Aprobaciones de tokens e higiene de la billetera

Cada vez que usas un token en una aplicación DeFi —intercambiarlo en un DEX, depositarlo en un pool de préstamos, poner un NFT a la venta— primero firmas una «aprobación» que concede al contrato inteligente de la aplicación permiso para mover ese token fuera de tu billetera. Esos permisos no caducan cuando terminas. Se acumulan en silencio durante años, y cada uno es una puerta permanentemente abierta a tu billetera que se abre si el contrato aprobado llega a volverse malicioso o a sufrir un exploit. La higiene de la billetera es la rutina de conceder aprobaciones de forma acotada, revocarlas con regularidad y separar las billeteras para que ningún error aislado pueda alcanzar todo lo que posees.

Por qué existen las aprobaciones

En las cadenas de estilo Ethereum, los tokens son contratos inteligentes que llevan el registro de los saldos. Un DEX no puede simplemente tomar tus USDC cuando haces un swap: los estándares de tokens exigen que antes llames a approve, autorizando a un contrato concreto (el «spender», o gastador) a transferir hasta una cantidad concreta de un token concreto en tu nombre. El contrato de la aplicación usa entonces ese permiso para extraer los tokens durante el swap.

Es un diseño razonable: permite que los contratos se combinen sin custodiar tus fondos. El problema está en dos valores por defecto que surgieron por comodidad:

• Cantidades ilimitadas. Muchas aplicaciones piden un permiso prácticamente infinito para que nunca tengas que volver a aprobar ese token. Una sola firma, y el contrato puede mover cualquier cantidad de ese token desde tu billetera, para siempre, sin más permiso.
• Sin caducidad. Una aprobación persiste hasta que la revocas expresamente o se consume por completo. El DEX que probaste una sola vez en 2023 puede seguir teniendo hoy un permiso ilimitado sobre tus USDT.

En el caso de los NFT, el equivalente —setApprovalForAll— es aún más amplio: otorga a un contrato el control de todos los NFT de una colección, presentes y futuros, con una sola firma.

Por qué las aprobaciones antiguas son un riesgo permanente

Una aprobación es una capacidad activa, no un registro histórico. Que sea peligrosa depende por completo del contrato que la posee, y eso puede cambiar después de que firmaste.

• Exploits de protocolos. Si se hackea un contrato que aprobaste, los atacantes a menudo pueden usar sus permisos para extraer tokens directamente de todas las billeteras que alguna vez concedieron un permiso, y no solo de los fondos depositados en el protocolo. Varios incidentes de varios millones de dólares funcionaron exactamente así: usuarios que solo habían interactuado con un protocolo meses antes perdieron tokens que estaban «a salvo» en sus propias billeteras.
• Aprobaciones maliciosas que concediste tú mismo. Los sitios drainer disfrazan las solicitudes de aprobación de reclamaciones, mints o verificaciones. El robo no tiene por qué ocurrir en el momento de la firma: el atacante puede esperar y vaciar la billetera cuando le compense.
• Contratos actualizables y abandonados. Algunos contratos pueden ser actualizados por sus administradores; una aprobación a un código honesto hoy puede convertirse en una aprobación a un código malicioso mañana, ya sea por un rug pull o por una clave de administrador comprometida. Los proyectos abandonados dejan de aplicar parches, con lo que los exploits antiguos se vuelven permanentes.

El factor agravante es la invisibilidad. La interfaz de tu billetera muestra saldos, no permisos. Una billetera puede mostrar 50.000 USDC mientras cinco contratos olvidados tienen cada uno el derecho de llevárselos. La mayoría de la gente no tiene idea de lo que ha aprobado, y precisamente por eso importa revisar de forma rutinaria.

Auditar y revocar aprobaciones

Toda aprobación y toda revocación quedan en la cadena, así que esto se puede arreglar en una tarde.

Cómo encontrarlas. Las herramientas de gestión de aprobaciones —Revoke.cash es la independiente más conocida, y Etherscan y varias billeteras tienen verificadores de aprobaciones integrados— leen la cadena y enumeran todos los permisos activos de tu dirección: qué token, qué contrato spender, qué cantidad y cuándo se concedió. Espera una lista larga si llevas tiempo usando DeFi; docenas de aprobaciones activas es lo normal en una dirección activa.

Cómo priorizar. No necesitas revocarlo todo. Clasifica por riesgo:

1. Aprobaciones ilimitadas a cualquier cosa que no uses activamente: revoca primero.
2. Aprobaciones a contratos desconocidos o no verificables: si no recuerdas haberla concedido o no puedes identificar el proyecto, revoca.
3. setApprovalForAll en colecciones de NFT de marketplaces que ya no usas.
4. Aprobaciones de gran cantidad sobre stablecoins y tokens blue-chip, porque son lo que los drainers monetizan con más facilidad.

Un permiso activo a un protocolo que usas cada semana es una comodidad razonable; el mismo permiso a algo que tocaste una sola vez es pura desventaja.

La mecánica y el coste. Revocar significa enviar una transacción que fija el permiso en cero, así que cada revocación cuesta gas: en la mainnet de Ethereum suele ir desde bastante menos de un dólar hasta unos pocos dólares según la congestión, y fracciones de centavo en la mayoría de las Layer 2. Ten en cuenta que cada par token-spender es una revocación distinta. Si una billetera tiene muchas aprobaciones de riesgo pero poco valor, migrar los activos a una billetera nueva puede salir más barato que revocarlo todo.

De ahora en adelante. Cuando una aplicación solicite una aprobación, prefiere una cantidad personalizada que se ajuste a lo que realmente vas a operar en lugar del valor ilimitado por defecto; la mayoría de las billeteras permiten editar el permiso solicitado antes de firmar. La próxima vez pagarás por una aprobación adicional: ese es el precio de un radio de daño menor. Los mecanismos de tokens más nuevos (como las firmas al estilo Permit2 con caducidad) reducen este problema, pero el hábito de auditar y revocar sigue siendo necesario para todo lo demás.

Segmentación de billeteras: no lo guardes todo detrás de una sola puerta

La higiene de las aprobaciones reduce el riesgo de cada billetera. La segmentación limita el daño cuando la higiene falla. La estructura estándar usa tres niveles:

• Vault (fría). Una dirección de billetera de hardware que guarda los fondos a largo plazo y casi no hace nada: recibir, mantener y, de vez en cuando, enviar a tu propia billetera caliente. Nunca firma aprobaciones de dApps. Como nunca interactúa con contratos, toda la superficie de ataque de las aprobaciones sencillamente no le afecta.
• Billetera caliente diaria. Una billetera de software o respaldada por hardware con un saldo de trabajo; piensa en ella como el efectivo que llevas en el bolsillo frente a tu cuenta de ahorros. Interactúa con protocolos consolidados que usas con regularidad y revisa sus aprobaciones según un calendario.
• Burner. Una billetera para la frontera arriesgada: mints nuevos, protocolos sin auditar, reclamaciones de airdrops, cualquier cosa a la que te hayan enviado un enlace. Fondéala solo con lo que requiera esa interacción concreta: si un mint cuesta 0,05 ETH, envía 0,06. Cuando una burner firma algo malicioso, pierdes el contenido de la burner, no tus tenencias.

La disciplina que hace que esto funcione: el valor solo fluye cuesta abajo. La vault financia la billetera caliente, la billetera caliente financia las burners, y nada arriesgado se firma jamás desde los niveles superiores. Ten en cuenta que segmentar significa frases semilla distintas (o al menos cuentas separadas de forma consciente): diez direcciones derivadas de una misma semilla son una sola billetera en cuanto esa semilla se filtra.

Una rutina de mantenimiento que perdura

La higiene falla cuando depende de acordarse. Vincúlala mejor a momentos concretos:

• Cada trimestre: pasa tus direcciones por un verificador de aprobaciones y elimina las aprobaciones de riesgo. Ponlo en el mismo recordatorio del calendario que otras tareas financieras.
• Después de cualquier incidente o susto: firmaste algo raro, visitaste un sitio que te dio mala espina, viste una alerta de drainer: audita esa billetera ese mismo día.
• Después de terminar con un protocolo: ¿cerraste tu última posición en una plataforma? Revoca sus aprobaciones mientras lo tienes presente.
• Antes de mover un valor elevado a una billetera: primero audita, después fondea.

Quince minutos al trimestre es todo el coste. Comparado con la alternativa —descubrir que un protocolo que usaste hace dos años fue explotado anoche—, es uno de los seguros con mejor precio de todo el sector cripto.