El riesgo de aprobación es la posibilidad de que un contrato u operador mueva tokens después de recibir permiso. La aprobación puede seguir activa cuando termina el swap, mint o juego original; un spender comprometido o malicioso puede usar esa autoridad permanente más adelante.
Separa cuatro acciones que parecen similares#
“Conectar la wallet” se usa de forma imprecisa, pero la autoridad cambia en cada paso.
| Acción | Efecto habitual |
|---|---|
| Conectar | Comparte dirección pública y contexto de red |
| Firmar mensaje | Demuestra control o autoriza datos estructurados, según el contenido |
| Approve/Permit | Concede a un spender autoridad sobre tokens hasta un límite |
| Transferir/Swap | Mueve activos o ejecuta lógica del contrato |
Una conexión puede crear exposición de privacidad sin mover tokens. Una firma puede ser una autenticación inocua o una autorización offchain potente. Una aprobación onchain registra un allowance reutilizable. Lee los datos, no solo el texto del botón.
Los allowances ERC-20 pueden sobrevivir a la operación#
Muchos contratos exigen aprobación para que un router o protocolo transfiera tokens en nombre del usuario. Algunas interfaces solicitan el máximo por comodidad. Ethereum.org advierte que el acceso ilimitado puede permitir que el contrato aprobado gaste todo el saldo de ese token.
El allowance corresponde a la combinación de token, propietario y spender en una red. Mover los tokens no lo borra. Si vuelven más tarde, el spender puede conservar autoridad.
Los permisos NFT y las firmas funcionan de otra manera#
Los contratos NFT pueden conceder ApprovalForAll, permitiendo a un operador transferir todos los elementos de una colección. Los permits offchain pueden autorizar gasto mediante firma y no aparecer como transacción de aprobación convencional hasta que se usan.
Las pantallas de datos tipados solo son más seguras que un hexadecimal ilegible cuando la wallet explica los campos con precisión y el usuario los comprueba. Un dominio conocido no garantiza una solicitud segura si el front end o la cuenta del proyecto están comprometidos.
Limita el impacto antes de interactuar#
Usa una wallet de interacción sin fondos a largo plazo. Verifica el contrato mediante una fuente independiente del proyecto, aprueba una cantidad concreta cuando sea posible y rechaza permisos inesperados de operador o propiedad.
Tras una acción puntual, revisa y revoca el allowance. Desconectar un sitio elimina una relación local de la interfaz, pero no cambia el estado de la blockchain.
La simulación es útil, pero es una predicción basada en el estado actual y en la decodificación disponible. Debe complementar, no sustituir, la verificación de contrato, dominio y permisos.
Audita los permisos de forma periódica#
Revisa aprobaciones cuando:
- un protocolo informe de un exploit o compromiso del front end;
- dejes de usar una aplicación;
- una wallet de interacción acumule muchos permisos;
- se actualice un contrato o cambie su propietario;
- aparezcan transacciones o solicitudes de firma inexplicables.
Prioriza allowances ilimitados y spenders desconocidos vinculados a saldos valiosos. Revoca mediante un explorador verificado o comprobador consolidado y confirma la transacción onchain.
Preguntas frecuentes#
¿Conectar una wallet concede acceso a los tokens?
Normalmente no. Expone la dirección pública y permite solicitar firmas. La autoridad sobre tokens exige una aprobación, permit o transacción relevante.
¿Puede volver a usarse una aprobación revocada?
Una vez confirmada la revocación, ese allowance ya no debería autorizar gasto. Puede existir otro permiso o concederse uno nuevo.
¿Una aprobación pequeña siempre es segura?
Limita la cantidad disponible mediante ese allowance, pero no demuestra que el contrato sea legítimo. La cantidad aprobada aún puede perderse.
¿Puede haber aprobaciones en varias redes?
Sí. Revisa cada cadena por separado; la misma dirección puede tener allowances distintos.
Fuentes#
- Ethereum.org: Security and Scam Prevention
- Ethereum.org: Revoke Smart Contract Access
- Uniswap: What Is an Approval Transaction?
- OWASP Smart Contract Security: UX Security Foundations
Aviso de riesgo: Los formatos de permisos varían según estándar, wallet y red. Verifica la autoridad exacta antes de firmar.
Criterio editorial
Esta guía es educativa y se apoya en fuentes. Los controles de seguridad, las reglas de los exchanges y los requisitos legales pueden cambiar; confirma los pasos importantes en fuentes oficiales.
