El arte sutil de la aprobación de tokens: cómo proteger su billetera de drenajes sigilosos

El acto aparentemente inofensivo de aprobar una aplicación descentralizada (dApp) o un contrato inteligente para acceder a sus tokens es una coyuntura de seguridad crítica para cualquier titular de una billetera de criptomonedas. Si bien son esenciales para muchas operaciones de DeFi, las aprobaciones de tokens sin control pueden convertirse en una puerta de entrada sigilosa para que actores maliciosos drenen sus activos. Esta columna profundiza en la mecánica de las aprobaciones de tokens, los riesgos que presentan y los pasos prácticos que puede seguir para salvaguardar su patrimonio digital.

Tesis: Comprender el alcance completo de las aprobaciones de tokens, revisarlas diligentemente y revocar regularmente los permisos innecesarios son prácticas fundamentales para una seguridad sólida de la billetera de criptomonedas, mitigando un vector común de pérdida de activos.

El ecosistema de finanzas descentralizadas (DeFi) prospera con contratos inteligentes que automatizan operaciones financieras complejas. Para interactuar con estos contratos, su billetera a menudo necesita otorgarles permiso para mover tokens específicos de su cuenta. Esto se logra a través de la función `approve` en los estándares de tokens ERC-20. Si bien esta funcionalidad permite el comercio sin problemas en intercambios descentralizados, protocolos de préstamos y otras dApps, también crea una vulnerabilidad persistente. A diferencia de una transacción única, una función `approve` puede otorgar acceso indefinido a sus tokens hasta que se revoque explícitamente. Esta persistencia de permisos es precisamente lo que explotan los estafadores. Se aprovechan de los usuarios que otorgan amplias aprobaciones a dApps aparentemente legítimas, solo para que el contrato de esa dApp se vea comprometido, o para que el estafador obtenga el control de las claves administrativas de una dApp comprometida.

Organismos reguladores como la Comisión de Bolsa y Valores de EE. UU. (SEC) y la Comisión Federal de Comercio (FTC) señalan constantemente el acceso no autorizado y los drenajes de activos como amenazas significativas en el espacio criptográfico. Las alertas para inversores de la SEC sobre estafas criptográficas mencionan con frecuencia cómo los atacantes engañan a los usuarios para que firmen transacciones maliciosas que otorgan amplias aprobaciones de tokens. De manera similar, la FTC brinda orientación sobre estafas comunes de criptomonedas, incluidas aquellas que aprovechan contratos inteligentes comprometidos o tácticas de phishing para obtener acceso a tokens.

En el aspecto técnico, herramientas como Revoke.cash se han vuelto indispensables para los usuarios de criptomonedas. Esta plataforma permite a los titulares de billeteras ver todas las aprobaciones de tokens activas conectadas a su dirección y revocarlas con una simple transacción. La documentación de Ethers.js para el método `approve` de ERC-20 describe claramente su función: establece una asignación de gastador para un token específico. Este fundamento técnico es crucial para comprender que la aprobación es una instrucción directa de su billetera al contrato del token, otorgando permiso a otra dirección (el gastador) para retirar tokens hasta una cantidad especificada.

Source-tracked CryptoRescue article.

Interacción inicial: Un usuario interactúa con una dApp, quizás un nuevo intercambio descentralizado, una plataforma de cultivo de rendimiento o incluso una herramienta NFT aparentemente útil.
2. La solicitud de aprobación: Para realizar una acción (por ejemplo, intercambiar tokens, apostar activos), la dApp le pide al usuario que apruebe el contrato de la dApp para gastar sus tokens. Esta aprobación podría ser para un token específico (como ETH o USDT) o para "todos los tokens" dentro de una billetera, a menudo con una asignación muy alta o "infinita".
3. Compromiso o engaño:
* Vulnerabilidad del contrato: El contrato inteligente de la dApp podría tener una vulnerabilidad oculta que un atacante puede explotar.
* Simulación de phishing: La dApp en sí misma podría ser una tapadera para una estafa, diseñada únicamente para engañar a los usuarios para que otorguen aprobaciones.
* Compromiso de la clave de administrador: Si las claves de administrador de la dApp se ven comprometidas, un atacante puede usarlas para drenar los tokens que se han aprobado a la dApp.
4. Retiro no autorizado: Una vez que se otorga la aprobación, el atacante puede activar una transacción que retira los tokens aprobados de la billetera del usuario a su propia dirección. Debido a que la aprobación ya se otorgó, la billetera del usuario no requiere una nueva firma para el retiro en sí, lo que hace que parezca una transacción legítima, aunque no autorizada.

Source-tracked CryptoRescue article.

• Cantidad de aprobación: Siempre examine la "cantidad" o "asignación" que se aprueba. ¿Es una cantidad razonable para la transacción inmediata, o está establecida en un número extremadamente alto (como 2^256-1, a menudo representado como "infinito")? Aprobar una cantidad específica y limitada siempre es más seguro.
• Dirección del contrato: Antes de aprobar, verifique la dirección del contrato inteligente con la que está interactuando. Los estafadores a menudo implementan sus propios contratos maliciosos que imitan de cerca a los legítimos. Use exploradores o agregadores de dApps confiables para confirmar las direcciones de contrato correctas.
• Reputación de la dApp: Investigue a fondo la dApp. Busque documentación oficial, debates comunitarios, auditorías de seguridad y reseñas de fuentes confiables. Tenga cuidado con los protocolos nuevos y no auditados, especialmente aquellos que prometen rendimientos inusualmente altos.
• Detalles de la transacción: Siempre use una billetera que proporcione resúmenes de transacciones claros y detallados antes de firmar. Comprenda qué permisos está otorgando.
• Aprobaciones activas: Revise regularmente su billetera en busca de aprobaciones de tokens activas utilizando servicios como Revoke.cash. Esta es su herramienta principal para administrar estos permisos persistentes.

Administrar sus aprobaciones de tokens es un proceso continuo, no una tarea única.

Servicios como Revoke.cash están diseñados específicamente para este propósito. Conecte su billetera y mostrará una lista de todos los tokens a los que ha otorgado aprobación, junto con la dirección del gastador y la cantidad aprobada.

Para cada aprobación, identifique la dirección a la que se le ha otorgado permiso. ¿Es una dApp legítima que reconoce y todavía usa? ¿O es una dirección desconocida, un contrato que ya no usa o un contrato asociado con una estafa conocida?

Si encuentra alguna aprobación que sea:
* Por una cantidad infinita.
* A un contrato que ya no usa o en el que ya no confía.
* A una dirección desconocida o sospechosa.
* Para tokens que ya no tiene intención de usar con esa dApp.

Debe revocarlas. Revocar una aprobación requiere enviar una transacción al contrato del token, esencialmente estableciendo la asignación en cero. Esta transacción incurrirá en una tarifa de gas, pero es un pequeño precio a pagar por la seguridad de sus activos.

Siempre que sea posible, en lugar de otorgar una aprobación "infinita", elija aprobar una cantidad específica y limitada de tokens. Esto reduce significativamente la pérdida potencial si el contrato de la dApp se ve comprometido.

Para interacciones de alto riesgo o al explorar dApps nuevas y no auditadas, considere usar una billetera separada con fondos mínimos. Esta billetera "quemadora" se puede usar para otorgar aprobaciones, limitando las pérdidas potenciales a los fondos dentro de esa billetera específica.

Si bien las aprobaciones de tokens son un vector de riesgo bien comprendido, la identidad específica de cada estafador sigue siendo difícil de determinar. Para muchas dApps comprometidas o sitios de phishing, los perpetradores finales son difíciles de rastrear debido a la naturaleza pseudónima de la cadena de bloques y la sofisticada seguridad operativa. Además, el momento exacto en que una dApp previamente segura podría verse comprometida o se podría descubrir una nueva explotación es impredecible. Esta incertidumbre inherente significa que las medidas de seguridad proactivas, en lugar de las respuestas reactivas, son primordiales.

CryptoRescue continuará monitoreando el panorama cambiante de las explotaciones de contratos inteligentes y las técnicas de phishing que aprovechan las aprobaciones de tokens. Estamos particularmente interesados en:

• Nuevas categorías de dApps: Identificación de tipos de dApps emergentes que pueden introducir nuevos riesgos relacionados con la aprobación.
• Patrones de explotación: Análisis de los detalles técnicos de las explotaciones exitosas para comprender las vulnerabilidades comunes.
• Actualizaciones regulatorias: Seguimiento de cualquier nueva guía o acciones de cumplimiento de los reguladores con respecto a la seguridad de las dApps y las protecciones de los usuarios.
• Herramientas de educación del usuario: Destacar y evaluar nuevas herramientas o recursos que simplifiquen el proceso de administración de aprobaciones de tokens para los usuarios cotidianos.

Al mantenerse informado y equipar a nuestros lectores con inteligencia procesable, CryptoRescue tiene como objetivo capacitar a los usuarios para que naveguen por las complejidades de DeFi con mayor confianza y seguridad.