Phishing, apps falsas y aprobaciones maliciosas

Los ladrones que no pueden romper la criptografía tienen dos opciones. Pueden conseguir tu frase semilla, o pueden conseguir que firmes algo que les entregue tus tokens. Esta lección trata ambas vías.

Primera vía: tu frase semilla

Webs de phishing. Una copia de la web de una cartera o un exchange se aloja en una dirección que se diferencia de la real en una letra. Se promociona con anuncios, correos y mensajes directos. Te dice que «restaures», «verifiques» o «sincronices» tu cartera introduciendo tu frase semilla.

Apps falsas. Imitaciones de carteras populares llegan a las tiendas de apps oficiales. En 2026, Kaspersky encontró 26 en la App Store de Apple. Capturaban la frase de recuperación mientras el usuario la escribía y se la enviaban a los atacantes.

Soporte falso. Alguien responde a tu pregunta pública con un mensaje privado y un enlace a un «formulario de soporte».

Las tres acaban igual: escribes tus palabras y vacían la cartera. La regla de la Lección 23 las derrota todas. La frase solo se introduce cuando tú decides restaurar una cartera, en un software que instalaste desde la fuente oficial.

Segunda vía: tu firma

Esta vía no necesita la frase semilla, y también funciona contra las carteras de hardware.

Para usar un token con una app en Ethereum, primero firmas una aprobación. Da permiso al contrato inteligente de la app para mover ese token desde tu cartera. Las apps suelen pedir una cantidad ilimitada para que solo tengas que aprobar una vez.

Una web maliciosa abusa de esto. Se hace pasar por un proyecto nuevo, un airdrop o una página para reclamar algo. Conectas tu cartera y firmas lo que parece un paso rutinario. En realidad has aprobado el contrato del atacante, que después se lleva todos los tokens de ese tipo. Las herramientas creadas para esto se llaman drainers (vaciadores). Chainalysis las describe como webs que se «disfrazan de proyectos web3».

Un ejemplo es de enero de 2024, después de que se comprometiera la cuenta de redes sociales de la propia SEC. Un drainer que se hacía pasar por la SEC invitaba a la gente a conectar sus carteras y reclamar tokens gratis.

Lo que significa de verdad una aprobación

• Dura hasta que la cancelas, aunque dejes de usar la app.
• Desconectar tu cartera de una web no la cancela.
• Ilimitada significa todos los tokens de ese tipo, incluidos los que añadas después.
• Si un contrato aprobado es hackeado o resulta ser malicioso, puede usar el permiso.

Defensas

Ve despacio al firmar. Lee lo que muestra tu cartera. Si menciona «approve», «permit» o «set approval for all» y no lo esperabas, recházalo.

Aprueba solo lo que necesitas. Muchas carteras te permiten rebajar una petición ilimitada al importe de esta transacción.

Usa una cartera aparte para experimentar. Ten una cartera con poco saldo para probar apps nuevas y reclamar cosas. Guarda los ahorros en una cartera que nunca se conecte a webs.

Revoca las aprobaciones antiguas. Los exploradores de bloques y herramientas específicas muestran las aprobaciones de tu dirección y te permiten cancelarlas. Cada cancelación es una transacción y cuesta una comisión. Hazlo unas cuantas veces al año, y de inmediato si firmas algo de lo que te arrepientes.

Llega de forma segura. Usa marcadores. No hagas clic en anuncios ni en enlaces de mensajes.

Ignora el dinero gratis. Los tokens sorpresa, los airdrops a los que no te apuntaste y los plazos urgentes para «reclamar» son cebos.

Las dos reglas

Nunca escribas tu frase semilla para arreglar, verificar o reclamar nada. Nunca firmes una transacción que no sepas explicar.