Estafas con NFT y cómo evitarlas

La mayoría de los robos de NFT necesitan tu firma. El trabajo del estafador es conseguir que firmes algo con prisa. Esta lección repasa los guiones habituales y la firma que busca cada uno.

Webs de mint falsas

Un estafador se inventa un proyecto, o copia uno real, y promociona un «mint» por mensaje directo, correo o redes sociales. La web te mete prisa: una cuenta atrás, un contador que muestra que se agota la oferta, avisos emergentes de otras personas acuñando.

Cuando pulsas el botón, tu wallet muestra una de tres cosas:

Un pago sin más. Envías ETH y no recibes nada.
Una aprobación de tokens. Das permiso al contrato de la web para sacar tokens de tu wallet.
Una solicitud que tu wallet marca como peligrosa. Algunas wallets muestran un aviso en rojo de que podrías estar entregando el control de tus activos.

La guía de MetaMask es directa: acuñar un NFT solo debería costar ETH, así que un mint no tiene ningún motivo para pedir una aprobación. Si tu wallet muestra un aviso, no firmes.

Drenadores de aprobaciones

La Lección 53 explicó que poner un NFT a la venta usa una función llamada setApprovalForAll. Permite a otro contrato mover todos los tokens que tienes de una colección.

Las webs fraudulentas piden esa misma aprobación mientras fingen hacer otra cosa: reclamar una recompensa, verificar tu wallet, apuntarte a un lanzamiento. En cuanto firmas, el contrato del estafador se lleva los NFT cuando quiere. No hace falta ninguna firma más.

La regla práctica de MetaMask: no deberías tener que firmar este tipo de aprobación para recibir nada.

La Lección 37 trata las aprobaciones de tokens normales. Los NFT funcionan igual.

Colecciones falsificadas

Cualquiera puede copiar las imágenes de una colección y crear un contrato nuevo con el mismo nombre. Las copias aparecen en los resultados de búsqueda junto a la auténtica, a menudo más baratas.

El nombre y las imágenes no demuestran nada. La dirección del contrato es el único identificador. Tómala de la web oficial del proyecto y compárala antes de comprar.

NFT sorpresa

Aparece en tu wallet un NFT que nunca pediste. Su nombre o su descripción incluyen una dirección web y una promesa: un premio que reclamar, un token que canjear.

Es un cebo. La web te pedirá una aprobación o una firma. Deja el NFT en paz. No hace falta que lo quites, y intentar venderlo o moverlo puede ser la trampa.

Rug pulls

Un proyecto agota su mint gracias a una hoja de ruta: un juego, eventos, una parte de los ingresos futuros. Luego el equipo deja de responder y el dinero desaparece. La Lección 11 trató los rug pulls con tokens. Los proyectos de NFT fracasan de la misma manera.

Equipos anónimos, hojas de ruta vagas y presión para acuñar ya son las señales habituales.

Precios falsos

La Lección 53 trató el wash trading. Un estafador compravende un NFT entre sus propias wallets a precios cada vez más altos y luego te lo ofrece con un «descuento».

Hábitos que frenan casi todo esto

Usa una wallet aparte para acuñar y navegar. Guarda los NFT valiosos y tus ahorros en una wallet que nunca se conecte a webs nuevas.
Entra en las webs desde un marcador o desde el perfil verificado del proyecto. Nunca desde un mensaje directo.
Lee la solicitud de la wallet. Pregúntate qué le permitirá hacer a la otra parte. Si ves "approval for all" y no estás poniendo nada a la venta, detente.
Ve más despacio. La prisa es la estafa. Un mint real que se agote sin ti no te ha costado nada.
Revisa y revoca las aprobaciones que ya no necesites.
Recuerda lo que no hace una hardware wallet. Mantiene tu clave fuera de línea. Pero firmará igualmente una aprobación mala si pulsas el botón.

Si has firmado algo que no debías, la Lección 40 tiene un plan de respuesta. La rapidez importa.