Qué hacer si caíste en una estafa de drenado de billetera o phishing de aprobación: guía completa de recuperación

Conectaste tu billetera a lo que parecía un sitio legítimo, firmaste una transacción y en cuestión de segundos tus tokens habían desaparecido. Los drenadores de billeteras y los ataques de phishing de aprobación se encuentran entre las estafas cripto más sofisticadas desde el punto de vista técnico que operan en la actualidad. En 2024, drenaron aproximadamente 494 millones de dólares de más de 332.000 billeteras. Aunque las defensas mejoraron y las pérdidas de 2025 cayeron significativamente, más de 83 millones de dólares fueron robados a más de 106.000 víctimas. Esta guía explica exactamente qué ocurrió, qué debes hacer ahora mismo y cómo es la recuperación en términos realistas.

1. Respuesta rápida: el primer paso más importante

Una vez revocadas las aprobaciones, deja de usar la billetera comprometida para cualquier cosa que no sea documentación. No firmes ninguna transacción nueva hasta que entiendas lo que ocurrió.

2. Cómo funciona esta estafa

Un ataque de drenador de billetera explota un mecanismo incorporado en Ethereum y las blockchains compatibles: la función approve. Esta permite que una dirección de terceros —un gastador aprobado— mueva tokens desde tu billetera sin necesidad de una transacción separada cada vez. Fue diseñada para uso legítimo en DeFi. Los atacantes la han convertido en arma.

Los puntos de entrada más comunes incluyen:

• Sitios falsos de mint de NFT y clones de DeFi: anuncios en motores de búsqueda o publicaciones en redes sociales dirigen a las víctimas a copias pixel-perfect de plataformas legítimas. El sitio solicita la conexión de la billetera e inmediatamente pide una transacción approve o setApprovalForAll presentada como un paso rutinario de mint o intercambio.
• Firmas Permit y Permit2: los drenadores más recientes explotan la función permit del EIP-2612, que permite que mensajes firmados fuera de la cadena autoricen transferencias de tokens. No se requiere ninguna transacción on-chain por parte de la víctima, solo una firma de billetera que luce idéntica a un inicio de sesión estándar. En 2025, las firmas Permit y Permit2 representaron el 38% de las pérdidas en incidentes superiores al millón de dólares.
• Cuentas comprometidas de Discord y Twitter: los atacantes se apoderan de cuentas verificadas de proyectos para publicar enlaces urgentes de mint exclusivo con temporizadores de cuenta regresiva que generan urgencia artificial.
• Páginas de reclamación de airdrop: se informa a las víctimas de que son elegibles para un airdrop de tokens y deben verificar su billetera firmando una transacción que, en realidad, es una aprobación amplia.
• Delegaciones maliciosas EIP-7702 (a partir de agosto de 2025): tras la actualización Pectra de Ethereum, los atacantes comenzaron a utilizar EIP-7702 para solicitar firmas que delegan el control de una cuenta de propiedad externa a un contrato malicioso, un vector que los verificadores de aprobaciones existentes inicialmente no detectaban.

En todas las variantes, la víctima nunca envía fondos directamente al atacante: firma un permiso. El backend del atacante llama entonces a la función aprobada para transferir tokens, a menudo milisegundos después de que se envía la firma. Como no aparece ninguna transferencia saliente en el historial de la billetera de la víctima, muchos no se dan cuenta de lo sucedido hasta que su saldo es cero.

La escala es considerable. Chainalysis documentó al menos 374 millones de dólares robados mediante phishing de aprobación solo en 2023, con una sola dirección responsable de 44,3 millones de dólares de miles de víctimas. Las pérdidas aumentaron a aproximadamente 494 millones de dólares de 332.000 billeteras en 2024. El Informe Anual 2025 de Scam Sniffer registró 83,85 millones de dólares en pérdidas de 106.106 víctimas, con un solo robo mediante firma Permit que alcanzó los 6,5 millones de dólares en una única transacción.

3. Por qué la gente cae en ella

Estos ataques tienen éxito no porque las víctimas sean descuidadas, sino porque están diseñados para superar las defensas normales. Cuatro factores se combinan:

• El diálogo de aprobación luce idéntico a las interacciones legítimas de DeFi. MetaMask y otras billeteras muestran la misma ventana emergente de permisos para un intercambio genuino en un DEX y para un contrato de drenado malicioso. Muchos usuarios hacen clic por hábito, especialmente bajo presión de tiempo.
• Urgencia fabricada. Los temporizadores de cuenta regresiva, los mensajes de escasez y el texto de ventana exclusiva anulan la toma de decisiones cuidadosa. Cuando alguien cree que tiene segundos para actuar, no examina los detalles de la transacción.
• Cuentas de confianza comprometidas. Los atacantes apuntan a cuentas verificadas de proyectos en Discord y Twitter porque la guardia de las víctimas es más baja allí: un anuncio de una cuenta con 200.000 seguidores omite automáticamente el escrutinio.
• Las firmas Permit parecen inicios de sesión. Un diálogo de firma de mensaje luce como una confirmación de inicio de sesión estándar, no como una transacción que consume gas. La mayoría de los usuarios han aprendido a dudar ante las transacciones con gas. Las firmas sin gas eluden por completo ese instinto. El informe IOCTA 2025 de Europol documenta cómo la infraestructura de phishing ahora utiliza dominios de apariencia profesional para eliminar cualquier sospecha previa a la firma.

4. Primeras 24 horas: qué hacer de inmediato

La velocidad importa. Sigue estos pasos en orden: cada uno protege los activos restantes o preserva evidencia.

1. Revoca todas las aprobaciones de tokens de inmediato. Ve a revoke.cash o al verificador de aprobaciones de tokens de Etherscan. Conecta la billetera afectada y revoca cada aprobación a direcciones no reconocidas. Se requiere una pequeña tarifa de gas. Esto no recupera los fondos robados, pero detiene el drenado adicional.
2. Conserva todas las evidencias. Toma capturas de pantalla de la URL del sitio de estafa, las transacciones de la billetera y cualquier comunicación relacionada. Registra las marcas de tiempo exactas. No borres el historial del navegador. Exporta el historial completo de transacciones desde el explorador de bloques.
3. Copia la dirección de la billetera del atacante y los hashes de transacción. Tanto la transacción de aprobación como el drenado son visibles en el explorador de bloques. Estos son la evidencia central para cualquier investigación.
4. Deja de usar la billetera comprometida. Trátala como permanentemente comprometida. Mueve los activos restantes solo después de revocar las aprobaciones, y solo a una billetera recién creada.
5. Presenta una denuncia de ciberdelincuencia. En EE.UU.: ic3.gov. En la UE: la unidad de ciberdelincuencia de tu policía nacional. En el RU: Action Fraud. Guarda tu número de denuncia.
6. Notifica a los exchanges relevantes. Si el rastro en la blockchain muestra que los fondos fluyen hacia una dirección de depósito en un exchange centralizado, repórtalo de inmediato al equipo de cumplimiento de ese exchange con el hash de la transacción.
7. Contacta a un investigador profesional de blockchain si el monto robado es significativo. El compromiso temprano —dentro de las 24 a 48 horas— preserva las opciones de rastreo antes de que los fondos se mezclen o liquiden adicionalmente.

5. Qué NO hacer

Varias reacciones instintivas empeoran la situación. Evita lo siguiente:

• No envíes ETH para rescatar tokens restantes. Los bots drenadores barren el ETH entrante instantáneamente. Primero revoca las aprobaciones desde una billetera separada.
• No publiques tu dirección de billetera públicamente. Los estafadores vigilan a las víctimas en apuros. Compartir tu dirección atrae servicios falsos de recuperación en minutos.
• No te pongas en contacto con nadie que te contacte primero. Los investigadores legítimos no solicitan clientes por mensaje directo. Cualquier oferta no solicitada de recuperación de fondos es casi con certeza una segunda estafa.
• No pagues ninguna tarifa de recuperación anticipada. Ningún tercero puede revertir una transacción de blockchain completada. Las demandas de pago anticipado son un indicador de fraude.
• No interactúes con tokens enviados a tu billetera después del drenado. Los tokens polvo y los NFT sospechosos pueden contener llamadas a contratos maliciosos. No transfieras ni reclames nada de una fuente desconocida.
• No asumas que no se puede hacer nada. Cada movimiento de fondos robados queda registrado permanentemente. El rastreo forense puede producir evidencia para las fuerzas del orden y los congelamientos de exchanges incluso cuando la reversión es imposible.

6. Cómo es realmente la recuperación

Las transacciones de blockchain son irreversibles. Ningún tecnicismo ni orden judicial puede deshacer la transferencia en sí. Lo que sí es posible es el rastreo forense combinado con la cooperación de los exchanges y la coordinación con las fuerzas del orden, que en algunos casos resulta en una recuperación parcial o total.

Rastreo forense

Todas las transacciones de blockchain están registradas en un libro contable público e inmutable: cada movimiento de fondos robados puede ser rastreado. La guía de la FATF de noviembre de 2025 señala que los libros contables de blockchain proporcionan trazabilidad en tiempo real que apoya la recuperación rápida cuando se combina con la cooperación de los exchanges. Un investigador profesional mapea el clúster de billeteras del atacante, identifica las direcciones de depósito de exchanges centralizados en el flujo de fondos y documenta la cadena de custodia completa.

Cooperación con exchanges y congelamientos de activos

Cuando se presenta un informe forense documentado que vincula fondos robados a una dirección de depósito específica, muchos exchanges congelan los retiros pendientes y cooperan con las fuerzas del orden. La ventana es estrecha —típicamente de 24 a 72 horas—, razón por la cual actuar con rapidez es fundamental.

Fuerzas del orden y litigios civiles

La Operación Spincaster —una colaboración pública-privada dirigida contra el phishing de aprobación— congeló fondos en múltiples jurisdicciones. La declaración de culpabilidad del Departamento de Justicia de EE.UU. en diciembre de 2025 en un esquema de ingeniería social de 263 millones de dólares demuestra que la persecución internacional es activa. Para pérdidas superiores a 50.000 dólares donde se ha identificado a un atacante, el litigio civil de recuperación de activos es viable con un informe forense de cadena de custodia.

7. Cuándo involucrar a un investigador profesional

No todo drenado de billetera justifica un compromiso forense completo. Utiliza estos umbrales:

• Más de 10.000 dólares: un informe forense probablemente sea rentable. Documenta el flujo de fondos para las fuerzas del orden y los exchanges, proporcionando la base probatoria para actuar.
• Más de 50.000 dólares: la investigación profesional es muy recomendable. El litigio civil se vuelve proporcional y vale la pena perseguir agresivamente los congelamientos en exchanges.
• Cualquier pérdida donde el rastro lleva a una dirección de exchange centralizado: el compromiso temprano puede activar un congelamiento antes de que los fondos superen la ventana de retiro de 24 a 72 horas.
• Cualquier pérdida institucional o empresarial: las obligaciones regulatorias o las reclamaciones de seguro pueden requerir un informe formal independientemente del monto.

Un investigador legítimo realizará rastreo on-chain, producirá un informe forense documentado, enviará solicitudes de congelamiento a los exchanges relevantes y coordinará con las fuerzas del orden. Será transparente sobre lo que no puede garantizarse y cobrará por el trabajo documentado, no un porcentaje por adelantado antes de que se confirme ninguna recuperación.

8. Señales de alerta de estafas de recuperación

La revictimización es rampante. Los operadores de estafas de recuperación monitorean los foros en busca de nuevas víctimas. Espera contacto no solicitado en cuestión de horas tras un drenado. Señales de alerta clave:

• Te contactaron primero. Los investigadores legítimos no envían mensajes directos a las víctimas ni responden a publicaciones en foros con ofertas. Cualquier contacto no solicitado es una estafa.
• Garantizan la recuperación. Ningún investigador legítimo puede prometer un resultado específico. Las garantías son mentiras.
• Exigen una tarifa anticipada. Depósitos de tarifas de gas, tarifas de desbloqueo o adelantos porcentuales antes de cualquier trabajo de rastreo: todas son señales de alerta.
• Te pidieron tu frase semilla o claves privadas. No existe ningún proceso de recuperación legítimo que requiera esto. Punto final.
• Afirman tener relaciones especiales con exchanges o gobiernos. La cooperación legítima es formal y documentada: no existen canales informales.
• Su sitio web fue registrado recientemente y no tiene credenciales verificables. Busca el nombre de la empresa junto con “estafa” o “queja” antes de comprometerte.

9. Preguntas frecuentes