Guía práctica

Cómo revocar permisos y aprobaciones de tu wallet

Publicado: fecha no registrada · Revisado el 23 de octubre de 2026 · Política editorial

Una aprobación permite que otra dirección gaste un token concreto o mueva NFT de tu wallet. Una vez concedida, puede usar ese permiso sin pedirte que firmes cada transferencia. Revocar elimina ese permiso; desconectar una web no. Esta guía sirve para wallets EVM, incluidas Ethereum, Base, Arbitrum y Polygon. Si compartiste tu frase de recuperación o clave privada, no te quedes en la limpieza de permisos: necesitas una wallet nueva.

Abrir Revoke.cash Analizar una dirección gratis

Ocho pasos: del permiso a la revocación confirmada

1. Detén la interacción sospechosa

Cierra la página sospechosa y rechaza las solicitudes pendientes de la wallet. No vuelvas a ella para «cancelar» un permiso. Si ya firmaste, guarda el hash de la transacción o los detalles de la firma. Una aprobación firmada es un problema de permisos; una frase expuesta es un problema de claves. Requieren respuestas distintas.

2. Abre tú la herramienta auténtica

Escribe revoke.cash en la barra de direcciones o usa el enlace de esta guía. Comprueba que el nombre del dominio sea exactamente revoke.cash. Ignora anuncios, mensajes privados no solicitados y enlaces de «reparación de wallet». Revocar nunca exige escribir tu frase de recuperación ni tu clave privada. Consultar una dirección no requiere firmar ni transferir fondos.

3. Selecciona la cuenta y la red afectadas

Conecta la wallet que utilizaste y comprueba la cuenta seleccionada. Elige la red donde aprobaste: un permiso en Base se revoca en Base, no en Ethereum. Una misma dirección puede tener permisos distintos en cada red. Revisa cada cuenta y red que hayas usado; una lista limpia no limpia las demás.

4. Identifica qué puede gastarse y quién puede hacerlo

En la lista de aprobaciones, lee el activo, la dirección autorizada (spender) y el límite (allowance). El contrato del activo identifica el token o la colección NFT; el spender es quien puede moverlo. Empieza por el de la interacción sospechosa, después por servicios que ya no usas y límites ilimitados innecesarios. Un permiso ilimitado puede afectar también a depósitos futuros. «Todos los NFT» se refiere a esa colección, no a todos los NFT de tu wallet. Un nombre conocido o la ausencia de avisos no garantizan nada.

5. Ten gas en esa misma red

Revocar cambia el estado de la blockchain y exige una comisión en la moneda nativa de esa red: ETH en Ethereum, Base o Arbitrum; POL en Polygon. Tener USDT o una memecoin normalmente no sirve para pagarla. Lee la estimación antes de confirmar; costes y tiempos varían, y revocar por lotes puede añadir una tarifa del servicio. Si están vaciando la wallet o sus claves están expuestas, no sigas enviándole gas: el atacante también puede llevárselo.

6. Revoca y lee la solicitud de la wallet

Pulsa «Revoke» en la entrada elegida. Comprueba en tu wallet la cuenta, la red, el contrato de destino y la acción. Una revocación ERC-20 normal pone en 0 el límite de ese spender. Para un operador NFT, setApprovalForAll debe pasar a false; el permiso de un NFT individual tiene otro alcance. La solicitud puede decir «approve»: importa el valor. Un límite positivo o ilimitado, setApprovalForAll en true o una transferencia de activos no son una revocación. Rechaza lo que no encaje con la entrada elegida.

7. Confirma en la red y recarga la lista

Una transacción enviada aún no es un permiso eliminado. Abre su hash en el explorador de la red correcta y espera un recibo de éxito. Pendiente o fallida significa que la revocación no ha surtido efecto. Después recarga Revoke.cash en la misma cuenta y red: el límite del token debe ser 0 o el permiso NFT debe estar inactivo. Comprueba el par exacto activo–spender, no solo el aviso de éxito. Guarda el hash como comprobante.

8. Revisa los permisos restantes

Repite con los demás tokens, colecciones NFT y redes afectados. Revocar a un spender no revoca a los demás. Conservas los activos que siguen en tu wallet, pero una app puede pedir otra aprobación antes del próximo intercambio o venta NFT. Concede solo lo que necesite la siguiente acción verificada. No vuelvas a autorizar al spender sospechoso para «probar» si la limpieza funcionó.

¿Te han enviado un enlace o mensaje y dudas? Pégalo en el detector gratis

Cuándo revocar no basta

Frase de recuperación o clave privada expuesta: crea una wallet con una frase completamente nueva en un dispositivo limpio y con software verificado. Otra cuenta bajo la frase antigua no es una wallet nueva. Mueve los activos restantes si puedes hacerlo de forma segura; revocar no frena a quien tiene tus claves.
El gas desaparece al instante: deja de recargar. Puede indicar un bot de vaciado automático. Acude al soporte oficial de tu wallet para instrucciones sobre el incidente; nunca le des tu frase ni pagues a un desconocido para «rescatar» el saldo.
Permit o Permit2 firmado: una firma sin gas puede autorizar gasto y no aparecer en la lista de permisos actuales en la red. Poner un límite existente en 0 no invalida necesariamente un permiso firmado aún sin usar. Permit2 también tiene permisos propios. No des la firma por cancelada porque la lista esté vacía; evita nuevos depósitos y consulta instrucciones oficiales para ese tipo de firma.
Delegación de cuenta o permisos de sesión: las delegaciones EIP-7702, los módulos de cuentas inteligentes y las claves de sesión no son límites normales de tokens. Esta lista no los elimina. Si firmaste una autorización de cuenta, sigue las instrucciones específicas de tu wallet en vez de tomar una lista vacía de tokens como señal de seguridad.
Fondos ya transferidos: revocar puede impedir usos futuros del permiso eliminado, no revertir una transferencia completada. Conserva los hashes y las pruebas del chat y denuncia por canales oficiales.

Reduce el alcance del próximo permiso

1.Para un intercambio normal, elige un límite exacto si tu wallet lo permite. Un límite de 50 tokens expone menos que uno ilimitado, pero ninguno vuelve seguro a un spender malicioso. Verifica primero la app y la dirección autorizada.
2.Separa tus ahorros de la wallet con la que pruebas apps y acuñas NFT. Los permisos se vinculan a una cuenta; separarlas reduce los activos que alcanza una aprobación dañina. No ayuda si ambas comparten una frase de recuperación robada.
3.Si dudas del mensaje o enlace que te llevó allí, compruébalo antes de volver a abrirlo. Nuestro detector evalúa señales de alarma; no revoca permisos ni certifica que tu wallet esté limpia. Comprobar el mensaje o enlace sospechoso

¿Ya ha pasado? Primeros pasos

No envíes más fondos ni firmes nada nuevo.
Guarda el hash, las direcciones y capturas del chat.
Denúncialo hoy por canales oficiales; nunca pagues a «recuperadores».

Dónde denunciar un robo de cripto

Preguntas frecuentes

¿Desconectar MetaMask de una web elimina los permisos?

No. Desconectar corta la conexión de la web con la interfaz de tu wallet. Un permiso de gasto guardado en la blockchain sigue activo hasta que lo revocas o cambia en la red.

¿Una aprobación puede robar ETH además de tokens?

Un límite ERC-20 normal se aplica a ese token, no al ETH nativo. Wrapped ETH (WETH) es un token y puede tener permisos. Las transferencias de moneda nativa, las claves expuestas y las delegaciones de cuenta son riesgos distintos; revocar un token no los resuelve.

¿Un saldo de tokens en cero permite ignorar un permiso ilimitado?

No. El permiso puede seguir activo aunque el saldo sea cero. Depósitos posteriores del mismo token en la misma cuenta y red pueden quedar al alcance de la dirección autorizada.

¿Revocar un permiso NFT borra mis NFT o desbloquea activos en staking?

No. Revocar cambia quién puede transferir; no quema NFT ni retira activos de un contrato de staking, préstamo o bóveda. Esas posiciones requieren el procedimiento de retirada del protocolo. Un marketplace puede pedir otra aprobación antes de una venta posterior.

¿Qué hago si falla la transacción de revocación?

No la des por completada. Revisa el motivo del fallo, la cuenta, la red y el saldo de moneda nativa en tu wallet y el explorador. Recarga el estado del permiso antes de reintentar. Si las comisiones son anormalmente altas o el token se comporta de forma extraña, para y consulta al soporte oficial en vez de firmar repetidamente.

¿Una lista vacía de aprobaciones prueba que mi wallet es segura?

No. Puedes estar mirando otra cuenta o red, la cobertura de datos puede ser incompleta y las firmas sin usar o los permisos de cuenta pueden no figurar. Tampoco demuestra que tu frase de recuperación siga siendo privada.

¿Este procedimiento sirve para wallets de Bitcoin o Solana?

No. Estas instrucciones describen permisos de tokens y NFT en redes EVM. Bitcoin no utiliza límites ERC-20 y Solana usa mecanismos diferentes. No sigas una solicitud de revocación EVM como supuesta solución para esas redes.

Caso relacionado: Operation Atlantic y phishing de aprobaciones.

Caso relacionado: Delegación EIP-7702 y riesgos de vaciado de billeteras.

Sigue leyendo

Fuentes

How to revoke token approvals (Revoke.cash)
Approval, NFT, gas and coverage FAQ (Revoke.cash)
What to do when scammed (Revoke.cash)
What are EIP-2612 Permit signatures? (Revoke.cash)
What is Permit2? (Revoke.cash)
ERC-20 token standard: approve and allowance (Ethereum Improvement Proposals)
ERC-721 NFT standard: operator and individual approvals (Ethereum Improvement Proposals)
ERC-1155 multi-token standard: operator approvals (Ethereum Improvement Proposals)

¿Recibiste un mensaje o enlace sospechoso? Pégalo en el detector gratis.

Abrir detector

Solo información educativa — no es asesoramiento financiero ni legal.