Aprobaciones de tokens: siguen activas hasta revocarlas
Los permisos cripto otorgados a un contrato permanecen activos mientras no los retires. A partir del 5 de mayo de 2026, atacantes explotaron esta regla. Sustrajeron aproximadamente 1,42 millones de dólares de 31 direcciones, gracias a los permisos concedidos a un enrutador del protocolo Ekubo. La principal víctima había otorgado el suyo 158 días antes, según el fundador de SlowMist.
1,42 millones de dólares: es lo que los atacantes sustrajeron a partir del 5 de mayo de 2026, aprovechando las aprobaciones concedidas a un router de Ekubo.
158 días: era la antigüedad de la aprobación ilimitada que le costó unos 17 WBTC a la principal víctima.
60 %: es la proporción de aprobaciones ilimitadas en Ethereum, según un estudio de 2022 sobre transacciones hasta julio de 2021.
6 de mayo de 2026: un día después del primer robo, el fundador de Ekubo propuso el ERC-8255, con aprobaciones que caducan por defecto.
Un permiso cripto no termina con la transacción
Para intercambiar un token en una aplicación descentralizada, primero firmas un permiso. Este mensaje permite así a un contrato retirar tus tokens en tu lugar. El estándar ERC-20 prevé que puede hacerlo «varias veces, hasta la cantidad» establecida. Sin embargo, tu wallet no siempre muestra lo que firmas, como mostraba nuestro artículo sobre el clear signing.
Especialmente, este permiso no tiene fecha de fin. La guía oficial de ethereum.org sobre la revocación lo dice sin rodeos: «No hay fecha de expiración en los permisos de contrato.» Por lo tanto, pueden servir años después.
Desconectarse del sitio tampoco cambia nada. El permiso está en el contrato del token, en la blockchain, y no en tu navegador. Según la misma guía, el proyecto mantiene el acceso a tus tokens tras la desconexión. Tu monedero digital conserva tus claves, no tus permisos. Entonces hay que retirar el permiso para cortar ese acceso.
$APE
$TOKEN
$BLOK.ETF
#tokens
Los permisos cripto otorgados a un contrato permanecen activos mientras no los retires. A partir del 5 de mayo de 2026, atacantes explotaron esta regla. Sustrajeron aproximadamente 1,42 millones de dólares de 31 direcciones, gracias a los permisos concedidos a un enrutador del protocolo Ekubo. La principal víctima había otorgado el suyo 158 días antes, según el fundador de SlowMist.
1,42 millones de dólares: es lo que los atacantes sustrajeron a partir del 5 de mayo de 2026, aprovechando las aprobaciones concedidas a un router de Ekubo.
158 días: era la antigüedad de la aprobación ilimitada que le costó unos 17 WBTC a la principal víctima.
60 %: es la proporción de aprobaciones ilimitadas en Ethereum, según un estudio de 2022 sobre transacciones hasta julio de 2021.
6 de mayo de 2026: un día después del primer robo, el fundador de Ekubo propuso el ERC-8255, con aprobaciones que caducan por defecto.
Un permiso cripto no termina con la transacción
Para intercambiar un token en una aplicación descentralizada, primero firmas un permiso. Este mensaje permite así a un contrato retirar tus tokens en tu lugar. El estándar ERC-20 prevé que puede hacerlo «varias veces, hasta la cantidad» establecida. Sin embargo, tu wallet no siempre muestra lo que firmas, como mostraba nuestro artículo sobre el clear signing.
Especialmente, este permiso no tiene fecha de fin. La guía oficial de ethereum.org sobre la revocación lo dice sin rodeos: «No hay fecha de expiración en los permisos de contrato.» Por lo tanto, pueden servir años después.
Desconectarse del sitio tampoco cambia nada. El permiso está en el contrato del token, en la blockchain, y no en tu navegador. Según la misma guía, el proyecto mantiene el acceso a tus tokens tras la desconexión. Tu monedero digital conserva tus claves, no tus permisos. Entonces hay que retirar el permiso para cortar ese acceso.
$APE
$TOKEN
$BLOK.ETF
#tokens