Aprobar, Asignación, Revocar: Cómo no convertir tu wallet en un cajero

Aviso: este material es solo para fines informativos y no constituye asesoramiento de inversión.

Si alguna vez tokens salieron de tu wallet sin una confirmación, en 9 de cada 10 casos no fue un hackeo de la blockchain: fue un permiso antiguo que diste a un contrato inteligente en algún momento. En 2026 esta es una de las formas más comunes en que los usuarios minoristas pierden fondos: atacantes que drenan saldos, páginas de phishing, comprobaciones de elegibilidad falsas — todo el ecosistema gira en torno a firmas y permisos de tokens.

Desgranemos qué es aprobar/asignación, por qué las aprobaciones ilimitadas son peligrosas, cómo funciona la revocación y qué hacer si ya clickeaste lo incorrecto.

Términos clave

Aprobar: permiso que le das a un contrato inteligente para gastar tus tokens.

Asignación: el tamaño de ese permiso (cuánto puede gastar).

Revocar: cancelar ese permiso (normalmente estableciendo la asignación a cero).

No estás aprobando “tu wallet”. Estás aprobando una dirección de contrato específica — y a menudo por una cantidad muy grande (a veces efectivamente ilimitada).

Cómo suele ocurrir el robo vía aprobaciones

Un flujo clásico se ve así:

1. Llegas a un sitio: “airdrop / claim / check eligibility / mint / verify wallet”.
2. Conectas tu wallet.
3. El sitio te pide realizar una acción “inofensiva” — con mayor frecuencia un approve.
4. La confirmas.
5. A partir de ese momento, el contrato (o quien lo controle) puede transferir tus tokens sin pedirte otra vez, hasta que la asignación se revoque o se agote.

Por eso parece que los tokens se fueron sin firma. La firma ocurrió — solo que antes.

Por qué la aprobación ilimitada es la mayor señal de alarma

Muchas interfaces por defecto eligen máximo/ilimitado para que no pagues gas cada vez que intercambias o interactúas.

Ventaja: menos fricción.

Desventaja: un error puede permitir que alguien drene tus tokens hasta dejarlos a cero.

Una regla práctica:

• Para acciones puntuales, aprueba una cantidad exacta (o un tope pequeño).
• Las aprobaciones ilimitadas deben tratarse como dar a una compañía tu tarjeta sin límite de gasto.

Riesgo extra en 2026: Permit/Permit2 y firmas sin gas

Aquí es donde muchos usuarios quedan atrapados. 

Existen dos realidades diferentes:

1) Approve clásico de ERC-20

Esta es una transacción on-chain. Pagas gas. La aprobación es visible en exploradores y en herramientas de revocación.

2) Permit / Permit2 (permisos sin gas vía firmas)

Aquí firmas un mensaje, y la capacidad de gastar tokens puede activarse mediante un mecanismo distinto (a veces sin que envíes una transacción de aprobación separada en el momento de la firma). 

Para el usuario es peor: “solo una firma” → tokens desaparecidos.

Si un sitio te pide firmar para verificar o firmar para comprobar elegibilidad, trátalo como de alto riesgo. En muchas estafas reales, esa es toda la estafa.

Cómo comprobar qué contratos tienen permisos

Elige cualquiera de estos enfoques.

Opción A: Herramientas de revocación

Abre un comprobador de aprobaciones de tokens, conecta tu wallet, selecciona la red y revisa las aprobaciones.

Qué buscar:

• nombres/dominios de contratos desconocidos;
• asignaciones enormes;
• asignaciones para stablecoins (USDT/USDC/DAI) — favorito de los que drenan fondos;
• aprobaciones de NFT (a menudo mostradas en una pestaña separada).

Opción B: Exploradores de blockchain (Etherscan y equivalentes)

Útil si quieres verificar direcciones manualmente.

Qué buscar:

• transacciones de approve;
• la dirección del contrato que recibió la asignación;
• listas de aprobaciones de tokens (si la UI del explorador las proporciona).

Opción C: La interfaz de tu wallet

Algunas wallets muestran aprobaciones, pero las herramientas especializadas suelen ser más rápidas y claras.

Cómo revocar de forma segura 

Paso 1: Identifica la red correcta

Las aprobaciones son por red: Ethereum, Arbitrum, Base, BNB Chain, etc.

Si aprobaste durante un claim en una cadena — debes revocar en esa misma cadena.

Paso 2: Saca las aprobaciones y prioriza por riesgo

Empieza por las stablecoins (USDT/USDC/DAI), tokens líquidos grandes (wETH, activos principales), y luego el resto.

Paso 3: Elimina aprobaciones ilimitadas y las desconocidas

Usa Revocar/Establecer asignación a 0.

Esto normalmente es una transacción on-chain, así que pagarás gas.

Paso 4: Verifica de nuevo tras unos minutos

Algunas interfaces almacenan en caché los resultados. Confirma que la asignación ahora es 0.

Qué hacer si ya te drenaron tokens

Trátalo como un incendio.

1) Mueve los activos restantes a una nueva dirección — de inmediato

• idealmente créala en un perfil de navegador o dispositivo limpio;
• no conectes la wallet comprometida a ningún sitio de “recuperación” o “comprobación”.

2) Revoca aprobaciones en la dirección comprometida

Esto no recuperará fondos robados, pero puede detener transferencias adicionales de lo que quede.

3) Revisa aprobaciones en todas las redes

Las estafas a menudo son multichain. La gente limpia Ethereum y olvida Base/Arbitrum.

4) Separa la “actividad de riesgo” de tu wallet principal en adelante

Si esa dirección se usó para airdrops/mini-apps, no la sigas usando como wallet principal.

Conclusión

Aprobar es un mecanismo útil — y también la razón por la que las wallets con más frecuencia se convierten en un cajero para los atacantes. En 2026 ganan quienes mantienen higiene básica: limitar aprobaciones, revocar regularmente y separar direcciones por rol.