Como auditar la superficie de ataque de tu cartera de criptomonedas: revocar aprobaciones, usar carteras burner y fortalecer la seguridad Web3

Por que tu cartera crypto tiene una superficie de ataque (y por que la mayoria de usuarios no se da cuenta)

Cuando se habla de mantener las criptomonedas seguras, la conversacion suele detenerse en las frases semilla y las contrasenas seguras. Eso importa, pero solo aborda una capa del problema. La superficie de ataque de tu cartera es significativamente mas amplia y crece cada vez que interactuas con la blockchain.

Una superficie de ataque es el conjunto total de puntos de entrada que un adversario puede explotar para acceder a tus activos sin tu cooperacion. Para una cartera crypto, esa superficie incluye el dispositivo que usas, las extensiones de navegador que ejecutas, los contratos inteligentes que has autorizado, las firmas que has producido y las URL que has visitado. Cada interaccion deja un residuo - permisos, aprobaciones y estados de sesion que persisten mucho despues de que la transaccion original sea olvidada.

Las aprobaciones de tokens son la parte mas subestimada de esa superficie. Cuando interactuas con un protocolo DeFi, firmas una transaccion ERC-20 approve() que otorga a un contrato inteligente el derecho de transferir tus tokens. La mayoria de los protocolos solicitan un limite ilimitado por defecto - firmas una vez y no vuelves a pensar en ello. El contrato retiene ese permiso indefinidamente, incluso si el protocolo es comprometido, abandonado o reemplazado por una version maliciosa.

El mecanismo de phishing de aprobaciones es tecnicamente elegante y devastadoramente efectivo. A diferencia de un compromiso de clave privada - que requiere que el atacante controle directamente tu cartera - un exploit de aprobacion funciona a nivel de contrato inteligente. El atacante solo necesita una firma tuya: la llamada maliciosa approve(). Despues, el contrato drenador llama silenciosamente a transferFrom(), moviendo tus tokens a direcciones controladas por el atacante. Tu clave privada nunca es tocada.

Esta guia detalla los cinco pasos que todo usuario de criptomonedas deberia seguir para reducir la superficie de ataque de su cartera a un nivel manejable. El proceso es practico, lleva menos de una hora para la mayoria de carteras y no requiere conocimientos tecnicos mas alla de conectar una cartera a un navegador.

Paso 1 - Audita tus aprobaciones de tokens existentes

Antes de poder cerrar las brechas, necesitas saber que has dejado abierto. El primer paso es una auditoria completa de cada aprobacion de token activa asociada a tu direccion. La mayoria de las carteras no muestran esta informacion - tu dashboard de MetaMask muestra saldos, no la lista de contratos autorizados para gastarlos.

Tres herramientas hacen que esta auditoria sea sencilla:

• Etherscan Token Approval Checker (etherscan.io/tokenapprovalchecker) - la referencia on-chain mas utilizada. Conecta tu cartera o pega tu direccion. La herramienta consulta la blockchain de Ethereum y lista cada contrato que tiene una aprobacion activa, el token aprobado y el importe del limite. Funciona para tokens ERC-20 en mainnet de Ethereum.
• Revoke.cash - soporte multicadena que abarca Ethereum, BNB Chain, Polygon, Arbitrum, Optimism, Base, Avalanche y decenas de otras. Especialmente util si interactuas con multiples redes. Muestra el importe de la aprobacion, el momento de la aprobacion y el contrato receptor.
• MetaMask Portfolio - si usas MetaMask, la pestana Portfolio en portfolio.metamask.io incluye un dashboard de aprobaciones. Muestra aprobaciones en todas las redes conectadas y permite la revocacion con un clic desde la misma interfaz.

Al ejecutar la auditoria, presta atencion a tres categorias de aprobacion:

• Aprobaciones ilimitadas - cualquier aprobacion con un numero muy grande (a menudo mostrado como "ilimitado" o un valor como 115792089...) otorga al contrato gastador control completo sobre todo tu saldo de tokens. Estas son las entradas de mayor riesgo.
• Aprobaciones para contratos desconocidos o sospechosos - si la direccion del gastador no tiene etiqueta en Etherscan, documentacion publica o nunca fue parte de un protocolo que usaste intencionalmente, tratala como sospechosa.
• Aprobaciones obsoletas de protocolos antiguos - los protocolos DeFi cierran, pivotan o son hackeados. Una aprobacion que concediste hace dos anos a un protocolo que ya no existe sigue activa y explotable.

Anota que aprobaciones quieres conservar (posiciones activas en protocolos en funcionamiento) frente a cuales no tienes razon actual para mantener. El siguiente paso es el proceso de revocacion.

Paso 2 - Revoca aprobaciones peligrosas o ilimitadas

Revocar una aprobacion es una transaccion on-chain. Cuesta gas, tarda unos segundos en confirmarse y elimina permanentemente la autorizacion del gastador sobre ese token. No necesitas cerrar tus posiciones ni retirar fondos primero: revocar simplemente significa que el contrato ya no puede mover esos tokens en tu nombre.

Trabaja tu lista de auditoria en el siguiente orden de prioridad:

• Prioridad 1: Contratos desconocidos o sospechosos con aprobacion ilimitada. Estas son las entradas mas peligrosas. Si no puedes identificar el contrato gastador - sin etiqueta en Etherscan, sin nombre de protocolo reconocible - revoca inmediatamente.
• Prioridad 2: Aprobaciones ilimitadas obsoletas para protocolos inactivos. Aunque reconozcas el nombre del protocolo, si ya no lo usas activamente, elimina la aprobacion. Los contratos inteligentes de un protocolo pueden ser actualizados, explotados o abandonados despues de que interactuaste con ellos.
• Prioridad 3: Cualquier aprobacion para tokens de alto valor (ETH, WBTC, stablecoins) donde el limite es ilimitado. Si usas activamente el protocolo, considera establecer una aprobacion finita en su lugar. Revoke.cash te permite editar el valor del limite en lugar de eliminarlo completamente.
• Prioridad 4: Aprobaciones ilimitadas restantes para protocolos activos. Puedes dejar aprobaciones limitadas para protocolos que usas regularmente siempre que el limite sea proporcional. Agrupa tus revocaciones para reducir los costos de gas cuando sea posible.

Una preocupacion comun es si revocar rompe posiciones DeFi activas. En la mayoria de los casos no lo hara - tu posicion en el pool de liquidez o staking persiste on-chain independientemente de las aprobaciones. La aprobacion solo importa para futuros transferencias de tokens. Si no estas seguro, consulta la documentacion del protocolo antes de revocar.

Una vez que hayas revocado todo lo que no necesitas, convierte la revocacion en parte de tu rutina. Ejecuta la auditoria de nuevo despues de cada sesion DeFi importante, y especialmente despues de interactuar con protocolos nuevos o no auditados. La superficie de aprobaciones crece cada vez que firmas una nueva transaccion approve().

Paso 3 - La estrategia de cartera burner: aisla tu riesgo

Incluso despues de revocar todas tus aprobaciones existentes, las nuevas interacciones DeFi crearan nuevas. La respuesta estructural a este problema es la segmentacion de carteras - especificamente, el uso de una cartera burner dedicada.

Una cartera burner es una direccion de cartera caliente separada usada exclusivamente para interacciones DeFi, acunacion de NFT, reclamacion de airdrops y cualquier otra actividad on-chain donde necesitas conectarte a un protocolo desconocido. El principio central es sencillo: la cartera burner solo contiene los fondos minimos necesarios para la transaccion inmediata. Tus tenencias principales - especialmente cualquier cantidad significativa - nunca residen en el burner.

Configurar una cartera burner lleva unos cinco minutos:

• Crea una nueva direccion de cartera en MetaMask (o cualquier otra cartera caliente) - usa la funcion "Crear cuenta" para generar una direccion nueva con una frase semilla unica almacenada de forma segura offline.
• Financiala solo para la sesion. Antes de cada interaccion DeFi, transfiere solo lo que necesitas - suficiente gas mas los tokens para la transaccion especifica. Despues de la sesion, transfiere cualquier valor restante de vuelta a tu cartera principal o dispositivo hardware.
• Mantienla completamente separada de tu identidad principal. No vincules la direccion del burner con tu nombre ENS, perfiles sociales publicos o servicios basados en correo electronico. El objetivo de un burner es que no este asociado con tus tenencias reales.
• Retirala periodicamente. Despues de un periodo de uso intensivo, el burner acumula un historial de aprobaciones e interacciones on-chain. Crear una nueva direccion burner cada pocos meses o despues de cualquier interaccion de la que no estes seguro es una buena practica.

La cartera hardware es el complemento del burner, no un reemplazo. Tu Ledger o Trezor guarda la mayor parte de tu portfolio y nunca se conecta directamente a dApps. Se usa para transferencias grandes y deliberadas - no para hacer clic en "Conectar cartera" en una nueva plataforma NFT que encontraste en Twitter. La superficie de ataque de la cartera hardware es casi cero porque nunca esta expuesta a flujos de aprobacion basados en web.

Juntas, una cartera caliente burner y una cartera hardware cubren todo el espectro de la actividad cripto: agilidad para interacciones DeFi cotidianas, maxima seguridad para tenencias a largo plazo.

Paso 4 - Reconoce intentos de phishing de aprobaciones en tiempo real

Revocar aprobaciones antiguas elimina la exposicion historica. Reconocer intentos de phishing en tiempo real previene que se cree nueva exposicion. El phishing de aprobaciones no es un ataque puramente tecnico - depende de la ingenieria social para que firmes una transaccion que no firmarias si entendieras lo que hace.

La mecanica es consistente entre campanas. Una victima es dirigida a un sitio malicioso - a traves de un mensaje de Discord, un falso anuncio de airdrop, una URL de protocolo falsificada o una cuenta de suplantacion en X. El sitio les pide "conectar cartera" y luego inmediatamente solicita la aprobacion de una transaccion. La aprobacion parece rutinaria. El objetivo hace clic en confirmar. Desde ese momento, el drenador tiene acceso silencioso e ilimitado al token aprobado.

Senales de advertencia de que una solicitud de transaccion es un intento de phishing:

• La solicitud de aprobacion aparece inmediatamente despues de conectar tu cartera, antes de que haya tenido lugar ninguna interaccion significativa. Los protocolos legitimos tipicamente piden aprobaciones solo cuando explicitamente envias una transaccion que requiere movimiento de tokens.
• La direccion del gastador mostrada en los datos de la transaccion de MetaMask no tiene etiqueta reconocible. Los protocolos legitimos tipicamente tienen etiquetas verificadas en Etherscan. Una direccion hex sin etiqueta que solicita una aprobacion ERC-20 ilimitada deberia activar precaucion inmediata.
• La solicitud llego a traves de un mensaje directo - de una cuenta de "soporte", un "miembro del equipo" o una invitacion no solicitada para reclamar tokens. Ningun flujo legitimo de soporte de protocolo implica pegar un enlace en mensajes directos y pedirte que conectes tu cartera.
• La URL es un homoglifo o typosquat de un protocolo legitimo. Compara el dominio caracter a caracter. Los atacantes usan dominios como uniswqp.com, opensea.io (con una "e" cirilic) o airdrop-uniswap.org. Navega siempre a los protocolos directamente desde marcadores o enlaces oficiales.
• La transaccion te pide firmar datos fuera de la cadena (eth_sign o personal_sign) con un payload inusual. Algunos drenadores usan solicitudes de firma en lugar de aprobaciones on-chain para autorizar transferencias de tokens a traves de Permit2 u otros mecanismos. Lee el hex completo antes de firmar.

Ante la duda, no firmes. Cierra la pestana, verifica la URL en las cuentas de redes sociales oficiales del protocolo e intenta de nuevo desde un marcador. El costo de una oportunidad perdida siempre es menor que el costo de un vaciado por aprobacion.

Paso 5 - Refuerza tu higiene de firma

Tu clave privada es tan segura como tu comportamiento al firmar. Incluso si tu cartera nunca es comprometida directamente, firmar descuidadamente te expone a toda la gama de vectores de ataque Web3 - phishing de aprobaciones, vaciados Permit2, llamadas de delegado maliciosas y ataques de repeticion de firmas. La buena higiene de firma es la disciplina de tratar cada solicitud de firma como potencialmente hostil hasta que se verifique lo contrario.

Practicas fundamentales de higiene de firma:

• Lee los datos completos de la transaccion antes de firmar. MetaMask muestra un campo de datos hex para cada transaccion. Expandelo. Mira la funcion que se llama y la direccion del gastador. Si los datos son ilegibles y la dApp no puede explicar lo que estas firmando, no firmes.
• Usa una cartera hardware para cualquier cosa por encima de tu umbral personal de riesgo. Un Ledger o Trezor muestra fisicamente los datos completos de la transaccion en su propia pantalla, separada de tu computadora potencialmente comprometida. El atacante no puede alterar lo que aparece en el dispositivo. Para tenencias por encima de unos pocos cientos de dolares, una cartera hardware es la mejora individual mas efectiva.
• Nunca establezcas aprobaciones ilimitadas cuando una cantidad especifica sea suficiente. La mayoria de los flujos de aprobacion tienen una opcion "editar cantidad". Usala. Ingresa la cantidad exacta que estas depositando en lugar de aceptar la cifra ilimitada por defecto. Esto requiere un pequeno paso adicional y no cuesta nada adicional en gas.
• Verifica obsesivamente las URL de las dApps. Antes de conectar tu cartera a cualquier protocolo, verifica la URL con la documentacion oficial del protocolo, su cuenta verificada de Twitter/X e idealmente su repositorio de GitHub. Guarda la URL correcta en marcadores despues de tu primera visita verificada.
• Nunca firmes desde un enlace recibido en un mensaje directo, correo electronico o notificacion de airdrop no solicitada. Cada dApp legitima tiene una URL publica que puedes verificar de forma independiente. El contexto en que recibiste el enlace importa. Un enlace en un mensaje directo de alguien que no conoces es una senal de alerta por defecto.
• Comprende la diferencia entre eth_sign y las firmas de datos tipados. eth_sign firma un hash arbitrario - puede autorizar cualquier cosa. Las firmas de datos tipados (EIP-712) muestran campos legibles por humanos. Si MetaMask muestra un hash sin procesar sin contexto, rechazalo.
• Mantiene un entorno de firma limpio. Las extensiones del navegador pueden inyectar codigo malicioso en las paginas web. Mantiene un perfil de navegador separado (o una instancia de navegador dedicada) para interacciones DeFi, con solo la extension de cartera instalada. Sin extensiones de analitica, sin buscadores de cupones, nada que tenga acceso al DOM.

Que hacer inmediatamente si tu cartera ha sido vaciada

La velocidad es lo unico que importa en los primeros 30 minutos despues de un vaciado por aprobacion. Las transacciones blockchain son irreversibles, pero el pipeline del atacante - convertir tokens robados a stablecoins, enrutar a traves de puentes y cobrar - requiere tiempo. Cada minuto que actuas es un minuto en que potencialmente puedes reducir las perdidas.

En los primeros 10 minutos:

• Transfiere inmediatamente los activos restantes fuera de la cartera comprometida. Si el vaciado fue selectivo (aprobaciones de tokens especificas, no un compromiso de clave privada), otros tokens pueden estar presentes. Muevalos a una direccion nueva y limpia antes de que el atacante actue de nuevo.
• No uses el mismo navegador, computadora o red si sospechas una infeccion de malware. Si tu clave privada fue comprometida en lugar de un exploit de aprobacion, cualquier accion en el mismo dispositivo puede ser observada. Pasa a un dispositivo limpio antes de continuar.
• Revoca todas las aprobaciones restantes de la direccion comprometida usando Revoke.cash o Etherscan desde un dispositivo limpio. Incluso si la mayoria de los tokens ya se han ido, las aprobaciones pendientes pueden permitir vaciados posteriores.

Dentro de la primera hora:

• Documenta todo. Toma capturas de pantalla de los hashes de la transaccion de vaciado, la direccion del contrato malicioso, la URL del sitio si se conoce, cualquier mensaje recibido y la secuencia exacta de eventos. Esta documentacion es esencial para las autoridades y cualquier proceso de recuperacion.
• Reporta al Centro de Denuncias de Delitos en Internet del FBI (IC3) en ic3.gov. El FBI IC3 registro $11.000 millones en perdidas relacionadas con cripto en 2025 y coordina con firmas de analitica blockchain para investigar casos activos. En la UE o LATAM, reporta a tu autoridad nacional de ciberdelincuencia.
• Reporta el contrato malicioso a plataformas de analitica blockchain. Envia la direccion del drenador al sistema de marcado de Etherscan, al explorador de cadena relevante y a Chainabuse.com. Esto ayuda a otros usuarios a identificar el contrato antes de interactuar con el.
• Contacta a una firma de forensia blockchain. Firmas como Recoveris se especializan en rastrear activos digitales robados entre cadenas, identificar infraestructura del atacante y construir los paquetes de evidencia necesarios para procedimientos de recuperacion legal. La participacion en las primeras 24-48 horas mejora significativamente la trazabilidad antes de que los fondos sean dispersados en servicios de mezcla.

Despues de la respuesta inmediata, realiza una revision completa del incidente: identifica exactamente como fue firmada la aprobacion maliciosa, cierra la brecha de seguridad que lo permitio, audita todas las demas carteras en busca de exposiciones similares y considera si las cuentas asociadas (email, exchanges, redes sociales) tambien pueden estar comprometidas.

Referencias

1. Chainalysis. Targeted Approval Phishing Scams See Explosive Growth. 14 de diciembre de 2023. chainalysis.com
2. Chainalysis. Crypto Scams 2026. Marzo 2026. chainalysis.com
3. Elliptic. Inside Operation Atlantic: How Blockchain Analytics Helped Disrupt Approval Phishing at Scale. 16 de marzo de 2026. elliptic.co
4. Elliptic. The State of Crypto Scams 2025. Diciembre 2025. elliptic.co
5. FBI Internet Crime Complaint Center. 2025 Internet Crime Report. Abril 2026. ic3.gov
6. Financial Action Task Force. Targeted Update on Virtual Assets and VASPs 2025. Junio 2025. fatf-gafi.org
7. Financial Action Task Force. Virtual Assets: Red Flag Indicators of Money Laundering and Terrorist Financing. Septiembre 2020. fatf-gafi.org
8. TRM Labs. 2026 Crypto Crime Report. Enero 2026. trmlabs.com
9. Ledger Academy. Ethereum Token Approvals Explained. Mayo 2024. ledger.com
10. Chainalysis. Crypto Drainers. Octubre 2024. chainalysis.com
11. US Secret Service. Operation Atlantic Disrupts More Than $45 Million Cryptocurrency Fraud, Freezes Assets. Abril 2026. secretservice.gov
12. Etherscan. Token Approval Checker. 2024-presente. etherscan.io
13. MetaMask. How to revoke smart contract allowances / token approvals. 2024. support.metamask.io

Preguntas frecuentes

Recursos relacionados