu historial de transacciones, y más tarde eres tú quien echa mano de la línea equivocada. Contra eso ayudan la libreta de direcciones, la lista blanca y la renuncia consciente a copiar desde el historial. Justo esos pasos los encuentras en nuestra guía para verificar una dirección de recepción, y aquí no los repetimos a propósito.

En el caso del clipper, el programa malicioso está en el dispositivo. Interviene entre copiar y pegar, es decir, después de cada elección que tomas. Una libreta de direcciones en un programa de cartera solo ayuda en la medida en que la dirección no pase por el portapapeles. Ese es el núcleo de la diferencia, y explica por qué un tenedor debería conocer ambos ataques, aunque el resultado tenga el mismo aspecto en los dos casos. Emparentadas, pero de naturaleza distinta, están las autorizaciones falsificadas, que tratamos en wallet drainers y aprobaciones de firma, así como las extensiones de navegador maliciosas.

La pantalla de la cartera hardware: el indicador al que el clipper no llega

Contra un cambio de dirección en el ordenador existe una defensa que funciona con independencia de lo buena que sea la programación maliciosa. Una cartera hardware muestra la dirección de recepción de una transacción saliente en su propia pantalla pequeña antes de que la confirmes. Ese dispositivo no tiene ningún sistema operativo en el que un clipper pudiera instalarse, y muestra lo que realmente se está firmando.

La utilidad, sin embargo, solo surge al leerla. Quien se limita a pulsar el botón de confirmación del aparato sin cotejar los caracteres con el destino previsto ha regalado la ventaja. Es razonable comparar los cinco primeros y los cinco últimos caracteres, además de un grupo del medio, porque los atacantes generan sus direcciones a propósito de forma que el principio y el final se parezcan. Qué dispositivos muestran la dirección completa y con un tamaño suficiente varía de forma perceptible; echar un vistazo a nuestra comparativa de carteras hardware merece la pena antes de comprar precisamente por eso.

Lista blanca de retiradas en la plataforma: qué consigue y qué no

La mayoría de las plataformas de negociación grandes permiten registrar una vez las direcciones de retirada y bloquear las retiradas hacia cualquier otra dirección. La protección es aquí mayor de lo que parece al principio: aunque un clipper inserte una dirección ajena en el momento de la retirada, el pago no llega a ninguna parte, porque el destino no está autorizado.

El límite de esta protección está en la creación de la propia entrada. Si la dirección se pega desde el portapapeles al registrarla por primera vez, puede haber sido sustituida justo en ese momento, y a partir de ahí la dirección equivocada es la autorizada. Por eso el cotejo en la pantalla de la cartera corresponde a ese punto, no a la retirada posterior. Además, conviene aprovechar el plazo de modificación que muchos proveedores fijan tras añadir una dirección nueva.

Qué está acreditado y qué sigue siendo valoración

Están acreditados los datos técnicos, porque proceden de las publicaciones citadas y allí figuran fechados: el desarrollo del engaño ClickFix según el aviso del organismo del 24 de febrero de 2026; el intervalo de consulta de unos 500 milisegundos, los seis formatos de dirección, la propagación por memorias USB, las dos tareas programadas y la vía Tor según el análisis de Microsoft del 17 de junio de 2026; la consulta a un contrato en BNB Smart Chain según la observación de Microsoft del 6 de agosto de 2026; y la variante para macOS con retirada parcial según el informe del 7 de agosto de 2026.

Valoración, y como tal señalada, es la lectura de estos puntos como una evolución de conjunto. Que una vía de ataque se extienda a un segundo sistema operativo en pocas semanas y traslade su control a una cadena de bloques apunta a un esfuerzo creciente. Cuántos dispositivos están realmente afectados y a cuánto asciende el daño en Alemania no se sabe, y a propósito no damos ninguna cifra al respecto. Este texto tampoco se pronuncia sobre quién está detrás de las campañas.

Una valoración sobre cómo manejar el riesgo residual también corresponde aquí. Ningún procedimiento vuelve a hacer fiable un ordenador infectado. Quien tenga la sospecha fundada de que en su dispositivo se ejecuta un clipper no debería introducir desde él ninguna dirección más ni teclear más palabras de recuperación, sino mover sus posiciones desde otro equipo limpio.

Defenderse de los ataques al portapapeles: lo que te llevas de aquí

1. No pegues nunca en la línea de comandos o en el terminal una orden que una página web haya dejado en tu portapapeles. Ese es el único paso que evita la infección siquiera; todo lo demás solo limita ya el daño. Ninguna actualización del navegador ni ninguna verificación de humanidad exige algo así. Si custodias valores en un dispositivo que también usas para navegar, traslada la custodia a un aparato con pantalla propia; las diferencias las muestra nuestra comparativa de carteras hardware.
2. Lee la dirección de recepción en la pantalla del dispositivo que firma, no en la del ordenador. Coteja los cinco primeros caracteres, los cinco últimos y un grupo del medio. Si usas una solución puramente de software, los límites de este procedimiento son mayores, porque la pantalla y el portapapeles están en el mismo sistema; cuánto intercepta cada programa figura en nuestro repaso a las carteras de software.
3. Registra en tu plataforma una lista blanca de retiradas y comprueba la dirección con especial cuidado al crearla. Después, un cambio de dirección posterior no llega a ninguna parte. Qué proveedores ofrecen este bloqueo y cuánto duran sus plazos de modificación lo encuentras en nuestra relación de exchanges de criptomonedas.
4. Lleva un registro trazable de tus posiciones. Una retirada parcial solo se nota si sabes lo que debería haber. Eso vale con independencia de que a fin de año toque una declaración fiscal.

Las dos publicaciones en las que se apoya este texto en lo esencial puedes leerlas tú mismo: el análisis técnico de la campaña contra Windows en Microsoft Security y la descripción en alemán del desarrollo de ClickFix en la Oficina Federal de Ciberseguridad.

(1 de septiembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)