La mayoría de las pérdidas grandes no ocurre porque alguien haya robado una frase semilla. Ocurre porque el dueño de los fondos firmó, voluntariamente, un permiso que no entendió. La ventana de firma tiene cuatro campos que deciden todo, y se pueden aprender en diez minutos.
Transferir y aprobar no son lo mismo
Una transferencia entrega tokens ahora. Una aprobación autoriza a un contrato a retirarlos después, cuando quiera, hasta el monto autorizado. El permiso no vence solo.
La diferencia parece de manual y sin embargo es la base de casi todo el fraude del rubro. Una transferencia tiene un límite natural: se va lo que mandaste. Una aprobación no tiene límite temporal, y con frecuencia tampoco tiene límite de monto: queda ahí, disponible, hasta que alguien la use o tú la revoques.
Por eso hay víctimas que cuentan que las vaciaron «semanas después de haber entrado a esa página». No fue semanas después: el permiso se dio ese día y se ejecutó cuando al atacante le convino, muchas veces esperando a que la dirección volviera a tener saldo.
Los cuatro campos que hay que leer
Cada billetera lo muestra distinto, pero la información siempre está. Antes de tocar «confirmar»:
- El tipo de operación. ¿Es un envío, una aprobación, una firma sin costo? Si la ventana no cobra comisión de red pero igual pide firmar, es una firma fuera de cadena, y esas también autorizan cosas.
- Quién recibe el permiso. Una dirección de contrato. Debería corresponder al protocolo que estás usando. Si estás en un sitio y el permiso va a un contrato que no tiene relación con él, ahí termina el asunto.
- El monto. Aquí está la trampa más común. Muchas interfaces proponen por defecto un permiso ilimitado, presentado como un número enorme o directamente como «ilimitado». Casi siempre se puede editar y poner solo lo que vas a usar.
- Qué token. Si el permiso es sobre un activo que no pensabas tocar en esa operación, es una señal fuerte de que la página no hace lo que dice.
Regla simple para los cuatro: si no entiendes alguno, no firmes. No hay ninguna operación tan urgente como para saltear esto, y la urgencia es justamente el recurso favorito de las páginas falsas.
Los formatos de pedido que vas a ver
No todos los pedidos son iguales, y algunos de los más peligrosos son los que no parecen peligrosos:
- Aprobación clásica de un token. Autoriza a un contrato a mover cierta cantidad de un token específico. Es la que más se usa y la que hay que limitar en monto.
- Aprobación total de una colección. En el caso de los NFT, existe un permiso que cubre toda tu colección de una vez. Un solo sí puede alcanzar todo lo que tengas de esa colección.
- Firma fuera de cadena. No paga comisión y no aparece en la cadena en ese momento, lo que hace que se sienta inofensiva. En realidad produce una autorización firmada que un tercero puede presentar después para operar en tu nombre.
- Firma de mensaje para «iniciar sesión». Muchos sitios legítimos la usan para verificar que controlas la dirección. El problema es que el texto suele ser ilegible, así que se convierte en un hábito de firmar sin leer, y de ese hábito se aprovecha el siguiente.
Revocar: cómo, cuándo y qué cuesta
Revocar es poner el permiso en cero. Es una transacción on-chain, paga comisión, y conviene hacerlo de forma periódica y no solo cuando pasa algo.
Cómo hacerlo, en general:
- Desde el explorador de bloques de la red, que suele tener una sección para ver y revocar permisos otorgados por una dirección.
- Desde la propia billetera, si incluye un panel de permisos.
- Desde la interfaz del protocolo, cuando la ofrece.
Dos advertencias:
- Hay que revocar en cada red por separado. Los permisos son por cadena. Si usaste cinco redes, hay cinco listas para revisar y cinco comisiones que pagar.
- Cuidado con las herramientas de revocación. Es un rubro donde abundan las copias falsas, porque quien va a revocar es alguien que ya está nervioso y con prisa. Llega a esas herramientas desde el explorador oficial de la red, no desde un enlace que te pasaron.
Un ritmo razonable: revisar cuando terminas una campaña, y de todos modos cada algunos meses. Si dejaste de participar, es el momento de limpiar todo lo que quedó abierto: es el único riesgo que sigue vivo después de que perdiste el interés en el tema.
Si ya firmaste algo dudoso
El orden importa: primero mover los fondos, después revocar. Al revés, le das tiempo al permiso para ejecutarse mientras tú operas.
- Mueve los activos a una dirección nueva, generada con una frase semilla nueva. Si sospechas que la frase quedó comprometida, no alcanza con otra dirección de la misma billetera.
- Revoca los permisos de la dirección afectada, red por red.
- Revisa el historial en el explorador para entender qué se autorizó y cuándo. Sirve para la parte impositiva y para no repetir el error.
- No contrates servicios de recuperación. Las operaciones on-chain no se revierten. Todo lo que aparezca ofreciendo recuperarlas es la segunda estafa.
Y una medida preventiva que vale más que todas las anteriores: usar una dirección con saldo acotado para conectarte a cualquier sitio, y mantener el grueso en otra que no se conecte nunca a nada. Es lo único que sigue funcionando cuando te equivocaste en todo lo demás.
Preguntas frecuentes
¿Qué diferencia hay entre aprobar y transferir?
Transferir entrega los tokens en el momento. Aprobar autoriza a un contrato a retirarlos después, cuando quiera, hasta el monto que se autorizó. Ese permiso queda vigente hasta que se revoca.
¿Qué es una aprobación ilimitada y por qué es riesgosa?
Es un permiso sin tope práctico sobre un token. Equivale a dejar disponible todo el saldo de ese token, incluido el que recibas en el futuro, para que el contrato autorizado lo retire cuando decida.
¿Firmar sin pagar comisión es seguro?
No necesariamente. Una firma fuera de cadena no cuesta gas y no queda registrada en ese momento, pero puede autorizar a un tercero a operar en tu nombre más adelante. Que no cueste nada no significa que no conceda nada.
¿Cada cuánto conviene revocar permisos?
Al terminar cada campaña y, más allá de eso, cada algunos meses. Hay que hacerlo por separado en cada red donde hayas operado, y cada revocación paga su propia comisión.
Este artículo explica métodos y criterios; no recomienda ningún proyecto ni constituye asesoramiento de inversión. Si encuentras un error de hecho, escríbenos a [email protected]: lo corregimos y queda anotado en correcciones.