Aprobaciones ilimitadas: qué son y cómo revocarlas

Cada vez que usas una app descentralizada (un exchange descentralizado, un protocolo de préstamos, un marketplace), tu wallet probablemente te pide aprobar algo. Ese clic es una de las puertas más usadas por los estafadores para robar tokens. Aquí explicamos qué es una aprobación, por qué las ilimitadas son peligrosas y cómo revisarlas y revocarlas.

📺 Mira la versión de 60 segundos en YouTube: Short Ep. 2

¿Qué es una aprobación de tokens?

En redes compatibles con Ethereum, los tokens que siguen el estándar ERC-20 incluyen una función llamada approve. Con ella autorizas a otra dirección, normalmente un contrato inteligente, a mover hasta cierta cantidad de tus tokens en tu nombre. Esa cantidad autorizada se llama allowance (permiso o límite de gasto).

Es necesaria para que muchas apps funcionen: un exchange descentralizado necesita permiso para tomar tus tokens y completar el intercambio.

Las aprobaciones se quedan activas

Una aprobación queda registrada en la blockchain y sigue vigente hasta que se agota el monto o la revocas. Cerrar la página o “desconectar” la wallet de la app no la revoca; MetaMask lo explica en su centro de ayuda.

¿Por qué “ilimitadas”?

Para ahorrarte firmar cada vez, muchas apps proponen por defecto un monto tan grande que en la práctica es ilimitado. Es cómodo, pero significa que ese contrato puede mover todo el saldo de ese token, ahora y en el futuro.

Cómo usan los atacantes las aprobaciones

Webs y contratos falsos

Una página que imita a un proyecto conocido, un falso airdrop o un enlace “urgente” te pide conectar la wallet y aprobar. Si firmas, el contrato del atacante obtiene permiso y puede transferir tus tokens cuando quiera, sin pedirte otra firma.

Apps legítimas que sufren un hackeo

Aunque la app sea real, si su contrato es vulnerado, las aprobaciones ilimitadas que le diste pueden quedar expuestas. MetaMask advierte de ambos casos.

Firmas que no parecen transacciones

Algunos mecanismos permiten conceder permisos mediante una firma de mensaje (por ejemplo, firmas tipo “permit”). Parecen inofensivas, pero pueden otorgar acceso a tus tokens. Si no entiendes lo que firmas, no lo firmes.

Cómo revisar y revocar tus aprobaciones

1. Usa una herramienta de revisión: Revoke.cash (varias redes), el Token Approval Checker de Etherscan (o el de BscScan/Polygonscan según la red), o la sección de límites de gasto de MetaMask Portfolio.
2. Conecta o pega tu dirección pública (nunca tu frase semilla) y revisa la lista de permisos.
3. Revoca los que no reconozcas, los ilimitados que no necesitas y los de apps que ya no usas.
4. Confirma la transacción: revocar es una operación en la blockchain y cuesta una pequeña comisión de red (gas).

Importante: revocar evita movimientos futuros, pero no recupera tokens que ya fueron transferidos.

Buenas prácticas

• Aprueba solo el monto que necesitas cuando la wallet te permita editar el límite.
• Lee qué firmas: fíjate en la dirección del contrato y el token. Las simulaciones de transacción de algunas wallets ayudan.
• Desconfía de airdrops, regalos y enlaces urgentes, sobre todo si llegan por mensaje directo.
• Usa una wallet aparte con saldo pequeño para probar apps nuevas; guarda el resto en otra.
• Revisa tus aprobaciones con regularidad, por ejemplo una vez al mes.
• Nunca compartas tu frase semilla: ninguna herramienta legítima de revocación la necesita.

Preguntas frecuentes

¿Desconectar la wallet de la app revoca el permiso?

No. Desconectar solo deja de compartir tu dirección con la app; la aprobación sigue en la blockchain hasta que la revoques.

¿Afecta también a Bitcoin?

Este mecanismo es propio de tokens en redes compatibles con contratos inteligentes como Ethereum y similares. Otras redes tienen sus propios sistemas de permisos.

Ya me vaciaron un token, ¿qué hago?

Revoca de inmediato las aprobaciones restantes para evitar más pérdidas, mueve lo que quede a una wallet nueva si sospechas que la frase semilla se expuso y desconfía de “servicios de recuperación”, que suelen ser otra estafa.

Fuentes

• ERC-20 (EIP-20, funciones approve y allowance): https://eips.ethereum.org/EIPS/eip-20
• MetaMask, cómo revocar aprobaciones: https://support.metamask.io/privacy-and-security/how-to-revoke-smart-contract-allowances-token-approvals/
• MetaMask, límites de gasto en Portfolio: https://support.metamask.io/manage-crypto/portfolio/spending-caps-portfolio/
• Revoke.cash, qué son las aprobaciones: https://revoke.cash/learn/approvals/what-are-token-approvals
• Etherscan Token Approval Checker: https://etherscan.io/tokenapprovalchecker

Aviso de riesgo: Este contenido es informativo y educativo; no constituye asesoría financiera ni una recomendación de inversión. Las criptomonedas implican riesgos y puedes perder una parte importante o la totalidad de tus fondos. Investiga por tu cuenta.

Publicado originalmente en Medio Crypto el 2026-10-29. Este contenido es informativo y no constituye asesoría financiera.