Por Renato Ulianov
En cripto, muchos robos ya no empiezan con un hackeo, sino con un clic. Nadie necesita adivinar tu frase semilla: te piden una firma y tú la das. La cartera hace exactamente lo que le autorizaste a hacer, y ese es el problema.
El tamaño del problema
Según Chainalysis, las estafas con criptomonedas recibieron al menos 14.000 millones de dólares en 2025, y la cifra podría superar los 17.000 millones cuando se completen los datos. Las estafas basadas en suplantación de identidad —de servicios de soporte, exchanges, organizaciones o personas conocidas— registraron un crecimiento interanual superior al 1.400 %.
Hay una noticia mejor dentro de ese panorama. Scam Sniffer, que rastrea los robos mediante phishing y firmas maliciosas en redes compatibles con Ethereum, contabilizó pérdidas de 83,85 millones de dólares y 106.106 víctimas en 2025, frente a los 494 millones de dólares sustraídos en 2024.
Es una reducción importante, aunque no significa que el peligro haya desaparecido. Las pérdidas también dependen de la actividad del mercado y de las oportunidades que encuentran los atacantes.
El robo individual más grande registrado por Scam Sniffer en 2025 alcanzó los 6,5 millones de dólares en septiembre mediante una firma de tipo Permit.
Basta una.
Por qué una firma puede vaciar una cartera
Cuando usas una aplicación descentralizada, muchas veces no le envías directamente tus fondos. Le das permiso para mover determinados activos.
Eso es normal: un exchange descentralizado puede necesitar autorización para utilizar los tokens que quieres intercambiar. El riesgo aparece cuando el permiso es más amplio de lo necesario o se lo concedemos a un contrato o servicio malicioso.
Hay tres mecanismos que conviene reconocer.
El primero es approve, una aprobación que permite a un contrato gastar una cantidad concreta de tokens o, en algunos casos, una cantidad prácticamente ilimitada.
El segundo es setApprovalForAll, que puede autorizar a un operador a gestionar todos los NFT de una colección pertenecientes a una cartera.
El tercero son las firmas de tipo Permit y Permit2, que permiten conceder determinadas autorizaciones mediante una firma criptográfica, sin necesidad de que el usuario envíe una transacción de aprobación independiente en ese momento.
Estas firmas son mecanismos legítimos y ampliamente utilizados. El problema aparece cuando un atacante consigue que firmemos una autorización que no comprendemos. Aunque firmar no requiera pagar gas, la autorización puede utilizarse posteriormente para mover nuestros tokens si se cumplen sus condiciones.
Cinco señales antes de firmar
1. La dirección casi correcta.
Una letra cambiada, un guion de más o un dominio distinto. Llegas por un anuncio, un mensaje directo o un enlace compartido en un grupo.
Escribe tú la dirección o utiliza un marcador que hayas guardado previamente. No confíes automáticamente en los enlaces que recibes.
2. Un permiso ilimitado.
Si la cartera te pide aprobar una cantidad enorme o ilimitada de un token para realizar una operación pequeña, detente.
Comprueba qué contrato solicita el permiso y para qué lo necesita. Cuando sea posible, limita la cantidad autorizada o rechaza la operación si no estás seguro.
3. Todos tus NFT de golpe.
Una solicitud de setApprovalForAll puede conceder a un operador la capacidad de transferir los NFT de una colección.
Puede ser necesaria en determinados mercados legítimos, pero también representa un riesgo considerable si procede de una web desconocida o de un contrato que no reconoces.
4. «Solo es una firma, no cuesta nada».
Que una firma no tenga coste de gas no significa que carezca de consecuencias.
Un mensaje Permit o Permit2 puede conceder permisos sobre tus tokens durante un periodo determinado. Antes de aceptarlo, revisa el contrato, el destinatario de la autorización, los activos afectados y, cuando corresponda, su fecha de vencimiento.
Si la web no explica claramente por qué necesita esa firma, no la aceptes.
5. Prisa y autoridad.
Un airdrop que caduca en minutos, un supuesto agente de soporte que te escribe primero o una promoción que utiliza la imagen de una persona conocida.
La urgencia es una de las herramientas favoritas de los estafadores.
Desconfía de los mensajes privados no solicitados que te piden conectar una cartera, revelar información sensible o firmar una operación.
Y antes de enviar criptomonedas, compara la dirección de destino completa. Existen ataques que introducen direcciones muy parecidas en el historial de transacciones para que el usuario copie la equivocada.
Si ya firmaste
Si sospechas que has concedido un permiso malicioso, actúa cuanto antes.
Revisa las autorizaciones activas mediante herramientas como Revoke.cash o el comprobador de aprobaciones de Etherscan. Si detectas permisos sospechosos, revócalos desde una conexión segura.
Ten presente que revocar una aprobación no recupera los fondos que ya hayan sido transferidos.
Si has firmado un Permit sospechoso o crees que tu cartera está comprometida, puede ser necesario trasladar los activos que aún controles a una cartera nueva y segura. Hazlo desde un dispositivo fiable y sin volver a interactuar con la web sospechosa.
La respuesta adecuada depende del tipo de firma y del alcance de los permisos concedidos. En caso de duda, busca asesoramiento técnico de confianza y no compartas nunca tu frase de recuperación.
Leer lo que firmas
Por transparencia: con mi equipo desarrollo SHIELD CryptoGuard, una extensión de navegador que avisa de webs de phishing conocidas y de varias de estas firmas antes de que las aceptes.
Pero ninguna herramienta sustituye a la costumbre de leer lo que la cartera te pide.
Cinco segundos de duda valen más que cualquier rentabilidad prometida.
Renato Ulianov es creador del canal de YouTube Trade with Renato, dedicado a los mercados cripto, la macroeconomía y la inteligencia artificial, y fundador de DegenScan.
Fuentes