Aprobaciones de tokens: cómo revisarlas y revocar las que ya no usas

Qué revisar primero

Si solo tienes cinco minutos, busca esto en orden. Es un criterio editorial basado en el daño que puede hacer cada tipo.

1. Aprobaciones de operador de NFT a direcciones que no reconoces. Cubren toda una colección sin tope.
2. Permisos ilimitados de ERC-20 a gastadores desconocidos, sobre todo en stablecoins como USDT o en saldos grandes.
3. La aprobación a Permit2 en tokens que ya no intercambias, porque una sola aprobación sostiene muchos subpermisos.
4. Permisos viejos a apps chicas o abandonadas. Un contrato que era seguro cuando lo usaste puede actualizarse o ser hackeado después.

Qué es una aprobación

En las redes EVM, los tokens no se mueven porque un contrato lo pida amablemente. Un contrato solo puede tomar tokens de tu dirección si antes le dijiste al contrato del token que podía hacerlo. Ese permiso es la aprobación, y queda guardado on-chain como un número o un interruptor.

Por eso, para un mismo token pueden estar vivas dos cosas: una aprobación directa a la app y una aprobación a Permit2 con subpermisos dentro. Una buena revisión mira las dos. Revoke.cash recomienda revocar la aprobación al contrato de Permit2 cuando ya no lo uses, por el riesgo de phishing, y dejar que venzan los subpermisos que están por expirar mientras revocas a mano los de vencimiento lejano (Revoke.cash).

Por qué una aprobación no se borra sola

Ethereum.org dice que los permisos otorgados se pueden usar de forma indefinida y que desconectar tu wallet de un proyecto no los elimina (ethereum.org). La razón es de arquitectura: la conexión de la wallet es una sesión del navegador; la aprobación es un dato dentro del contrato del token. Cerrar la pestaña cambia lo primero, no lo segundo.

Así se arma la falla típica: un permiso ilimitado que diste hace dos años a una app legítima, y luego el contrato de esa app es explotado. Ethereum.org agrega que, una vez otorgado un permiso ilimitado, la plataforma puede gastar esos tokens incluso después de que regreses fondos a tu wallet.

Los siete pasos

Estos pasos siguen los flujos de Revoke.cash y Etherscan descritos en la guía de Revoke.cash y en la explicación de ethereum.org, con nuestros agregados de seguridad.

1. 1

   Usa un dispositivo o perfil limpio y la dirección correcta

   Abre el verificador en un perfil de navegador sin extensiones desconocidas. Escribe o conecta la dirección que firmó las aprobaciones. Buscar una dirección es solo lectura; conectar la wallet solo hace falta para revocar.

2. 2

   Elige la red

   Las aprobaciones se guardan por cadena, así que la misma wallet necesita una revisión en cada red que haya usado. Revoke.cash cubre más de 80 redes; en las demás, usa el explorador de bloques de esa red.

3. 3

   Ordena de la más nueva a la más vieja

   Revoke.cash sugiere este orden cuando buscas una aprobación sospechosa. Los gastadores desconocidos firmados hace poco merecen tu atención primero.

4. 4

   Revisa cada aprobación

   En cada fila anota el token, el gastador, el monto permitido y la fecha de la última actualización. Los permisos ilimitados a gastadores que no puedes identificar van primero.

5. 5

   Revoca o baja el monto

   Da clic en Revoke en la aprobación, o usa la opción de editar para fijar un monto menor si todavía usas la app. Las dos opciones requieren una transacción y una comisión de red.

6. 6

   Confirma en tu wallet y espera

   Revisa que la ventana de la wallet muestre una llamada de aprobación que deja el permiso en cero, y espera a que la transacción termine. El tiempo varía según la red.

7. 7

   Actualiza y verifica

   Recarga el verificador después de unos minutos. La aprobación debe desaparecer o mostrar cero. Repite en cada red y para cada tipo de token.

Revoke.cash o el verificador del explorador

Nuestro consejo práctico: usa la que puedas abrir desde un marcador que guardaste tú. Existen sitios falsos de revocación, y en México también circulan “asesores” que ofrecen limpiar tu wallet por mensaje. Una herramienta que te pide firmar algo distinto a dejar un permiso en cero o apagar un operador es una alerta. La propia página de Etherscan advierte que el servicio se ofrece tal cual y que no responde por pérdidas, así que lee cada ventana de la wallet en lugar de confiar a ciegas.

Cuánto cuesta revocar

Revocar es una transacción normal, así que pagas la comisión de red en el token nativo de esa cadena. Ethereum.org dice que el procesamiento puede tardar de un minuto a varios, según la red. No damos una cifra en pesos porque las comisiones cambian con la congestión y la red.

• Presupuesta por red. Revisar cinco redes puede significar hasta cinco rondas de comisiones, y necesitas un poco del token nativo de cada una en la wallet.
• Prioriza por riesgo, no por completar la lista. Si las comisiones están altas, revoca primero los operadores de NFT y los permisos ilimitados sobre stablecoins, y deja para después los permisos diminutos.

Según ethereum.org, revocar no termina posiciones de staking, pools o préstamos ni detiene recompensas. Solo tendrás que aprobar de nuevo la próxima vez que uses ese contrato.

El equivalente en Solana

Solana no tiene setApprovalForAll ni tabla de permisos ERC-20. Cada cuenta de token guarda un solo delegado y un monto delegado a la vez; aprobar un delegado nuevo reemplaza al anterior. El dueño de la cuenta firma la aprobación con la instrucción Approve o ApproveChecked (Solana docs).

Para quitarlo, la instrucción Revoke borra al delegado y deja el monto en cero. Con el Token Program la firma el dueño de la cuenta; con el Token Extension Program también puede revocar el delegado actual (Solana docs). No abrimos la documentación de la línea de comandos de spl-token, así que no damos comandos.

El perfil de riesgo cambia: el delegado tiene un tope y solo hay uno por cuenta de token. Pero una sola aprobación maliciosa por todo el saldo deja que el atacante lo mueva. Otra pérdida común en Solana viene de firmar una transacción que transfiere activos o cambia la propiedad de una cuenta; eso no es una aprobación y no se puede revocar después. Revisa nuestra página del ecosistema Solana.

Lo que revocar no puede hacer

No devuelve fondos robados.

Las transferencias en blockchain no se revierten. Revocar solo evita el siguiente robo.

No sirve si se filtró tu llave privada.

Si alguien tiene tu frase o tu llave, puede firmar transacciones nuevas. Migra a una wallet nueva.

No cancela un permit firmado y no usado, a menos que actúes.

EIP-2612 indica que un permit firmado lo puede enviar cualquiera hasta su fecha límite, y que el dueño lo puede invalidar cambiando el nonce. Una herramienta de revocación quizá no muestre esa firma fuera de la cadena, así que ante un permit sospechoso, mueve tus fondos.

Es por red y por tipo de token.

Ethereum, Base, Arbitrum y las demás guardan sus propias aprobaciones. Revisa Ethereum. Revisa Base. Revisa Arbitrum.

Revisión mensual

Esta lista guarda su progreso solo en tu navegador.

Combina esta lista con los hábitos de la guía de wallet burner y usa nuestro calificador de airdrops confiables antes de firmar el siguiente reclamo. Si estás armando historial en muchas apps, el farming de airdrops genera aprobaciones más rápido que casi cualquier otro hábito, así que revisa más seguido. Y si todavía no tienes clara la diferencia entre tu wallet y tu cuenta en un exchange, lee wallet con custodia o sin custodia.

Escrito y verificado por el equipo editorial de airdrop.promo. Método: cómo verificamos (EN). ¿Encontraste un error? contacts@airdrop.promo. Contenido educativo, no es asesoría financiera ni fiscal.