Cuando conectas tu wallet a una aplicación descentralizada para intercambiar tokens, participar en un juego o reclamar un supuesto regalo, es habitual que te pida permiso para mover tus tokens. Ese permiso puede seguir activo meses después, y algunas webs fraudulentas lo aprovechan para vaciar wallets sin necesidad de conocer la frase semilla. Esta guía explica qué son estos permisos, cómo revisarlos y cómo revocarlos.
Qué es un permiso de token (approval)
En redes como Ethereum y otras compatibles, los tokens siguen estándares que permiten autorizar a un contrato inteligente a gastar tus tokens en tu nombre. Esa autorización se llama approval o asignación, y puede tener:
- Un límite concreto: por ejemplo, solo la cantidad que vas a intercambiar.
- Un límite ilimitado: el contrato puede mover todos los tokens de ese tipo que tengas, ahora y en el futuro.
- Permisos sobre colecciones completas de NFT: autorizan a mover todos los NFT de una colección.
Además, algunas firmas que parecen inofensivas (un «mensaje» en lugar de una transacción) pueden servir para autorizar movimientos de tokens. Por eso conviene leer siempre qué estás firmando.
Cómo se ve en la práctica
Imagina que conectas tu wallet a una web para cambiar una stablecoin por otro token. La web te pide primero «aprobar» la stablecoin y después ejecutar el intercambio. Si en la primera ventana aceptaste un límite ilimitado, ese contrato podrá seguir moviendo tu stablecoin cuando quiera. Si la web era legítima, el riesgo es bajo mientras su contrato sea seguro. Si era una copia fraudulenta, puede vaciar ese token de tu wallet en cualquier momento, incluso semanas después, sin que vuelvas a firmar nada.
Por qué es un riesgo
Si concediste un permiso ilimitado a un contrato malicioso, o a uno legítimo que después sufre un fallo de seguridad, tus tokens pueden ser transferidos sin que tengas que hacer nada más. Es una técnica frecuente en webs que imitan proyectos conocidos, falsos airdrops y enlaces difundidos en redes sociales.
Importante: revocar permisos protege los tokens que aún tienes, pero no recupera los que ya han sido sustraídos. Y si tu frase semilla está comprometida, revocar no basta: debes mover los fondos a una wallet nueva (ver qué hacer si diste tu frase semilla).
Cómo revisar y revocar permisos paso a paso
- Elige una herramienta fiable. Algunos exploradores de bloques, como Etherscan, ofrecen una sección de comprobación de aprobaciones de tokens; muchas wallets también muestran los permisos concedidos. Accede escribiendo tú la dirección, nunca desde un enlace recibido.
- Introduce tu dirección pública para ver la lista de permisos. Para consultarla no hace falta conectar la wallet.
- Identifica los permisos ilimitados o desconocidos, sobre todo los concedidos a contratos que no reconoces o que ya no usas.
- Conecta la wallet solo para revocar, y comprueba en la pantalla de la wallet que la operación es de revocación.
- Confirma la transacción. Revocar es una transacción en la cadena y tiene un coste de red.
- Repite la revisión en cada red en la que uses tu wallet: los permisos son independientes por red.
Qué permisos priorizar
| Tipo de permiso | Prioridad |
|---|---|
| Ilimitado a un contrato desconocido | Muy alta: revócalo cuanto antes |
| Concedido a una web que resultó ser fraudulenta | Muy alta |
| Ilimitado a una aplicación conocida que ya no usas | Alta |
| Limitado a una aplicación conocida que usas habitualmente | Baja; revisa periódicamente |
Hábitos para no tener que revocar
- Usa una wallet distinta, con poco saldo, para probar aplicaciones nuevas.
- Cuando la wallet lo permita, fija un límite de gasto igual a la cantidad que vas a usar.
- Lee el mensaje de la wallet antes de firmar: si no entiendes qué autoriza, no lo firmes.
- Desconfía de regalos, airdrops y premios inesperados que exigen conectar la wallet.
- Revisa tus permisos de forma periódica, por ejemplo cada pocos meses.
Estos hábitos complementan las buenas prácticas de seguridad de wallets.
Qué hacer si ya te han vaciado tokens
- Revoca de inmediato los permisos sospechosos para proteger lo que queda.
- Si no sabes cómo se produjo el robo, mueve el saldo restante a una wallet nueva.
- Guarda los TXID de las salidas y la dirección de la web fraudulenta.
- Presenta la denuncia con esa información.
- Si quieres que revisemos las transacciones de tu caso, solicita un análisis de operaciones.
