Un wallet drainer es un conjunto de herramientas maliciosas que, integrado en una web fraudulenta, consigue que el usuario firme una autorización con la que el atacante puede mover sus criptomonedas y NFT. La víctima no entrega su frase semilla ni su contraseña: simplemente conecta la wallet y pulsa «confirmar». Esta guía explica por qué una firma puede ser tan peligrosa, cómo reconocer las solicitudes sospechosas y qué hacer si ya has firmado.
Conectar no es lo mismo que firmar
Conectar una wallet a una web suele permitir solo que la web vea tu dirección y tus saldos públicos. El riesgo aparece al firmar. En redes compatibles con Ethereum, algunas firmas conceden permisos sobre tus activos:
- Aprobaciones de tokens: autorizan a un contrato a gastar una cantidad de un token, a veces ilimitada.
- Permisos sobre colecciones de NFT: autorizan a un tercero a transferir todos los NFT de una colección.
- Firmas fuera de la cadena (mensajes): algunas, como ciertos permisos de gasto, no cuestan comisión y parecen inofensivas, pero pueden usarse después para mover fondos.
- Transacciones directas: envían activos a una dirección del atacante disfrazadas de «reclamar» o «verificar».
Una vez concedido el permiso, el atacante puede usarlo inmediatamente o esperar, porque la autorización sigue vigente hasta que la revoques. Por eso es posible que una wallet sea vaciada semanas después de haber visitado la web maliciosa, cuando la víctima ya ni recuerda lo que firmó. Revisar periódicamente las aprobaciones activas y retirar las que ya no uses es una medida de higiene sencilla que reduce mucho este riesgo, aunque no hayas notado nada extraño.
De dónde vienen las webs con drainers
Los drainers se distribuyen a través de muchas de las estafas que tratamos en esta sección: airdrops falsos, webs clonadas de protocolos DeFi, mercados de NFT falsos, anuncios patrocinados en buscadores que llevan a dominios parecidos al original, y cuentas hackeadas de proyectos conocidos que publican un enlace «oficial». Algunas webs incluso detectan qué activos tienes y te piden primero las firmas sobre los más valiosos.
Una situación típica
Una usuaria sigue en X a un proyecto de NFT conocido. Una noche, la cuenta oficial publica que hay un «mint» gratuito sorpresa para los poseedores, durante solo una hora. El enlace lleva a una web idéntica a la del proyecto. Conecta su wallet y aparece una solicitud de firma que no muestra ningún importe, solo un texto con términos técnicos. Firma porque no cuesta comisión. Poco después, sus NFT y sus stablecoins salen hacia una dirección desconocida. A la mañana siguiente, el proyecto informa de que su cuenta en X había sido comprometida.
Cómo leer lo que vas a firmar
| Lo que ves en la wallet | Qué puede significar | Prudencia |
|---|---|---|
| Solicitud para «gastar» un token o cantidad ilimitada | Aprobación que permite mover ese token | Solo en webs que conoces y con importe limitado |
| Permiso para «acceder a todos tus NFT» de una colección | El tercero puede transferir toda la colección | Rechazar si no estás listando en un mercado de confianza |
| Firma de mensaje con datos estructurados y sin importe visible | Puede ser un permiso de gasto fuera de la cadena | Desconfiar si la web es nueva o llegaste por un enlace |
| Aviso de la wallet sobre web sospechosa | La web figura en listas de phishing | No continuar |
Buena práctica: usa una wallet «caliente» con pocos fondos para interactuar con webs nuevas y guarda el grueso de tus activos en otra wallet que no conectes nunca a sitios desconocidos.
Qué hacer si ya has firmado
- Revoca las aprobaciones desde una herramienta de revisión de permisos de confianza o desde el explorador de bloques de la red correspondiente.
- Traslada los fondos restantes a una wallet nueva, creada con una frase semilla nueva, si sospechas que el problema va más allá de una aprobación.
- Documenta: URL exacta, capturas de la web, el texto de la firma si lo conservas, y el hash de cada transacción de salida.
- Denuncia ante la Policía Nacional o la Guardia Civil. Los hechos pueden encajar en la estafa informática prevista en el Código Penal.
- Pide orientación técnica en la línea 017 de INCIBE.
Desconfía de cualquier perfil que, tras publicar lo ocurrido, te ofrezca «rastrear y recuperar» los fondos a cambio de un pago: es una estafa frecuente que explicamos en la guía sobre falsos hackers de recuperación. Si quieres revisar tus transacciones y preparar la documentación de la denuncia, puedes solicitar un análisis de operaciones o escribirnos desde consulta.
