Temas principales de la publicación:
Los DApps son aplicaciones basadas en blockchain con backends impulsados por contratos inteligentes que permiten interacciones descentralizadas con criptomonedas, sin intermediarios.
El escenario de los DApps ofrece una utilidad sin precedentes y tiene un enorme potencial, pero también puede exponer a los usuarios a riesgos. Las tácticas comunes de estafas en este espacio incluyen ingeniería social, phishing de aprobación, phishing de firma y sitios falsos de rectificación de blockchain dirigidos a las billeteras de los usuarios.
Protégete verificando los DApps, comprendiendo los permisos antes de aprobar, utilizando las funciones de seguridad de Binance Wallet y nunca compartiendo tu frase semilla o claves privadas.
En las aplicaciones descentralizadas (DApps), tú estás al control, pero también eres la última línea de defensa. Desde protocolos DeFi y mercados de NFTs hasta juegos basados en blockchain, los DApps te permiten prestar activos, negociar y jugar con criptomonedas, sin la necesidad de intermediarios.
Pero, sin atención al cliente y con contratos inteligentes gestionando cada acción, a menudo no hay un botón para deshacer la acción después de aprobar una transacción o firmar un mensaje.
En esta guía, te ayudaremos a navegar por los DApps con seguridad y confianza, desde identificar permisos de riesgo hasta gestionar aprobaciones de tokens, para que puedas explorar Web3 sin perder el sueño (o tus fondos).
¿Qué son los DApps?
Una aplicación descentralizada (DApp) es una aplicación que opera en una red blockchain como Ethereum o BNB Chain, en lugar de depender de servidores centralizados. Piensa en ella como una aplicación con un backend público, transparente e inmutable, impulsada por contratos inteligentes.
En la Binance Wallet, puedes conectarte a los DApps a través de un código QR, navegar o buscar en la página [Descubrir] o tocar en DApps verificados en la billetera.
Peligros de los DApps
La naturaleza abierta de Web3 significa que cualquier persona puede desplegar un contrato inteligente o crear una interfaz de DApp. Los estafadores han explotado esta libertad y la falta de soporte centralizado al cliente al crear "DApps falsos" que imitan de cerca a los legítimos. Estas aplicaciones maliciosas están cuidadosamente diseñadas para engañar a los usuarios para que firmen mensajes de riesgo o aprueben transacciones perjudiciales, poniendo así en riesgo sus activos.
Ingeniería social
La ingeniería social es una de las formas más comunes en las que los estafadores engañan a los usuarios para conectar sus billeteras a DApps maliciosos. En lugar de depender exclusivamente de explotaciones técnicas, estos estafadores manipulan la psicología humana, aprovechando emociones como miedo, curiosidad y urgencia para superar el sentido común. Veamos cómo suele ser la secuencia de pasos en un ataque de ingeniería social.
Suplantación de identidad: los estafadores a menudo se hacen pasar por representantes oficiales de plataformas o proyectos confiables. Imitan logotipos, adoptan nombres de usuario convincentes e incluso clonan grupos enteros de comunidades en Telegram, Discord o Twitter para parecer legítimos.
Estableciendo confianza: en mensajes privados o dentro de estos grupos, los estafadores intentarán involucrar a los usuarios en conversaciones amigables o ofrecer 'ayuda' no solicitada, construyendo lentamente una relación para ganar confianza.
FOMO y promesas de 'enriquecimiento rápido': una vez que se establece un nivel básico de confianza, los estafadores no pierden tiempo en crear un sentido de urgencia. Promocionarán una oportunidad por tiempo limitado, como una 'pre-venta exclusiva', 'airdrop' o 'acceso facilitado' a un 'DApp de alto rendimiento'. Las potenciales víctimas son presionadas para actuar rápidamente e interactuar con el DApp malicioso o corren el riesgo de perder la oportunidad.
La trampa: pero los únicos que se enriquecen son los estafadores. Estos DApps generalmente están diseñados para vaciar las billeteras en el momento en que se firma un mensaje de aprobación o para conceder al estafador acceso permanente a tus fondos sin tu conocimiento.
Cómo firmar sin leer lo que estás firmando puede llevar a pérdidas
Phishing de aprobación
En DeFi, las aprobaciones son una parte normal de la interacción con contratos inteligentes; permiten que un DApp mueva tus tokens en tu nombre. En el phishing de aprobación, los DApps maliciosos abusan de esta característica al solicitar que los usuarios aprueben gastos de tokens excepcionalmente altos o ilimitados.
Una vez que se concede la aprobación, los estafadores utilizan funciones de contratos inteligentes, como transferFrom(), o realizan múltiples retiros de tokens en lote usando multicall(), drenando tu billetera a lo largo del tiempo. Como las aprobaciones permanecen activas hasta que se revocan manualmente o hasta que se alcanza el límite de fondos definido, el estafador puede continuar accediendo a tu billetera, drenando los tokens aprobados mucho tiempo después de la interacción inicial.
Phishing de firma
El phishing de firma generalmente implica engañar a los usuarios para que firmen datos arbitrarios o ilegibles utilizando métodos como Permit, Permit 2 o eth_sign. A diferencia de una transacción normal en la blockchain, estas firmas ocurren fuera de la cadena, por lo tanto, no hay tarifa de gas, registro en la blockchain o alerta inmediata. Una vez que se crea una firma válida, los estafadores pueden usarla en un contrato inteligente para obtener acceso para mover tus tokens, a veces permitiendo transferencias o concediendo permisos amplios sin que te des cuenta.
Un ejemplo común de esta estafa utiliza Permit y Permit2, métodos legítimos de aprobación fuera de la cadena desarrollados para simplificar las interacciones con los DApps.
El permiso permite que los usuarios aprueben el movimiento de tokens mediante una firma en lugar de una transacción de aprobación en la blockchain.
Permit2 extiende esta funcionalidad al permitir que una sola firma apruebe múltiples tokens, con límites personalizables y configuraciones de expiración.
Aunque estas herramientas son convenientes, los estafadores las utilizan para disfrazar solicitudes maliciosas de Permit o Permit2 como solicitudes inofensivas. Si una víctima firma una de estas solicitudes, el estafador puede usar esa firma más tarde para retirar fondos, a veces mucho tiempo después de la interacción. Como ninguna transacción se transmite cuando se crea la firma, la violación generalmente pasa desapercibida hasta que se pierden los tokens.
Las estafas basadas en permisos son peligrosas principalmente porque una sola firma comprometida puede desbloquear el acceso a múltiples tokens, dependiendo de lo que hayas permitido anteriormente. Siempre verifica más de una vez lo que estás firmando; si es ilegible o no tiene sentido, no firmes.
Estafas de rectificación de blockchain
La rectificación de blockchain es un tipo de estafa que se aprovecha de usuarios inexpertos de Web3. Estos sitios fraudulentos afirman corregir problemas comunes de la billetera, como errores de slippage o transacciones fallidas, pero en realidad están diseñados para robar tu frase semilla o claves privadas. Veamos cómo suele ocurrir esta estafa.
El objetivo son usuarios frustrados: los estafadores se aprovechan de usuarios estresados por errores como problemas de migración de billetera y de slippage, ofreciendo 'soluciones rápidas' falsas que prometen resoluciones fáciles.
Imitación: estos sitios pueden copiar la apariencia de servicios confiables, utilizando diseños claros o interfaces casi idénticas para reducir la atención de los usuarios.
Simulación de errores: al acceder al sitio, los usuarios encuentran mensajes de error falsos creados para parecer urgentes y legítimos. Luego se les indica que se 'conecten manualmente' y, con eso, son engañados para introducir su frase semilla o importar su clave privada, dando a los estafadores acceso total a la billetera, permitiéndoles drenar los fondos.
Cómo protegerse
Toma los avisos en serio
La Binance Wallet tiene protecciones integradas, como simulaciones de transacción y filtros de firma, para ayudar a mantener seguros tus activos. También bloquea aprobaciones para cuentas de propiedad externa (EOAs), solicitudes de alto riesgo, como eth_sign, y DApps maliciosos conocidos. Pero, al final, aún eres tú quien toma la decisión final. Siempre lee y presta atención a los avisos de la billetera antes de confirmar una transacción o firmar un mensaje.
Prácticas inteligentes de aprobación
Nunca firmes o apruebes solicitudes sin verificar. Entiende exactamente qué permisos está solicitando un DApp, especialmente en lo que respecta a las aprobaciones de tokens.
Evita el permiso ilimitado: siempre concede la cantidad mínima necesaria en lugar de acceso ilimitado al token. Esto limita los daños potenciales en caso de que un DApp sea malicioso.
Revoca aprobaciones antiguas: haz de esto un hábito, accediendo periódicamente a la pestaña [Activos] > [Aprobaciones] de tu billetera para revocar cualquier aprobación de tokens que ya no necesites.
Desconecta los DApps no utilizados: en [Más] > [DApps conectados], elimina el acceso a DApps que ya no utilizas. Mantenerlos conectados aumenta los riesgos.
Revisión de las simulaciones
Utiliza una billetera con una función de simulación integrada, como la Binance Wallet. La simulación ayuda a prever lo que sucederá antes de que una transacción sea realmente enviada a la blockchain. Es como obtener un adelanto del resultado, así puedes identificar errores o estafas antes de que te cuesten caro.
Para transferencias simples de billetera a billetera, las simulaciones ayudan a identificar direcciones sospechosas o posibles errores, como enviar a un destino conocido como estafa. Al interactuar con contratos inteligentes, durante intercambios, staking u otras acciones en el sector DeFi, la Binance Wallet realiza simulaciones para mostrar la cantidad esperada de los tokens, los valores y los riesgos potenciales. Esto ofrece una visión clara de la información antes de que confirmes la transacción.
Siempre haz tu propia investigación (DYOR)
Antes de interactuar con cualquier DApp, tómate un tiempo para evaluarlo cuidadosamente. Los proyectos legítimos generalmente son auditados por empresas de seguridad independientes y esos informes a menudo están disponibles en el sitio oficial del proyecto. Investiga al equipo detrás del proyecto; si son anónimos o difíciles de verificar, esto puede ser una señal de alerta. También considera la comunidad. Una base de usuarios sólida, comprometida y transparente generalmente es una buena señal, mientras que la falta de actividad o respuestas vagas pueden indicar riesgos subyacentes.
Confía en las fuentes oficiales
Al acceder a cualquier DApp, siempre comienza por enlaces verificados en el sitio oficial del proyecto o en plataformas confiables como CoinMarketCap. Los estafadores suelen crear sitios falsos al alterar sutilmente nombres de dominio o reemplazar caracteres similares, lo que puede ser difícil de notar a primera vista (por ejemplo, uniswap.com versus unίswap.com). Evita hacer clic en anuncios de búsqueda, ya que los sitios de phishing a menudo pagan para aparecer en la parte superior de los resultados. Para mayor seguridad, escribe la URL manualmente en lugar de hacer clic en anuncios o pegar enlaces proporcionados por terceros.
Nunca compartas tu frase semilla o clave privada
Si alguien te pide tu frase semilla o clave privada, detente inmediatamente; estás siendo estafado. Ningún DApp, servicio o agente de soporte legítimo solicitará esa información. En el momento en que la compartas, tu billetera estará vacía al instante siguiente. Cierra la pestaña, aléjate y no mires atrás.
Edúcate y mantente informado
El conocimiento es tu primera línea de defensa en el espacio Web3. Comprender estafas comunes y conocer prácticas inteligentes de aprobación es fundamental para protegerse. Mantente informado sobre las últimas amenazas siguiendo fuentes confiables como la Binance Academy, nuestra serie Conoce las Estafas y la serie sobre seguridad. Estos recursos te ayudarán a mantenerte un paso adelante de las estafas emergentes, permitiéndote tomar decisiones informadas para proteger tus activos.
Consideraciones finales
El mundo de los DApps es rico en innovación y posibilidades. Ya sea utilizando herramientas DeFi, explorando NFTs o conociendo un nuevo juego basado en blockchain, no faltan cosas por descubrir.
Incluso si una casa bien construida tiene cerraduras seguras, se vuelven inútiles si dejas la puerta abierta o pierdes las llaves. La Binance Wallet ofrece funciones de seguridad avanzadas, desde simulaciones y alertas de estafas hasta aprobaciones restringidas, pero aún depende de ti utilizarlas sabiamente. Aprobaciones, firmas y conexiones con DApps son parte de la vida cotidiana en Web3, y comprenderlas es esencial para proteger tus fondos. Si algo parece incorrecto, detente, verifica y no te apresures. Web3 recompensa a aquellos que se mantienen alerta y hacen preguntas. Con los hábitos correctos y una dosis saludable de precaución, puedes explorar con confianza mientras mantienes tus criptomonedas SAFU.