La Agenda de SecretoDefi

Seguridad en DeFi: aprobaciones, firmas y estafas

En DeFi no hay nadie a quien llamar para revertir una transacción, y una de las formas más habituales de perder fondos no es el hackeo de un protocolo, sino una firma que das tú mismo: una aprobación a un contrato, un mensaje que parece un inicio de sesión o una dirección copiada del sitio equivocado.

En esta página te explico cómo funcionan esos permisos, cómo se revisan y se revocan paso a paso, cuáles son las estafas más comunes (drainers, address poisoning, falsos soportes) y qué hacer si crees que te han comprometido. Incluyo mi caso real: en enero de 2026 descubrí que mi wallet había acumulado más de 1.000 aprobaciones de contratos tras cinco años de uso.

Actualizado el 3 de noviembre de 2026

Todo el contenido es educativo y refleja mi experiencia personal. No es asesoramiento financiero ni una recomendación de inversión: haz tu propia investigación. Operar con criptoactivos conlleva riesgo, incluida la pérdida total del capital.

En resumen

Una aprobación da permiso a un contrato para gastar tus tokens, no caduca y no se elimina al desconectar la wallet: hay que revocarla. Revísalas con regularidad.
Las firmas también dan permisos. Permit y Permit2 no cuestan gas y algunas wallets no las avisan como una aprobación; fueron las más efectivas para los atacantes en 2025, según Scam Sniffer.
El address poisoning se basa en que copies una dirección de tu historial: verifica siempre la dirección completa y guarda las habituales en tus contactos.
Separa tus wallets según su función, protege la frase semilla, usa una hardware wallet para lo importante y no firmes lo que no entiendas.
Si te han comprometido: mueve lo que quede a una wallet nueva, revoca los permisos, documenta todo y no pagues a nadie que prometa recuperar tus fondos.

Cómo se pierden los fondos en DeFi

Casi nunca se «hackea» la blockchain. Lo habitual es que el atacante consiga una de estas tres cosas:

Tu frase semilla o tu clave privada. Con ellas controla toda la wallet. Se filtran por phishing, por malware, por capturas de pantalla que se sincronizan en la nube o al entregárselas a un falso soporte.
Un permiso que firmas tú. Una aprobación de tokens, una firma Permit o una delegación EIP-7702 que deja a un contrato mover tus activos sin pedirte nada más. Es lo que explotan los drainers.
Un envío a la dirección equivocada. Por ejemplo, una dirección envenenada que copias de tu historial. En cadena no hay marcha atrás.

Los datos van en esa línea. La firma de seguridad Scam Sniffer calcula que el phishing con wallet drainers costó 83,85 millones de dólares a unas 106.000 víctimas en 2025. Es un 83 % menos que los 494 millones aproximados de 2024, pero sigue siendo mucho dinero, y son pérdidas de usuarios engañados, no de protocolos hackeados. Las firmas Permit y Permit2 fueron las más efectivas para los atacantes: los ataques basados en Permit supusieron el 38 % de las pérdidas en los incidentes de más de un millón de dólares, y el mayor robo individual del año, de 6,5 millones, se hizo en septiembre con una firma Permit maliciosa.

Cifras del informe de Scam Sniffer recogidas por Cointelegraph. Dependen de cómo se mida cada pérdida y de un único proveedor.

Aprobaciones de tokens: qué son y por qué conviene limpiarlas

Para que un exchange descentralizado, un protocolo de préstamos o un marketplace de NFT mueva tus tokens, primero tienes que autorizarlo. Esa autorización es una aprobación (allowance) y la guarda el propio contrato del token, en un registro de quién puede gastar cuánto. Si el gasto no está autorizado, la transacción falla. Sin aprobaciones, muchas aplicaciones de DeFi no funcionarían: no son malas en sí; el problema es lo que se acumula.

En los tokens ERC-20 se concede con la función approve(), indicando quién puede gastar y cuánto. Muchas aplicaciones piden una cantidad ilimitada para no tener que volver a pedirte permiso en cada operación. Una aprobación ilimitada cubre también los tokens que deposites después en esa wallet.

No caducan. Un permiso concedido hace años sigue activo y puede usarse mucho después.
Desconectar la wallet no lo elimina. Cerrar la sesión de una web o desconectar la wallet no quita el permiso: hay que revocarlo.
El riesgo es el contrato al que se lo das. Si le das permiso a un contrato, puede gastar esos tokens en cualquier momento; si lo hackean o resulta ser malicioso, tus tokens aprobados quedan expuestos. Incluso los proyectos consolidados sufren hackeos, y una aprobación antigua puede seguir siendo un riesgo años después.

Con los NFT hay dos niveles. La aprobación de un NFT concreto se anula sola al transferirlo. La de una colección entera (setApprovalForAll) deja que el contrato mueva cualquier NFT de esa colección, y los marketplaces la piden de forma habitual. Una estafa frecuente es conseguir que firmes un listado de tus NFT por 0 ETH.

Firmas que también dan permisos: Permit, Permit2 y EIP-7702

No todos los permisos son una transacción. Algunos se conceden con una firma que no cuesta gas, y por eso es más fácil pasarlos por alto. Esta tabla resume los que más importan:

Tipos de permiso que puedes conceder desde tu wallet.
Permiso	Qué autoriza	Cómo lo ves	Cómo se corta
Aprobación de token (approve)	Que un contrato gaste un token tuyo hasta un límite, a menudo ilimitado.	Es una transacción en cadena: la wallet la muestra y cuesta gas.	Revocarla (poner el límite a 0) o bajar el límite.
Permiso de NFT (setApprovalForAll)	Que un contrato mueva cualquier NFT de una colección.	Transacción en cadena.	Revocarlo desde Revoke.cash o desde el explorador.
Firma Permit (EIP-2612)	Aprobar el gasto de un token con una firma fuera de la cadena.	No cuesta gas y wallets como MetaMask no muestran las advertencias de una aprobación en cadena.	Una vez activada se revoca como cualquier aprobación; antes de eso suele ser muy difícil anularla.
Permit2	Una aprobación ilimitada al contrato Permit2 y, sobre ella, subaprobaciones con fecha de caducidad.	Dos capas: más cómodo, pero cuesta entender qué autorizas.	Revocar la aprobación a Permit2 si no la usas y acortar las subaprobaciones largas.
Delegación EIP-7702	Que tu cuenta ejecute el código de un contrato.	Se activa desde la propia wallet.	Se revoca desde la propia wallet.

Desliza hacia los lados para ver toda la tabla.

Permit (EIP-2612)

Es una extensión del estándar ERC-20, que solo soportan algunos tokens, para aprobar el gasto con una firma fuera de la cadena. La firma contiene la dirección autorizada y la cantidad, igual que una aprobación normal, y después se envía al token para activarla. Como no es una transacción, un sitio puede pedirte algo que parece un simple inicio de sesión cuando en realidad estás concediendo un permiso. Si firmaste algo sospechoso quizá puedas invalidarlo antes de que el atacante lo active, pero suele ser muy difícil porque actúan rápido.

Permit2

Es un contrato creado por el equipo de Uniswap para que cualquier token funcione con aprobaciones sin gas, incluso los que no soportan Permit. Tú concedes una vez una aprobación ilimitada al contrato Permit2 y, a partir de ahí, este reparte subaprobaciones a las aplicaciones, cada una con su fecha de caducidad. Tiene ventajas (menos transacciones y caducidad automática), pero añade una capa más y permite aprobar varios tokens a la vez, y los sitios de phishing aprovechan esa complejidad.

EIP-7702

Con la actualización Pectra de Ethereum, una cuenta normal puede asignar un contrato «delegado» que actúe en su nombre. Sirve sobre todo para agrupar operaciones en una sola transacción, como aprobar y hacer un swap, o revocar muchas aprobaciones a la vez. A cambio, abre una vía nueva a los estafadores: un sitio fraudulento puede intentar que firmes una delegación a un contrato malicioso que mueva varios activos de golpe. Scam Sniffer registró tras Pectra firmas maliciosas basadas en EIP-7702, con dos casos en agosto de 2025 que sumaron 2,54 millones de dólares. Más en el glosario.

El problema de fondo: firmar a ciegas

Muchas firmas llegan a la wallet en un formato que una máquina entiende y una persona no. En mayo de 2026 un grupo de trabajo de Ethereum, con desarrolladores de wallets, empresas de seguridad y la iniciativa Trillion Dollar Security de la Ethereum Foundation, presentó Clear Signing y el estándar ERC-7730, para que las wallets describan en lenguaje claro lo que hará cada transacción. Depende de que cada wallet lo integre, así que entender lo que firmas sigue siendo tu responsabilidad.

Comprueba el token, el contrato al que das permiso y la cantidad. Si es ilimitada y no la necesitas, baja el límite.
Desconfía de las firmas que no encajan con lo que quieres hacer: un inicio de sesión que pide una aprobación, una «verificación» de la wallet o un reclamo que te pide mover varios tokens.
Si la wallet no te enseña con claridad qué estás firmando, no firmes.

Las estafas más comunes y cómo reconocerlas

Phishing y drainers

Un drainer es un kit de phishing que monta una web falsa (un reclamo de airdrop, un mint, una «actualización» de un protocolo) para que conectes la wallet y firmes una aprobación, una firma Permit o una delegación. En cuanto firmas, un script mueve tus activos. No necesita tu frase semilla. Los vectores que recoge ethereum.org:

Correos, mensajes y anuncios con enlaces a sitios falsos. La vista previa de un enlace en un anuncio puede mostrar un dominio legítimo que no es el real.
Falsos soportes que te escriben por privado, sobre todo después de ver una pregunta pública tuya en Discord.
Sorteos que prometen devolverte el doble de lo que envíes, y cuentas de redes sociales hackeadas que los difunden.
Tokens o NFT que aparecen en tu wallet sin que los pidas y que te llevan a una web donde te piden firmar.
Falsos brokers y esquemas de «minería» que prometen rendimientos altos y acaban vaciando los fondos.

Address poisoning

Según MetaMask, el atacante vigila transferencias (normalmente de stablecoins), genera con un programa una dirección que se parece a la de destino y te envía desde ella una transacción de valor insignificante, normalmente de cero tokens, para que aparezca en tu historial. Si la próxima vez copias la dirección del historial en lugar de la original, los fondos van al atacante. Funciona porque las direcciones son largas y las reconocemos por el principio y el final. Más en el glosario.

No es un riesgo teórico. Un estudio presentado en la conferencia ACM CCS 2024 (Guan y Li, San Diego State University) analizó este ataque en Ethereum entre 2022 y principios de 2024: más de 14 millones de transferencias de envenenamiento hacia unos 1,44 millones de direcciones, 1.858 víctimas confirmadas y pérdidas confirmadas de entre unos 82 y 90 millones de dólares, la mayor parte en stablecoins. Solo una fracción pequeña de los intentos funciona, alrededor del 0,1 % según el estudio, pero cuesta tan poco que compensa: el retorno para los atacantes superó el 220 % de lo que gastaron en comisiones.

Verifica la dirección completa antes de enviar, incluidos los caracteres del medio, sobre todo en importes grandes.
No copies direcciones del historial de transacciones, ni siquiera las tuyas (por ejemplo, al mover fondos desde un exchange centralizado).
Guarda las direcciones que uses a menudo en los contactos de la wallet o ponles un nombre ENS o una etiqueta privada en el explorador.
Con una hardware wallet, confirma la dirección de destino en la pantalla del propio dispositivo.
Si el importe es grande, haz primero un envío de prueba pequeño.

Falsos recuperadores

Después de una pérdida, la estafa continúa: aparecen «expertos en recuperación de cripto» que te escriben por redes y piden un pago por adelantado. Nadie puede revertir una transacción en una blockchain, así que quien se ofrece a recuperar tus fondos a cambio de una tarifa es casi seguro otro estafador.

Software falso y extensiones

Instala wallets y extensiones solo desde fuentes oficiales y borra las que no uses: una extensión puede actualizarse con código malicioso. Después de hacer clic en cualquier enlace, comprueba el dominio. Las normas básicas al farmear airdrops las tienes también en la guía de qué es un airdrop.

Hábitos que reducen el riesgo

Separa tus wallets por función. Una para guardar a largo plazo, que no se conecte a ninguna aplicación; otra para operar y farmear con el capital que puedas permitirte perder; y, si pruebas protocolos nuevos o reclamos, una tercera desechable. Si una se compromete, las demás no.
Usa una hardware wallet para lo importante. La clave nunca sale del dispositivo, así que te protege aunque el ordenador esté comprometido, y te deja confirmar en su pantalla lo que firmas. Eso sí: no evita que firmes tú una aprobación maliciosa.
Protege la frase semilla. Nunca la compartas, no la escribas en ninguna web y no le hagas capturas de pantalla (pueden sincronizarse con la nube). Guárdala sin conexión.
Acota los permisos. Aprueba solo la cantidad que vas a usar cuando la wallet lo permita y revisa las aprobaciones con regularidad (más abajo, paso a paso).
Prefiere wallets que te enseñen qué firmas. Elige una que muestre con claridad qué tokens salen de tu cuenta y a qué contrato das permiso. Yo uso Rabby, que además permite revocar aprobaciones en lote.
Cuida el navegador. Usa un perfil solo para cripto con pocas extensiones y elimina las que no utilices. Verifica el dominio antes de conectar la wallet. En 10 herramientas necesarias para tu día a día incluyo cómo compruebo contratos y enlaces.
Protege tus cuentas. Contraseñas largas y únicas en un gestor de contraseñas, y verificación en dos pasos con app de autenticación o llave de seguridad. Evita el SMS: la clonación de la SIM (SIM swapping) lo hace vulnerable.
Prueba con poco. La primera vez que uses una aplicación o envíes a una dirección nueva, hazlo con una cantidad pequeña.

Cómo revisar y revocar tus aprobaciones paso a paso

Revisar tus aprobaciones no cuesta nada, porque solo lees datos públicos de la cadena. Revocar sí cuesta una comisión de red por cada permiso, que varía según la red y el momento. Con Revoke.cash:

Entra escribiendo tú la dirección web o desde tus favoritos, nunca desde un anuncio o un mensaje. Introduce tu dirección o tu nombre ENS, o conecta la wallet.
Elige la red. Las aprobaciones son por red, así que repite el proceso en cada una que uses (Ethereum, Arbitrum, Base…).
Ordena y filtra. Si sospechas de un permiso malicioso, ordénalos de más reciente a más antiguo. Fíjate en el token, el contrato y si la cantidad es ilimitada.
Pulsa «Revoke» y confirma la transacción en tu wallet. Si todavía necesitas el permiso, pulsa el icono del lápiz para bajar la cantidad en lugar de eliminarlo.
Recarga y comprueba que el permiso ya no aparece.

También puedes hacerlo desde el explorador de cada red (Etherscan en Ethereum, Arbiscan en Arbitrum…): en el menú «More», abre «Token Approvals», introduce tu dirección, elige el tipo de token (ERC-20, ERC-721 o ERC-1155) y activa «Show all approvals».

Si tienes muchas, hazlo en lote. Rabby tiene una función de revocación en lote (Batch Revoke) que me ahorró horas de hacerlo a mano. Con ella limpié cientos de aprobaciones por menos de 20 dólares en comisiones, según mis cuentas.
Revocar no debería hacerte perder fondos. Según ethereum.org, no afecta a tu staking, tus pools ni tus préstamos. Lo único es que tendrás que volver a aprobar la próxima vez que uses ese contrato.
Permit2. Si no lo usas, revoca la aprobación al propio contrato Permit2 y acorta o elimina las subaprobaciones con fecha lejana.
Delegaciones EIP-7702. Revoke.cash las muestra en la pestaña «delegations», pero solo para inspeccionarlas: se revocan desde la propia wallet.
Firmas Permit. La pestaña «Signatures» de Revoke.cash muestra firmas potenciales, porque no puede saber cuáles firmaste de verdad. Cancelar de más no es peligroso, pero gasta gas.

Un ritmo razonable es revisarlas una vez al mes y siempre después de probar un protocolo nuevo o de firmar algo dudoso. Y si ya te han vaciado, revoca igualmente: el permiso podría usarse de nuevo.

Qué hacer si crees que te han comprometido

Actúa rápido y con orden. Lo que sigue combina las recomendaciones de ethereum.org y de Revoke.cash:

Para. Deja de interactuar con la web sospechosa y no firmes nada más.
Mueve lo que te quede a una wallet nueva. Créala con una frase semilla nueva, en un dispositivo limpio, y llévate los fondos más valiosos primero.
Revoca los permisos de la wallet afectada, aunque ya esté vacía, y revisa si hay delegaciones EIP-7702 activas.
Si se filtró la frase semilla o la clave privada, da esa wallet por perdida y no vuelvas a depositar en ella: cualquier cosa que llegue puede ser movida por quien las tenga.
Protege tus cuentas. Cambia las contraseñas de los exchanges vinculados y activa la verificación en dos pasos en todas tus cuentas cripto.
Documenta todo: hashes de transacción, direcciones, capturas de pantalla y cualquier conversación con el estafador.
Reporta. Las direcciones, a servicios como Chainabuse o al formulario de Etherscan; las webs y cuentas falsas, a la plataforma donde las has visto y a Google Safe Browsing; y el caso, a la policía de tu país (en España, Policía Nacional o Guardia Civil) o a organismos como IC3, en EE. UU., Action Fraud, en Reino Unido, o Europol.
Si los fondos llegaron a un exchange centralizado, contacta de inmediato con su soporte: pueden congelar cuentas marcadas por fraude.
No pagues a nadie que prometa recuperar tus fondos.

La realidad es incómoda: en cadena no se deshace nada y recuperar los fondos es muy poco probable. Por eso la prevención pesa más que cualquier remedio. ethereum.org mantiene una página de ayuda y denuncia de estafas con las herramientas para seguir el rastro de los fondos.

Checklist rápido

Si prefieres tenerlo todo en una sola tabla, esto es lo que conviene comprobar y cuándo:

Qué comprobar y cuándo.
Cuándo	Qué comprobar
Antes de firmar	Token, contrato y cantidad. ¿Lo necesito para lo que quiero hacer? ¿Entiendo lo que dice la wallet? ¿He llegado desde un enlace oficial?
Antes de enviar	Dirección completa, no copiada del historial. Contacto guardado o envío de prueba si el importe es grande.
Cada mes	Aprobaciones en cada red, delegaciones EIP-7702 y firmas Permit. Revoca lo que ya no uses.
Tras probar un protocolo nuevo	Revoca los permisos que concediste y que no necesitas mantener.
Si algo huele raro	No firmes más, mueve los fondos a una wallet nueva, revoca, documenta y no pagues a recuperadores.

Preguntas frecuentes

¿Qué es una aprobación de tokens?

Es el permiso que das a un contrato inteligente para que gaste, en tu nombre, una cantidad de uno de tus tokens. Se guarda en el contrato del token, no caduca por sí sola y se puede revocar en cualquier momento. Más en el glosario.

¿Revocar una aprobación cuesta dinero?

Sí: es una transacción en cadena y se paga una comisión de red, que varía según la red y el momento. Revisar tus aprobaciones, en cambio, es gratis. En mi limpieza de cientos de aprobaciones, con la revocación en lote de Rabby, las comisiones no llegaron a 20 dólares según mis cuentas.

¿Desconectar la wallet de una web elimina sus permisos?

No. Desconectar la wallet no quita las aprobaciones que ya concediste: hay que revocarlas con una herramienta como Revoke.cash, con el explorador de la red o con tu wallet.

¿Una hardware wallet me protege de las estafas?

Protege tu clave privada, que no sale del dispositivo aunque el ordenador esté comprometido, y te deja confirmar en su pantalla lo que firmas. Pero no evita que firmes tú una aprobación maliciosa, así que sigue siendo clave leer lo que autorizas.

¿Qué es el address poisoning y cómo me protejo?

Es una estafa en la que te envían una transacción de valor insignificante desde una dirección que se parece a otra con la que has operado, para que acabes copiándola del historial. Verifica siempre la dirección completa, no copies del historial y guarda las direcciones habituales en tus contactos.

¿Se pueden recuperar los fondos robados?

Casi nunca. Las transacciones en cadena no se pueden revertir. Documenta el caso, reporta las direcciones y, si los fondos llegaron a un exchange centralizado, avisa a su soporte cuanto antes. No pagues a quien prometa recuperarlos: suele ser otra estafa.

¿Cada cuánto debería revisar mis aprobaciones?

Un ritmo razonable es una vez al mes y siempre después de probar un protocolo nuevo o de firmar algo dudoso. Si usas varias redes, repite la revisión en cada una.