Abriste la billetera y hay algo que no reconoces: un token con un nombre llamativo, a veces con un valor aparente de varios cientos de dólares. No lo compraste y no recuerdas haberlo reclamado. La respuesta corta es no tocarlo. La larga explica por qué la reacción intuitiva —«voy a ver si puedo venderlo»— es la peor de todas.
La regla, primero
No interactúes con él: no lo vendas, no lo cambies, no visites el sitio que aparece en su nombre, no lo envíes a otra dirección. Ocúltalo y sigue usando la billetera normalmente.
Tenerlo ahí, sin tocarlo, no representa ningún riesgo. Un token guardado en tu dirección no puede hacer nada por sí solo: no ejecuta código, no accede a tus otros activos y no le da permisos a nadie. El riesgo aparece únicamente cuando tú inicias una interacción con él.
Eso es lo que quien lo envió está esperando. La entrega no fue el ataque: fue la carnada.
Cómo llegó ahí
Porque cualquiera puede enviar tokens a cualquier dirección. No hace falta tu permiso y no hay forma de impedirlo.
Las direcciones son públicas y las transferencias no requieren autorización del receptor. Los operadores de estos esquemas toman listas de direcciones activas —las sacan de la propia cadena, que es pública— y hacen envíos masivos a miles de ellas por una fracción de centavo cada uno. No te eligieron a ti: estabas en una lista.
Con frecuencia el token viene con un anzuelo incorporado. El propio nombre del token, o su símbolo, contiene una dirección web. Es un detalle astuto: el mensaje viaja dentro del activo, así que aparece en tu billetera y en cualquier explorador que uses para investigarlo.
Una variante distinta y más silenciosa es el envenenamiento de direcciones: te envían una cantidad ínfima de algo desde una dirección que se parece muchísimo a una que tú usas con frecuencia —mismos primeros y últimos caracteres—. El objetivo no es que interactúes con el token, sino que la próxima vez que vayas a copiar una dirección de tu historial, copies la equivocada.
Las tres vías por las que tocarlo te expone
Uno: el sitio del anzuelo
Si vas a la dirección web que trae el token, llegas a una página de reclamo o de canje. Ahí te va a pedir conectar la billetera y firmar. Lo que se firma suele ser una aprobación sobre tus activos reales, no sobre el token intruso. Es la forma más común de estafa, con la particularidad de que aquí el enlace no te llegó por mensaje: apareció dentro de tu propia billetera, que da una falsa sensación de legitimidad.
Dos: el contrato del token
El token puede estar programado con reglas propias. Existen contratos armados para que la venta esté bloqueada salvo para ciertas direcciones, para que cualquier interacción dispare una solicitud de permisos, o simplemente para que la transacción falle y te consuma la comisión. En todos los casos, quien decide las reglas es quien escribió el contrato.
Tres: el precio que muestra la interfaz
Ese valor de varios cientos de dólares suele ser irreal. Se fabrica creando un mercado mínimo con una operación propia; la billetera lee ese precio y lo multiplica por tu saldo. El número existe para que sientas que estás dejando dinero sobre la mesa y actúes rápido. Vender por ese precio no es posible: no hay nadie del otro lado.
Qué hacer, en concreto
- Ocultalo. Casi todas las billeteras permiten ocultar o marcar como spam un activo. Es un cambio visual en tu aplicación: no requiere transacción ni comisión.
- No intentes «limpiarlo» enviándolo a otro lado. Enviarlo es interactuar con el contrato, que es justamente lo que hay que evitar, y encima pagas comisión.
- Si quieres investigar, hazlo en un explorador de bloques, escribiendo tú mismo la dirección del explorador, sin abrir ningún enlace que venga en el nombre del token.
- Revisa tus aprobaciones si en algún momento firmaste algo relacionado. Cómo hacerlo está en la sección sobre revocar.
- Contra el envenenamiento de direcciones: no copies direcciones desde el historial de transacciones. Usa una libreta de direcciones guardada por ti, y verifica la dirección completa antes de enviar, no solo el principio y el final.
Si lo que apareció es un NFT
Mismo criterio, con una precaución extra: los permisos sobre colecciones pueden abarcar todo de una vez.
Los NFT no solicitados funcionan igual: llegan sin permiso y traen un enlace en la descripción o en la imagen. La diferencia es que en el estándar de colecciones existe un permiso que cubre toda la colección de golpe, así que una sola firma descuidada puede alcanzar más de lo que imaginas.
Tampoco los transfieras ni los pongas a la venta para «sacarlos de encima»: ambas cosas son interacciones. Ocultarlos alcanza.
Preguntas frecuentes
Apareció un token que no reconozco. ¿Es peligroso tenerlo?
Tenerlo, no. Un token guardado en tu dirección no ejecuta nada por sí solo. El riesgo aparece si interactúas con él: si lo vendes, lo envías o visitas el sitio que trae en el nombre.
¿Puedo venderlo si muestra un valor alto?
Ese valor casi siempre es fabricado y no hay compradores reales detrás. Además, el contrato puede estar armado para que el intento de venta dispare una solicitud de permisos sobre tus otros activos.
¿Cómo lo saco de mi billetera?
Ocultándolo desde la propia aplicación, que es un cambio visual y no cuesta nada. Enviarlo a otra dirección es una interacción con su contrato y no se recomienda.
¿Cómo hicieron para mandármelo?
Las direcciones son públicas y las transferencias no necesitan autorización de quien recibe. Se hacen envíos masivos a listas de direcciones activas obtenidas de la propia cadena, a un costo mínimo por envío.
Este artículo explica métodos y criterios; no recomienda ningún proyecto ni constituye asesoramiento de inversión. Si encuentras un error de hecho, escríbenos a [email protected]: lo corregimos y queda anotado en correcciones.