Un drainer es una infraestructura maliciosa diseñada para convertir firmas, aprobaciones o transacciones engañosas de una wallet en robo de activos. Puede buscar tokens, NFT o activos nativos y priorizar los elementos más valiosos después de que la víctima conecte su wallet a una web falsa.
La idea clave#
El contrato es solo una parte del sistema. Las páginas de phishing, los anuncios patrocinados, las cuentas comprometidas y los kits de firmas llevan a las víctimas hasta él; un permiso offchain puede permitir que el atacante actúe más tarde.
La interfaz visible muestra únicamente una parte. Confirma identidad, activo, red y autoridad antes de considerar una etiqueta familiar como prueba.
Proceso paso a paso#
- Rechaza aprobaciones, permisos y autorizaciones de operador inesperados. Hazlo antes de que cambien de manos valor o autoridad de firma y comprueba después el estado resultante.
- Comprueba el contrato autorizado para gastar y el efecto decodificado. Compara dominio, dirección, red y permiso exactos con una fuente oficial independiente.
- Mueve los activos no afectados a una wallet nueva si el secreto puede haberse filtrado. Define primero el alcance para que la urgencia no amplíe silenciosamente lo que puede quedar expuesto.
- Revoca los permisos restantes desde una interfaz fiable. Verifica cada operación antes de firmarla y confirma después el cambio onchain.
- Denuncia el dominio, las direcciones y las transacciones. Conserva pruebas y utiliza canales verificados antes de compartir información o seguir instrucciones.
Fallos que debes vigilar#
- Creer que la simple conexión explica cualquier pérdida. Omite datos necesarios sobre firmas, aprobaciones y claves, y vuelve poco fiable el diagnóstico.
- Firmar datos ilegibles para “verificar la propiedad”. La interfaz puede imitarse; vuelve a abrir la solicitud desde un canal oficial independiente.
- Usar la wallet comprometida para operaciones de rescate sin un plan. Puede exponer fondos adicionales o permitir que el atacante se adelante.
- Pagar a un supuesto recuperador que promete revertir el robo. Añade otra pérdida y puede conceder nuevos permisos al atacante.
Cuándo detenerte o cambiar de ruta#
Después de un contacto sospechoso, determina si se filtró la semilla o si solo se concedió un permiso. Una clave filtrada exige migración; un allowance aislado puede resolverse mediante revocación.
Prueba de que la tarea está completa#
No juzgues el resultado solo porque la interfaz muestre un mensaje de éxito. Usa pruebas que aún puedan comprobarse después de cerrar la página.
| Punto de control | Prueba | Condición para detenerse |
|---|---|---|
| Rechazar aprobaciones, permisos y operadores inesperados | URL o dirección de contrato exacta cotejada con documentación oficial | Creer que la conexión por sí sola explica toda pérdida |
| Comprobar el contrato autorizado y el efecto decodificado | URL o dirección de contrato exacta cotejada con documentación oficial | Firmar datos ilegibles para “verificar la propiedad” |
| Mover los activos no afectados si puede haberse filtrado un secreto | Comprobación fechada, prueba de recuperación o registro autenticado sin secretos | Usar la wallet comprometida para rescatar sin un plan |
Conserva hashes de transacción, números de caso oficiales o capturas fechadas cuando ayuden a documentar el drainer, pero excluye frases semilla, claves privadas y códigos de autenticación.
Preguntas frecuentes#
¿Puede un drainer robar sin una firma nueva?
Puede aprovechar una aprobación existente o una clave comprometida. Una conexión nueva con una web, por sí sola, normalmente no autoriza transferencias.
¿Desconectar la web detendrá el drainer?
No. Desconectar elimina una sesión local, no las aprobaciones onchain ni las claves filtradas.
¿Una hardware wallet puede bloquear un drainer?
Protege frente a la extracción de claves, pero firmará una solicitud maliciosa que tú apruebes. Sigue siendo esencial verificar la pantalla del dispositivo.
Guías relacionadas#
- Cómo revocar una aprobación ilimitada de tokens
- Cómo consultar el historial de autorizaciones de una wallet
Fuentes#
Aviso de riesgo: Las acciones con criptoactivos pueden ser irreversibles. Nunca compartas una frase semilla, clave privada, contraseña o código de autenticación, y verifica por separado cada dominio y solicitud de la wallet.
Criterio editorial
Esta guía es educativa y se apoya en fuentes. Los controles de seguridad, las reglas de los exchanges y los requisitos legales pueden cambiar; confirma los pasos importantes en fuentes oficiales.
