En palabras sencillas — Un wallet drainer es un flujo malicioso que engaña al usuario para que firme o apruebe algo que permite al atacante transferir ciertos activos. Abusa de una autorización concedida y no necesita necesariamente comprometer las claves.
El cebo puede ser un airdrop, una colección NFT, un supuesto soporte técnico o
una dApp clonada. Conectar la cartera, por sí solo, suele mostrar la dirección y
permite al sitio proponer solicitudes; todavía no autoriza un gasto. El riesgo
cambia al confirmar transacciones, firmas o permisos de gasto
(allowances) sin entender su destinatario y alcance.
De la firma a la transferencia
Las aprobaciones de tokens también son necesarias en dApps legítimas: permiten a un contrato inteligente usar una cantidad de tokens o un conjunto específico de activos. Se vuelven peligrosas cuando el destinatario autorizado es malicioso, el importe resulta excesivo o la solicitud oculta su efecto real. Una firma fuera de la cadena puede guardarse y utilizarse después, de modo que la ausencia de una transferencia inmediata no demuestra que la interacción fuera inocua.
Un drainer no necesita siempre la frase semilla ni obtiene acceso a todos los activos: el resultado depende de la red, el mensaje firmado y los permisos concedidos. El robo de la seed, en cambio, compromete las claves derivadas y exige otra respuesta. Desconectar una dApp de la cartera tampoco revoca los permisos de gasto que ya están registrados en la blockchain.
Comprobar, revocar y proteger la cartera
Desconectar la cartera o la dApp no revoca un permiso malicioso: la revocación es una operación separada. Antes de confirmar, revisa dominio, red, contrato, destinatario autorizado, activo, importe y duración del permiso. Una aprobación ilimitada no es automáticamente un fraude, pero amplía el daño posible y solo debe concederse cuando la necesita una aplicación verificada. Usa herramientas indicadas por el proveedor de la cartera o un explorador oficial: una web de revocación encontrada en un anuncio también puede ser un cebo.
Si sospechas de una aprobación maliciosa, detén la interacción, revoca los permisos afectados y considera mover los activos restantes a una cartera segura. Conserva el dominio, las direcciones y los hashes de transacción. Si la frase semilla quedó expuesta, revocar no basta: hace falta una cartera nueva con otra frase. La revocación no anula transacciones confirmadas; actuar rápido puede limitar lo que ocurra después, pero no recupera automáticamente lo ya transferido.
Fuentes
- Ethereum.org — How to revoke token access — Distingue desconectar una dApp de revocar aprobaciones persistentes.
- MetaMask — Signature phishing — Explica cómo una firma aparentemente inocua puede autorizar una operación usada más tarde.
- FBI IC3 — NFT developer impersonation — Describe webs falsificadas que conectan la cartera con contratos drainer.
Entradas relacionadas
Anti-scam · Señales de alerta · Phishing · Robo de la frase semilla · Web clonada