Wallet drainers: cómo las aprobaciones maliciosas roban tus criptomonedas
Un wallet drainer te engaña para que firmes aprobaciones que permiten a los atacantes vaciar tu billetera. Aprende cómo funcionan, las señales de alerta y cómo protegerte.
Un wallet drainer es un sitio web o script malicioso que te engaña para que firmes transacciones o mensajes que dan a un atacante permiso para mover tus tokens y NFT, y que luego usa ese permiso para vaciar tu billetera. El atacante nunca necesita tu frase de recuperación: tu propia firma hace el trabajo.
Los drainers están detrás de muchas de las pérdidas que se reportan tras airdrops falsos, mints falsos y cuentas de redes sociales de proyectos hackeadas. Se han vendido como kits listos para usar, a veces llamados «drainer-as-a-service», lo que significa que incluso estafadores sin conocimientos técnicos pueden desplegarlos. Entender lo que firmas es la mejor defensa.
Cómo funcionan las aprobaciones de tokens (y por qué a los drainers les encantan)
En Ethereum y otras cadenas EVM, las aplicaciones descentralizadas no pueden mover tus tokens por sí solas. Primero concedes una aprobación: permiso para que un contrato concreto gaste un token concreto en tu nombre, hasta una cantidad determinada. Los DEX y los protocolos de préstamo lo necesitan para funcionar.
El problema es que muchas aplicaciones solicitan aprobaciones ilimitadas por comodidad, y las aprobaciones siguen activas hasta que las revocas. Un drainer simplemente te pide que apruebes su contrato en lugar de uno legítimo. Una vez que firmas, el atacante puede ejecutar una transferencia cuando quiera.
En el caso de los NFT, el equivalente es setApprovalForAll, que permite a un operador mover todos los NFT que tienes de una colección. Los marketplaces lo usan de forma legítima; los drainers lo usan para llevarse colecciones enteras de una sola vez. Para profundizar, consulta Estafas cripto en Instagram y TikTok.
Las firmas que usan los drainers
| Tipo de solicitud | Cómo se ve | Por qué es peligrosa |
|---|---|---|
| Aprobación de token | «Permitir que este sitio gaste tus USDC» | Otorga a un gastador derechos sobre ese token |
| Aprobación de todos los NFT | «Dar acceso a todos tus NFT de esta colección» | Permite al operador transferir cada NFT de esa colección |
| Firma Permit o Permit2 | Un mensaje para firmar, a menudo sin comisión de gas | Una aprobación fuera de la cadena que el atacante puede enviar más tarde |
| Transferencia directa | Botón «Reclamar» que en realidad envía activos fuera | Robo inmediato disfrazado de reclamación |
| Firma a ciegas | Datos hexadecimales ilegibles | No puedes saber qué estás autorizando |
Las firmas sin gas son especialmente engañosas. Como no cuestan comisión, la gente asume que son «inicios de sesión» inofensivos. Algunas lo son. Otras son permits que autorizan gastos. Nuestro artículo sobre ice phishing y firmas permit las explica en detalle.
Cómo suele desarrollarse un ataque de drainer
- 1El cebo. Llega un enlace a través de un anuncio falso de airdrop, una respuesta a una publicación oficial, un servidor de Discord hackeado, un anuncio patrocinado en un buscador o un mensaje directo que ofrece «soporte».
- 2El sitio convincente. La página copia el diseño de un proyecto real y te pide que conectes tu billetera.
- 3Escaneo de activos. Los scripts del drainer revisan tus saldos y piden primero aprobaciones para tus activos más valiosos.
- 4La firma. Las solicitudes se presentan como «reclamar», «verificar», «mintear» o «sincronizar», con urgencia como cuentas regresivas.
- 5El barrido. Los activos se transfieren fuera, a menudo en segundos, y se intercambian o se pasan por puentes rápidamente para dificultar el rastreo.
Por qué los drainers también funcionan con usuarios experimentados
Los drainers no dependen de sitios web obviamente falsos. Muchos ataques parten de la cuenta comprometida de un proyecto real, así que el anuncio parece auténtico porque se publica desde la cuenta verdadera. Otros aparecen justo cuando un airdrop o mint real es tendencia, cuando la gente espera firmar transacciones y se apresura para llegar primero. Lectura relacionada: Ataques de SIM swap. Si quieres ir más allá, lee Estafas de falsas migraciones de tokens y swaps.
Además, las solicitudes de la billetera se ven parecidas tanto si apruebas un DEX de confianza como un contrato drainer. La diferencia está en los detalles: la dirección del gastador, el token y la cantidad. Los usuarios experimentados caen cuando la costumbre se impone y hacen clic en «confirmar» como lo han hecho cien veces antes. Lo tratamos con más detalle en Extensiones de navegador maliciosas que roban criptomonedas. Lectura relacionada: Seguridad de la cuenta de correo para usuarios de criptomonedas.
Señales de alerta antes de firmar
- Llegaste a través de un mensaje directo, una respuesta, un anuncio o un enlace que no buscaste tú mismo.
- El sitio pide aprobación para un token que no pensabas operar.
- La cantidad de la aprobación es ilimitada o la dirección del gastador te resulta desconocida.
- Te piden firmar un mensaje que no puedes leer, o tu billetera advierte sobre una firma a ciegas.
- Hay presión: «la reclamación caduca en 10 minutos», «tu billetera será suspendida».
- El dominio es ligeramente distinto, está recién registrado o usa una extensión poco común. Consulta sitios de phishing cripto.
Cómo protegerte
- 1Usa una billetera desechable para nuevos mints, airdrops y aplicaciones desconocidas, con solo lo que necesitas. Guarda tus inversiones a largo plazo en otra billetera que rara vez se conecte a nada. Nuestra guía sobre billeteras desechables explica cómo configurarla.
- 2Lee cada solicitud. Revisa la acción, el token, la cantidad y el gastador antes de firmar. Si no lo entiendes, recházalo.
- 3Prefiere aprobaciones limitadas cuando tu billetera te permita fijar una cantidad personalizada.
- 4Activa las vistas previas de transacciones o las funciones de simulación de tu billetera si están disponibles; muestran lo que saldrá de tu billetera.
- 5Revoca con regularidad. Revisa y elimina las aprobaciones antiguas. Nuestra guía paso a paso sobre cómo revocar aprobaciones de tokens te muestra cómo.
- 6Navega directamente. Escribe las URL que conoces o usa marcadores guardados en lugar de hacer clic en enlaces.
Si crees que han vaciado tu billetera
Actúa rápido, porque los atacantes suelen volver a por los activos restantes:
- Revoca todas las aprobaciones que no reconozcas.
- Mueve los fondos restantes a una billetera totalmente nueva con una nueva frase de recuperación, sobre todo si introdujiste tu frase de recuperación en algún sitio.
- Anota los hashes de las transacciones, las direcciones del atacante y la URL del sitio.
- Denuncia el sitio y las direcciones, por ejemplo mediante nuestro formulario de denuncia de estafas, y a la plataforma donde encontraste el enlace.
- Ignora a quien se ofrezca a recuperar tus fondos a cambio de una comisión; las estafas de recuperación se dirigen a víctimas recientes.
Consulta también nuestra lista de qué hacer de inmediato si tu billetera está comprometida.
Conclusión
Los wallet drainers no rompen la criptografía de tu billetera; consiguen que tú autorices el robo. Trata cada firma como una posible cesión de control, guarda los activos valiosos en una billetera que nunca toque sitios desconocidos y limpia tus aprobaciones con regularidad. Detenerte treinta segundos antes de firmar es la herramienta de seguridad más eficaz que tienes.
Preguntas frecuentes
¿Puede un wallet drainer robar mi frase de recuperación?
Normalmente no. La mayoría de los drainers nunca ven tu frase de recuperación. Te engañan para que firmes aprobaciones o transferencias que les dan permiso para mover tus tokens. Algunas páginas de phishing también piden directamente la frase de recuperación, lo cual es otra estafa distinta: ningún sitio legítimo la necesita jamás.
¿Revocar las aprobaciones me devuelve los fondos robados?
No. Revocar elimina los permisos para que el atacante no pueda llevarse más de los tokens aprobados, pero lo que ya se transfirió está perdido. Revoca en cuanto detectes un problema y, si firmaste algo sospechoso, mueve los activos restantes a una billetera nueva.
¿Las billeteras de hardware protegen contra los drainers?
En parte. Una billetera de hardware mantiene tu clave privada sin conexión, pero si apruebas una solicitud maliciosa en el dispositivo, la firmará. Las billeteras de hardware ayudan sobre todo cuando lees lo que muestra el dispositivo y rechazas todo lo que no entiendes.
¿Por qué vaciaron mi billetera días después de visitar un sitio?
Probablemente firmaste antes una aprobación o un permit que seguía siendo válido. Los atacantes pueden esperar y usar ese permiso más tarde, por ejemplo cuando aumenta tu saldo. Por eso es importante revisar y revocar las aprobaciones antiguas con regularidad. Los permits firmados también pueden seguir siendo válidos hasta su fecha límite.