Phishing de aprobación y trampas de firma
No quieren tus claves. Quieren tu permiso: concedido una vez, usado para siempre.
El phishing de aprobación es el robo educado. Nadie fuerza nada. Te piden, con lenguaje de trámite, que concedas a un contrato permiso sobre un saldo — y el contrato lo ejerce cuando le conviene.
Funciona porque las aprobaciones son invisibles después. La billetera muestra una transacción exitosa, el saldo sigue ahí, y el drenaje llega días más tarde, cuando nadie mira la pantalla.
Casos documentados en detalle
El lado de los kits alquilados está documentado en nuestra investigación sobre los drenadores de billeteras y el phishing de aprobación con trampas de firma Permit2 — trampas Permit2, firma a ciegas y una suscripción de Telegram de $1.500 al mes.
Para el lado policial del mismo abuso de firmas, lee Operación Atlántico, la red de phishing por aprobación desmantelada tras meses de robo de allowances y cómo se recolectaron las aprobaciones a escala.
La versión con cebo de recompensa está desglosada en las campañas de phishing con airdrops falsos que robaron $100M a 18.200 billeteras — 47 campañas, kits drainer de $400 y una sola firma maliciosa por víctima.
El catálogo completo de estafas con billeteras falsas — extensiones clonadas de MetaMask, hardware precargado, trampas de firma — está en nuestro desglose de estafas con billeteras cripto y cómo roban de verdad la frase semilla con los pasos a seguir si ya firmaste.
Cómo funciona
El pretexto
Una alerta de seguridad, un aviso de migración, un airdrop, una llamada de soporte. Cualquier cosa que haga que firmar parezca lo prudente.
La firma
Una autorización ilimitada, un blob de Permit2 o setApprovalForAll sobre una colección. Solo es legible si la billetera lo decodifica, y muchas no lo hacen.
La espera
El drenador espera. El tiempo entre la firma y el robo rompe la conexión mental entre ambos hechos.
Investigaciones de este vector
Drenadores de Billeteras y Phishing de Aprobación
Datos de ScamSniffer: $494M en 2024, $83,85M en 2025 por phishing de aprobación y firmas Permit. Qué está confirmado.
Leer la investigaciónOperación Atlantic: Estafa $83M Que 3 Países Combaten
142 sitios DeFi clonados. 14,847 billeteras drenadas. $83M robados con un botón 'Aprobar'. 3 gobiernos. 6 arrestos. 94% de fondos irrecuperables.
Leer la investigaciónEstafa Telefónica Binance: Alertas SMS Que Roban Todo
Estafadores envían alertas SMS falsas de Binance para robar crypto. Cómo identificar llamadas fraudulentas de soporte técnico y proteger tu cuenta.
Leer la investigaciónCartas Falsas del CEO de Ledger: Wallets Falsificadas
¿Carta del 'CEO de Ledger' con código QR y hardware wallet nuevo? Es falso. La frase semilla precargada drena tus fondos al instante.
Leer la investigaciónSeñales de alerta
- Una firma que concede una autorización en lugar de mover un importe fijo.
- La billetera no puede decodificar lo que firmas y muestra hex en crudo.
- Urgencia disfrazada de seguridad: 'migra ya', 'verifica para proteger tus fondos'.
- Contacto entrante: una llamada, DM o email que tú no iniciaste.
- La página de reclamo exige una aprobación antes de mostrarte nada.
Si ya te ocurrió
- 1.Revoca la aprobación de inmediato; hacerlo tras el drenaje evita el siguiente.
- 2.Revisa el resto de aprobaciones de esa dirección: los kits piden varias.
- 3.Mueve el saldo restante a una dirección nueva en lugar de confiar en la 'limpia'.
- 4.Guarda el hash de la firma: identifica el kit de drenaje, y los kits se atribuyen.
Vocabulario relacionado
¿Tienes un mensaje, enlace o token sospechoso?
Pégalo en el detector gratuito. Sin registro, sin coste, respuesta en segundos.