$ETH $BTC $USDC
Podés desconectar tu billetera, cerrar una página web, borrar una aplicación y creer que tus criptomonedas están seguras. Pero un permiso que autorizaste meses atrás podría seguir activo, esperando ser utilizado.
Y lo más preocupante: para aprovechar determinadas autorizaciones, un delincuente no necesita conocer tu contraseña, robar tu frase semilla ni acceder físicamente a tu dispositivo.
Esto no es una teoría. Es un riesgo real del ecosistema de las finanzas descentralizadas (DeFi), documentado por MetaMask, Etherscan y especialistas en seguridad blockchain.
Se conoce como TOKEN APPROVALS, un mecanismo mediante el cual autorizás a una dirección o contrato inteligente a utilizar una cantidad determinada de tus tokens.
¿CÓMO FUNCIONA REALMENTE?
Imaginá que tenés 2.000 USDT en una billetera de autocustodia y entrás a una plataforma descentralizada para intercambiar solamente 50 USDT por otra criptomoneda.
La aplicación necesita autorización para mover esos 50 USDT y completar la operación.
Hasta ahí, todo normal.
Pero aparece una solicitud que muchos usuarios aceptan sin comprender completamente: APPROVE — UNLIMITED SPENDING.
En lugar de autorizar únicamente los 50 USDT que necesitás intercambiar, terminás concediendo permiso para gastar una cantidad prácticamente ilimitada de ese token.
Realizás la operación, desconectás tu billetera y cerrás la página.
Pensás que terminó todo.
PERO EL PERMISO PUEDE SEGUIR VIGENTE EN LA BLOCKCHAIN.
¿Por qué?
Porque conectar una billetera y autorizar el gasto de tokens son dos cosas completamente diferentes.
La conexión permite interactuar con una aplicación. En cambio, una autorización ERC-20 queda registrada en el contrato del token mediante un mecanismo conocido como allowance.
El contrato autorizado puede ejecutar transferencias dentro del límite concedido, sin solicitarte una nueva confirmación individual por cada movimiento.
Y acá aparece el verdadero riesgo.
Si autorizaste un contrato malicioso, o un contrato legítimo presenta una vulnerabilidad explotable, los fondos comprendidos en ese permiso pueden quedar expuestos.
Incluso los tokens que recibas posteriormente podrían verse afectados si la autorización continúa vigente y conserva capacidad suficiente de gasto.
NO SIGNIFICA QUE TODA AUTORIZACIÓN SEA UNA ESTAFA. Estos permisos son necesarios para muchas operaciones legítimas en DeFi. El peligro está en conceder capacidades excesivas a contratos desconocidos, maliciosos o inseguros.
¿Y SI UTILIZÁS UNA HARDWARE WALLET?Tampoco estás automáticamente protegido frente a este mecanismo.
Una billetera física protege tus claves privadas, pero no anula las autorizaciones que vos mismo confirmaste anteriormente.
La autorización no equivale a entregar tu frase semilla. Sin embargo, puede permitir que el contrato autorizado mueva determinados tokens sin volver a pedirte una firma.
¿CÓMO SABER SI TENÉS PERMISOS ACTIVOS?Existen herramientas que permiten inspeccionar las autorizaciones asociadas a tu dirección pública.
Una de ellas es REVOKE.CASH, que permite revisar permisos en diferentes redes blockchain, identificar qué contratos tienen autorización de gasto y revocar los que ya no necesitás.
También podés utilizar el TOKEN APPROVAL CHECKER de ETHERSCAN para consultar autorizaciones en Ethereum.
La revisión de una dirección pública no requiere entregar contraseñas ni frases semilla. Para revocar un permiso normalmente sí necesitás confirmar una transacción y pagar la comisión correspondiente de la red.
Revocar una autorización puede impedir futuros movimientos basados en ese permiso, pero no recupera fondos que ya fueron robados.
Y hay algo fundamental: este riesgo afecta principalmente a billeteras de autocustodia que interactúan con contratos inteligentes. No debe confundirse con mantener criptomonedas en el saldo interno de un exchange centralizado.
EL VERDADERO PROBLEMA NO ES SOLAMENTE QUE PUEDAN ROBARTE UNA CONTRASEÑA. ES QUE PODÉS HABER AUTORIZADO UNA CAPACIDAD DE GASTO SIN COMPRENDER SUS CONSECUENCIAS.
🧠 En el mundo cripto, cerrar una aplicación no necesariamente cancela lo que autorizaste dentro de la blockchain.
Porque una cosa es desconectar tu billetera de una página...
Y otra muy distinta es quitarle a un contrato inteligente el permiso para mover tus criptomonedas.
Antes de volver a firmar una autorización, hacete una pregunta:
¿ESTOY AUTORIZANDO LA OPERACIÓN QUE QUIERO REALIZAR O ESTOY CONCEDIENDO UN PERMISO MUCHO MAYOR DEL QUE NECESITO?
Esa diferencia puede ser decisiva para proteger tus fondos
