En esta lección
- descubrirás qué son los tokens ERC-20 y los NFT
- entenderás por qué las apps piden una aprobación para usar tus tokens
- aprenderás a comprobar y revocar aprobaciones – y a detectar una firma peligrosa
Cuando le das las llaves de tu auto al valet del hotel, esperas que lo estacione. No que se vaya con él de vacaciones. Las aprobaciones de tokens en Ethereum funcionan de forma muy parecida – solo que las llaves a menudo van a parar a alguien que nunca has visto, y para siempre.
Tokens ERC-20#
La mayoría de los tokens en Ethereum – USDC, USDT, tokens de proyectos – siguen el estándar ERC-20. Un token es en realidad un contrato inteligente con una tabla de "quién tiene cuánto". Cuando envías un token, no mueves una moneda; le pides al contrato que actualice la tabla.
Cuidado con los tokens falsos. Cualquiera puede crear un token llamado "USDC". El auténtico solo lo reconoces por la dirección de su contrato – compruébala en el sitio web del emisor o en un explorador de bloques.
NFT#
Los NFT siguen los estándares ERC-721 o ERC-1155. Cada pieza tiene su propio número, así que no se puede cambiar una por otra. Un NFT a menudo guarda solo un enlace a una imagen almacenada en otro lugar – si el servidor con la imagen desaparece, el NFT se queda, pero la imagen no.
Aprobaciones para gastar#
Cuando quieres cambiar USDC por ETH en un exchange, el exchange tiene que "tomar" tus USDC. Para eso necesita una aprobación: firmas una transacción que dice que el contrato del exchange puede gastar hasta cierta cantidad de tokens de tu cuenta.
Por comodidad, muchas apps piden una aprobación ilimitada, para que no tengas que darla de nuevo. Pero esa aprobación sigue vigente hasta que la revoques. Si el contrato es hackeado más tarde, el atacante puede llevarse todos tus tokens de ese tipo – incluso un año después.
Firmas que no parecen transacciones#
Algunas aprobaciones no son transacciones, sino solo un mensaje firmado (Permit, Permit2). No cuesta nada, la billetera muestra un revoltijo de texto – y los estafadores abusan de ello. Firmas un "inicio de sesión" en un sitio web falso y en realidad entregas una aprobación sobre tus tokens. Según la empresa ScamSniffer, esto supuso el 38 % de las pérdidas en grandes robos mediante firmas en 2025.
Antes de firmar
- Lee lo que muestra la billetera: "approve", "Permit", "setApprovalForAll" = alguien obtiene acceso a tus tokens.
- No firmes nada en sitios web a los que llegaste a través de un anuncio o un mensaje.
- Si no entiendes lo que estás firmando, no lo firmes.
Cómo comprobar y revocar aprobaciones#
En el explorador Etherscan (la sección Token Approvals) o en herramientas como revoke.cash ingresas tu dirección y ves todas las aprobaciones. Revoca las que no necesites – revocar es una transacción y cuesta una pequeña comisión. Hazlo también en las redes de capa 2 donde usas apps.
Mitos comunes#
- "Un token llamado USDC es USDC." Solo lo es el que tiene la dirección de contrato verificada.
- "Una firma sin comisión es inofensiva." Una firma Permit puede dar acceso a todos tus tokens.
- "Las aprobaciones caducan solas." Una aprobación ilimitada dura hasta que la revocas.
Resumen
- Un token ERC-20 es un contrato con una tabla de saldos; el auténtico lo reconoces por la dirección de su contrato.
- Un NFT es un token único; la imagen suele estar almacenada en otro lugar.
- Una aprobación permite a un contrato gastar tus tokens – una ilimitada dura para siempre.
- Las firmas Permit son una herramienta favorita de los estafadores; comprueba y revoca aprobaciones con regularidad.