Cómo revocar aprobaciones de tokens y proteger tu billetera

Cada vez que interactúas con un protocolo DeFi, un intercambio o un mercado, se te pide que apruebes un token para gastar. Esa aprobación le dice al contrato inteligente: «Puedes gastar hasta X cantidad de este token de mi billetera». Si el contrato es malicioso o está comprometido, esa aprobación puede usarse para vaciar tu saldo sin permiso adicional.

Esta guía explica qué son las aprobaciones de tokens, por qué son riesgosas y cómo revocarlas en Ethereum, Binance Smart Chain y otras redes compatibles con EVM. A diferencia de las guías centradas en la recuperación de emergencia después de una firma sospechosa, esta cubre el mantenimiento de rutina: pasos proactivos para mantener tu billetera segura antes de que algo salga mal.

Las aprobaciones de tokens son una característica estándar de los tokens ERC-20 y BEP-20. Cuando apruebas que un contrato gaste un token, le das permiso para mover ese token desde tu dirección. La aprobación puede establecerse en cualquier cantidad, incluida «ilimitada» (un número muy alto como 2^256-1).

Los protocolos legítimos usan aprobaciones para habilitar intercambios, préstamos o staking. Pero una vez que se otorga una aprobación, permanece activa hasta que la revoques o el contrato sea destruido. Por eso, las aprobaciones antiguas a contratos abandonados o comprometidos son un vector de ataque común.

Los drenadores de billeteras escanean la blockchain en busca de direcciones con aprobaciones de alto valor o ilimitadas a contratos vulnerables. Si el contrato detrás de la aprobación tiene un error, una puerta trasera o ha sido tomado, el atacante puede llamar a `transferFrom` y mover tus tokens.

Ejemplos del mundo real:
- El drenaje de aprobaciones de 2023 en un agregador DEX popular que tenía un front-end comprometido.
- Sitios de phishing que solicitan una aprobación falsa y luego la usan para vaciar billeteras.
- Aprobaciones no utilizadas para contratos de prueba o protocolos obsoletos que ya no tienen monitoreo de seguridad activo.

Puedes verificar tus aprobaciones usando exploradores de bloques o herramientas de panel dedicadas.

Ve a Etherscan Token Approval Checker.
Ingresa tu dirección de billetera.
La herramienta enumera todos los contratos de token que has aprobado, la dirección del gastador y la cantidad aprobada.
Puedes filtrar por «Ilimitado» para ver las aprobaciones más peligrosas.

La misma herramienta funciona en BscScan Token Approval Checker para Binance Smart Chain.

La mayoría de los exploradores de cadenas EVM tienen una función similar. Por ejemplo:
- PolygonScan: polygonscan.com/tokenapprovalchecker
- Arbitrum: arbiscan.io/tokenapprovalchecker
- Avalanche C-Chain: snowtrace.io/tokenapprovalchecker

Revocar una aprobación significa establecer la cantidad aprobada en cero. Puedes hacerlo directamente desde el explorador de bloques o usando una herramienta de revocación dedicada.

Abre la página del verificador de aprobaciones de tokens para tu dirección.
Localiza la aprobación que deseas revocar.
Haz clic en «Revocar» junto a esa aprobación.
Tu billetera te pedirá que firmes una transacción que establezca el límite en 0.
Confirma la transacción y paga la tarifa de gas.

Revoke.cash es una herramienta de terceros popular que agrega aprobaciones en múltiples cadenas. Pasos:

Visita revoke.cash y conecta tu billetera.
El panel muestra todas las aprobaciones activas.
Selecciona las aprobaciones que deseas revocar y haz clic en «Revocar seleccionadas».
Firma las transacciones.

Precaución: Siempre verifica el dominio. Sitios de phishing han imitado a revoke.cash. Marca la URL real.

Algunos usuarios prefieren llamar manualmente a la función `approve` en el contrato del token, estableciendo la dirección del gastador en el contrato y la cantidad en 0. Esto requiere usar la pestaña «Escribir contrato» en la página del explorador del token. Solo hazlo si te sientes cómodo con la interacción con contratos inteligentes.

• Limita los montos de aprobación. Aprueba solo la cantidad que necesitas para una sola transacción, no ilimitada. Muchos protocolos ahora admiten firmas «permit» que caducan.
• Usa una billetera desechable dedicada para interacciones de prueba y dApps de baja confianza.
• Audita tus aprobaciones mensualmente. Establece un recordatorio en el calendario para revisar y revocar aprobaciones no utilizadas.
• Verifica los contratos antes de aprobar. Usa la verificación de código fuente en el explorador. Si el contrato no está verificado, trátalo como de alto riesgo.
• Cuidado con los sitios de phishing que imitan dApps legítimas y solicitan una aprobación de token. Siempre verifica la URL y la dirección del contrato.

Si notas que un atacante ha utilizado una aprobación de token, mueve tus activos restantes de esa billetera a una nueva dirección de inmediato. Usa una billetera de hardware o una nueva billetera de software. No intentes «revocar» la aprobación desde la misma billetera si el atacante ya tiene una transacción pendiente; podría adelantarse a tu revocación. Después de mover los fondos, puedes revocar de forma segura desde la billetera vacía.

Source-tracked CryptoRescue article.

• [ ] Visita el verificador de aprobaciones de tokens de tu explorador de bloques y revisa tus aprobaciones actuales.
• [ ] Revoca cualquier aprobación a contratos que ya no uses o en los que no confíes.
• [ ] Para futuras aprobaciones, elige cantidades personalizadas y evita límites ilimitados.
• [ ] Si no estás seguro acerca de un contrato específico, verifica su historial de auditoría en fuentes como CertiK o SlowMist.
• [ ] Establece un recordatorio mensual recurrente para auditar tus aprobaciones.

Siguiendo estos pasos, conviertes una medida de seguridad reactiva en una rutina proactiva. Revocar aprobaciones de tokens innecesarias es una de las formas más simples de reducir tu exposición a drenadores de billeteras y exploits de contratos inteligentes.