¿Qué es una aprobación de token y cómo revocarla de forma segura?

Cada vez que interactúas con una aplicación descentralizada, intercambias tokens en Uniswap o acuñas un NFT, probablemente estás firmando una transacción de aprobación de token. Este permiso permite que el contrato inteligente gaste una cantidad específica de tus tokens. Si bien las aprobaciones son necesarias para que DeFi funcione, las aprobaciones sobrantes o excesivas son una de las formas más comunes en que los atacantes vacían las billeteras.

Solo en 2024, los drenadores de billeteras vinculados a airdrops falsos y sitios de phishing robaron cientos de millones de dólares al abusar de las aprobaciones de tokens existentes. Comprender cómo verificar y revocar estas aprobaciones es un paso de seguridad básico pero efectivo.

Una aprobación de token es un permiso en cadena que otorgas a una dirección de contrato inteligente. Cuando apruebas el router de Uniswap para que gaste tus USDC, el contrato puede luego llamar a la función transferFrom para mover tus tokens en tu nombre. La aprobación incluye una dirección de gastador y una cantidad permitida (el monto que el gastador puede tomar).

Las aprobaciones se almacenan en el propio contrato del token, no en tu billetera. Incluso si mueves tokens a una nueva billetera, las aprobaciones antiguas permanecen en la dirección anterior hasta que se revoquen.

Si un contrato inteligente que aprobaste es comprometido posteriormente, o si aprobaste un contrato malicioso por error, el atacante puede llamar a transferFrom para vaciar tus tokens hasta el límite de la cantidad permitida. Los escenarios comunes incluyen:

• Sitios de airdrop falsos que te piden aprobar un contrato malicioso.
• Interfaces de DEX suplantadas que se ven idénticas a la aplicación real.
• Aprobaciones olvidadas de protocolos DeFi abandonados que luego son explotados.

Las aprobaciones configuradas como “ilimitadas” (uint256 max) son especialmente riesgosas porque permiten al gastador tomar todo tu saldo de ese token, ahora y en el futuro.

Puedes verificar todas las aprobaciones de una dirección de Ethereum usando exploradores de bloques o herramientas dedicadas.

Source-tracked CryptoRescue article.

Haz clic en el menú “Más” y selecciona “Token Approvals”.
3. Se carga una página que muestra todas las aprobaciones de ERC-20: dirección del gastador, token, cantidad permitida y estado.
4. También puedes ver la etiqueta “Approved” y un botón “Revoke” para cada aprobación.

Etherscan funciona solo para la red principal de Ethereum. Para otras cadenas, usa el explorador equivalente.

Revoke.cash es una herramienta gratuita y de código abierto que admite Ethereum, BSC, Polygon, Arbitrum, Optimism, Avalanche y muchas otras cadenas EVM.

La herramienta escanea tu dirección en múltiples cadenas.
3. Ves una lista de todas las aprobaciones con el nombre del token, gastador, cantidad permitida y un botón “Revoke”.
4. Haz clic en “Revoke” para enviar una transacción que establezca la cantidad permitida a cero.

Revoke.cash también muestra la fecha de la aprobación y si el gastador es un contrato conocido.

Revocar una aprobación es una transacción que establece la cantidad permitida a cero. Cuesta gas (ETH, BNB, MATIC, etc.) pero suele ser una operación económica.

Conecta tu billetera.
3. Encuentra la aprobación que deseas eliminar.
4. Haz clic en “Revoke” y confirma la transacción en tu billetera.
5. Espera a que la transacción se confirme. La cantidad permitida ahora es cero.

Después de revocar, aún puedes usar el mismo DEX o protocolo más adelante; solo necesitarás aprobar nuevamente la próxima vez que interactúes con él.

Las aprobaciones de NFT funcionan de manera similar, pero usan el estándar ERC-721 o ERC-1155. Las mismas herramientas (Revoke.cash, Unrekt) también pueden verificar y revocar aprobaciones de NFT. El riesgo es el mismo: un mercado malicioso o un sitio de phishing puede transferir tus NFTs si les has dado aprobación.

• Nunca apruebes un contrato que no puedas verificar. Verifica la dirección del gastador contra la documentación oficial del proyecto.
• Usa aprobaciones “limitadas” en lugar de infinitas. La mayoría de los DEX ahora permiten establecer un límite personalizado o “revocar después del uso”.
• Establece un recordatorio recurrente (por ejemplo, cada 3 meses) para revisar tus aprobaciones.
• Si usas múltiples billeteras, verifica cada una por separado.
• Después de conectarte a una nueva dApp, revisa inmediatamente la aprobación que acabas de crear para confirmar que sea para la dirección y el monto correctos.

• Revoke.cash y los exploradores de bloques dependen de nodos RPC públicos. Si un nodo está caído, los datos pueden estar incompletos.
• Algunas aprobaciones están ocultas porque usan un estándar de token diferente (por ejemplo, ERC-777). Estos son raros, pero pueden eludir los verificadores de aprobaciones estándar.
• Revocar no previene el phishing futuro. Debes mantenerte vigilante sobre dónde conectas tu billetera.
• Ninguna herramienta es 100% completa. Trata los verificadores de aprobaciones como un análisis útil, no como una garantía de seguridad.

Si no has verificado tus aprobaciones de tokens en los últimos seis meses, conecta tu billetera a Revoke.cash y revisa la lista. Elimina cualquier aprobación de contratos que ya no uses o que tengan cantidades ilimitadas. Esta única acción reduce tu exposición a los ataques más comunes de drenadores de billeteras.