Autorizaciones de wallet y prevención de phishing: cómo revocar permisos maliciosos y qué hacer tras un robo

Para empezar, la conclusión: en la mayoría de los robos on-chain, la firma la pusiste tú

Eso de «me hackearon la wallet» casi nunca ocurre en la realidad. La gran mayoría de las pérdidas vienen de dos tipos de acciones: autorizaste un contrato malicioso (tus tokens se transfirieron mediante un contrato legítimo) y hiciste clic en una firma o escribiste tu frase semilla en una web de phishing (entregaste el control con tus propias manos). Las transacciones on-chain son irreversibles: una sola firma puede vaciar una dirección.

Este artículo aclara dos cosas: cómo revisar y revocar autorizaciones peligrosas, y las acciones de protección antes de transferir o interactuar, además del protocolo de emergencia tras un robo. Ojalá nunca tengas que usar este último, pero debes conocerlo de antemano.

Riesgo 1: qué es exactamente la autorización de tokens (Approve)

Cuando usas una DApp on-chain (DEX, staking, préstamos, etc.), primero debes «autorizar» a esa DApp a usar cierto token tuyo: eso es el Approve. El problema está en el monto autorizado:

• Autorización por monto exacto: solo le permites usar el monto de esa transacción, y se agota al usarse; es relativamente segura;
• Autorización infinita: le permites usar todo tu saldo de ese token, y de forma permanente. Si autorizas un contrato malicioso, este puede transferir todos tus tokens de ese tipo meses después, en cualquier momento, y tú no recibirás ninguna notificación en ese instante.

El riesgo es que muchas DApp, para «reducir operaciones posteriores», te guían por defecto hacia la autorización infinita; y las webs de phishing se disfrazan de DApp normales con un único objetivo: que pulses ese botón de autorización.

Cómo revisar y revocar autorizaciones peligrosas

1. Abre una herramienta de consulta de autorizaciones (las más comunes son revoke.cash y las consultas integradas en los exploradores de bloques, como el Token Approval Checker del explorador de Ethereum);
2. Conecta tu wallet: este paso solo lee datos públicos on-chain, no necesita la frase semilla ni una transferencia;
3. Revisa la lista de autorizaciones: fíjate sobre todo en las entradas con «monto infinito» y cuyo «destinatario ya no usas»;
4. Haz clic en revocar (Revoke) y confirma la transacción en tu wallet. La revocación en sí también es una operación on-chain y requiere pagar gas;
5. Adquiere el hábito: revisa cada uno o dos meses, sobre todo después de participar en proyectos nuevos.

Dos advertencias: primero, al revocar, fíjate bien en qué sitio estás conectado, porque los estafadores también crean «herramientas de revocación» falsas; segundo, no le des autorización infinita a sitios desconocidos solo por ahorrar gas: el dinero que ahorras en esas comisiones puede equivaler al riesgo de todo tu saldo.

Riesgo 2: las seis formas más comunes de phishing

1. Webs falsas

El dominio se diferencia del oficial en uno o dos caracteres y la página es una copia exacta. Las vías de entrada habituales son los anuncios en buscadores, los enlaces cortos en comunidades y el «nuevo sitio oficial» que alguien te envía por mensaje privado. El método de protección es simple pero eficaz: guarda tus sitios habituales en marcadores y entra siempre desde ahí, sin hacer clic en anuncios de búsqueda.

2. Apps y extensiones falsas

La «wallet con el mismo nombre» que encuentras en la tienda de aplicaciones y el aviso emergente del navegador de «la extensión necesita actualizarse, reinstálala» pueden ser falsos. Protección: instala solo desde el enlace oficial de la tienda que aparece en el sitio web oficial, y actualiza las extensiones mediante el mecanismo de actualización propio del navegador, sin pulsar botones de «actualizar» en páginas de terceros.

3. Suplantación de identidad en mensajes privados

En comunidades y redes sociales, mensajes privados de «administradores», «atención al cliente» o «soporte técnico» que dicen ayudarte a resolver un problema, reclamar una compensación o participar en un evento. El equipo oficial real nunca te escribe por privado para pedirte nada. Ante cualquiera que te escriba por privado pidiéndote que operes con tus activos, denúncialo y bloquéalo directamente.

4. Envenenamiento de direcciones (Address Poisoning)

Esta es una estafa que mucha gente desconoce: el estafador te envía una transferencia de 0 o de un monto mínimo, y la dirección emisora tiene los mismos caracteres al principio y al final que tu dirección de recepción habitual. El objetivo es contaminar tu historial de transferencias: cuando la próxima vez copies una dirección del «historial», es muy probable que copies la del estafador. Protección: nunca copies una dirección al azar del historial; usa la libreta de direcciones o una lista blanca, y al verificar compara al menos los primeros y los últimos 4-6 caracteres.

5. Airdrops falsos y páginas de reclamo falsas

En la página de «tienes derecho a reclamar el airdrop XXX», pulsar «reclamar» en realidad te hace firmar una autorización o transferir directamente. El criterio para distinguirlo: un airdrop real nunca te pide pagar primero, autorizar todos tus activos primero ni introducir tu frase semilla.

6. Páginas falsas de actualización de wallet o migración de activos

Con la excusa de «actualización de versión de la wallet» o «los activos de la versión antigua deben migrarse», te piden escribir tu frase semilla en una web o restaurar la wallet en una app falsificada. Recuerda: la frase semilla solo debe introducirse en la app de wallet legítima que tú mismo abras; cualquier otra página es phishing.

Tres acciones antes de transferir

1. Verifica la dirección: los primeros y los últimos 4-6 caracteres deben coincidir uno a uno; si el monto es grande, verifica todos los caracteres. Añade a la libreta de direcciones o a la lista blanca los destinatarios habituales;
2. Haz primero una prueba con un monto pequeño: la primera vez que transfieras a una dirección, envía primero un monto pequeño y, cuando confirmes la recepción, envía el resto;
3. Confirma en la pantalla del hardware wallet: si usas un hardware wallet, la dirección de recepción que muestra el software de la wallet puede haber sido alterada por malware; la dirección en la pantalla del dispositivo es la confiable. Ese es el valor más importante del hardware wallet: úsalo siempre.

Si ya te robaron: qué hacer de inmediato

El orden importa: cuanto más rápido hagas los dos primeros pasos, más podrás recuperar:

1. Transfiere de inmediato los activos restantes: recibe los activos que aún no han sido transferidos en una wallet recién generada (con una frase semilla nueva, preferiblemente creada en un entorno de dispositivo limpio). No uses la wallet anterior ni te limites a reinstalar la app;
2. Revoca todas las autorizaciones de la wallet antigua: si la causa de la filtración no fue la frase semilla (por ejemplo, solo una autorización o una firma de phishing), revoca las autorizaciones cuanto antes para evitar que sigan transfiriendo otros tokens de la misma dirección;
3. Guarda las pruebas: el hash de la transacción del robo, la dirección del estafador, el momento, el monto implicado y las capturas de pantalla de la web sospechosa o la extensión que visitaste en ese momento;
4. Si los activos llegaron a un exchange centralizado: contacta de inmediato con el servicio de atención al cliente y el canal de cumplimiento de ese exchange, y presenta las pruebas para solicitar el bloqueo. Las transferencias on-chain son irreversibles, pero una vez que el dinero robado entra en una cuenta de la plataforma, el mecanismo de congelación de esta puede ganar tiempo: cuanto antes lo presentes, más posibilidades hay;
5. Denuncia y deja constancia: presenta una denuncia ante la policía local, conserva el acuse de recibo y, al mismo tiempo, puedes seguir rastreando el recorrido de los fondos con herramientas de análisis on-chain;
6. Analiza en qué punto se filtró: ¿fue una autorización, un clic en un phishing o la filtración de la frase semilla? Si no encuentras la causa, la nueva wallet también puede ser vaciada de la misma forma.

Hay que decirlo con claridad: una vez que los activos on-chain se transfieren, la probabilidad de recuperación es muy baja. Por eso vale la pena dedicar tiempo a todas las acciones de protección anteriores.

Lista de protección diaria

1. Divide tus activos por capas: en el exchange el capital para operar, en el hot wallet los montos pequeños para la interacción diaria, en el hardware wallet los montos grandes de tenencia a largo plazo;
2. Usa un perfil de navegador independiente (o un dispositivo de reserva) exclusivamente para operaciones on-chain, sin mezclarlo con la navegación diaria;
3. Guarda todos los sitios habituales en marcadores y no hagas clic en anuncios de resultados de búsqueda ni en enlaces de mensajes privados;
4. Antes de firmar, lee bien el contenido de la ventana emergente: firmar (Sign) y autorizar (Approve) no son lo mismo; la autorización es más peligrosa, así que prioriza el «monto exacto»;
5. Revisa una vez al mes el registro de autorizaciones y revoca las que no uses;
6. Rechaza siempre cualquier situación en la que te pidan la frase semilla, la clave privada o un código de verificación.

Preguntas frecuentes

¿Cuál es la diferencia entre firmar y autorizar?

Firmar normalmente solo demuestra que «eres el dueño de esta dirección», no transfiere activos directamente; autorizar (Approve), en cambio, es entregar «el permiso para usar cierto token» a un contrato, y cuando el límite es lo bastante alto, la otra parte puede transferir tus activos en cualquier momento. Cuando veas una ventana de autorización, asegúrate de revisar bien el destinatario y el límite antes de confirmar.

¿Cuesta dinero revocar una autorización?

Sí. La revocación en sí es una transacción on-chain y requiere pagar gas, y el monto depende de la congestión de la red en ese momento. Por eso, la mejor estrategia es evitar las autorizaciones infinitas desde el principio, en lugar de esperar a que la lista de autorizaciones se llene para limpiarla toda de una vez.

Tengo todos mis activos en una sola wallet, ¿es muy riesgoso?

Sí. Una wallet corresponde a una sola frase semilla, y con filtrarla una vez todo queda en cero; además, la clave privada que usas para interactuar con frecuencia es más fácil de exponer. Lo razonable es dividir por capas: los fondos on-chain que necesitas usar con frecuencia van en una hot wallet, los activos que mantienes a largo plazo van en una hardware wallet, y el dinero destinado a operar va en cuentas de grandes exchanges con buen historial de seguridad y prueba de reservas, como Binance, OKX o Gate.io. Así, si algo falla en cualquier punto, la pérdida se mantiene bajo control.

¿De verdad no se pueden recuperar los activos robados?

La probabilidad es muy baja, pero no es absolutamente cero. Hay una pequeña oportunidad en dos casos: cuando los activos entran a un CEX y existe una breve ventana de tiempo (presentar pruebas a tiempo para solicitar el congelamiento), y en casos en los que intervienen autoridades y equipos de análisis on-chain. En la gran mayoría de los casos, los activos se dividen rápidamente, se transfieren mediante cross-chain y terminan en servicios de mezcla, así que la esperanza de recuperación es mínima; por eso, prevenir vale mucho más que remediar.

Advertencia de riesgo y divulgación de promoción: las transacciones on-chain son irreversibles, y las operaciones de autorización y firma conllevan riesgo de pérdida de activos. El contenido de este artículo no constituye asesoramiento de inversión. Este artículo incluye enlaces de promoción; si te registras a través de ellos, podemos recibir una comisión, lo que no aumenta el costo que pagas ni afecta el criterio de este artículo. Las herramientas y mecanismos mencionados aquí están vigentes hasta octubre de 2026; consulta siempre la información de los canales oficiales correspondientes.