Drenadores de Billeteras y Phishing de Aprobación: Qué Dicen los Datos
$494 millones en 2024. $83,85 millones en 2025. El mismo truco, otro año: una firma que no sabías que habías firmado.
Los "drenadores de billeteras" (wallet drainers) son kits de phishing listos para usar que engañan a la víctima para que firme un mensaje o una aprobación on-chain, y luego mueven los tokens robados de forma automática. No son una sola banda con nombre propio — ScamSniffer registró una caída de $494 millones en 332.000 direcciones en 2024 a $83,85 millones en 106.106 víctimas en 2025, mientras Chainalysis documenta cómo se construye y se desmantela el "phishing de aprobación". Esta página recoge solo lo que está confirmado, por quién, y qué puedes hacer al respecto.
Actualización del expediente
Se eliminaron las cifras no verificadas de 'Phantom Drainer' ($50M, 31.500 billeteras); la página fue reescrita a partir de datos de ScamSniffer y Chainalysis.
El Esquema: Phishing de Aprobación y Permit
Chainalysis define el phishing de aprobación como engañar al titular de una billetera para que firme una transacción o un mensaje off-chain que otorga a un contrato del estafador permiso para mover sus tokens — en lugar de robar directamente una clave privada. Buena parte de las mayores pérdidas de 2025 usó el estándar de firma "Permit" / "Permit2", que permite a un spender mover tokens con una firma off-chain sin gas, en lugar de una aprobación visible on-chain. El informe 2025 de ScamSniffer sitúa las firmas tipo Permit en alrededor del 38% de los casos de pérdidas grandes.
Sin comisión de gas. Sin aprobación on-chain. Solo una firma — y con ella, las llaves de lo que cubra.
La Dura Realidad: Las Pérdidas Bajan, No Desaparecen
El informe 2024 de ScamSniffer registró $494 millones robados de unas 332.000 direcciones, con la mayor pérdida individual — $55,48 millones en agosto de 2024 — resultado de un ataque basado en firma. Los servicios drainer-como-servicio nombrados ese año, según ScamSniffer, incluyeron Angel, Pink e Inferno.
Según el informe 2025 de ScamSniffer (publicado el 3 de enero de 2026), las pérdidas totales por phishing cayeron un 83% interanual, hasta $83,85 millones en 106.106 víctimas — pero el caso individual más grande, $6,5 millones, fue de nuevo una firma Permit. Menos víctimas perdieron menos dinero en total, pero una sola firma mal dada todavía puede costar millones.
El caso de estudio de Chainalysis "Operation Atlantic" describe un esfuerzo policial que congeló $12 millones y rastreó $45 millones vinculados a operaciones de phishing de aprobación que afectaron a más de 20.000 víctimas — prueba de que estos esquemas son lo bastante grandes, y rastreables, como para justificar operativos internacionales.
La economía de los drainers se redujo en 2025. No desapareció.
La Anatomía: Cómo Funcionan Realmente los Kits Drainer
El explicador de Chainalysis "Understanding Crypto Drainers" y la investigación "Drainware" de TRM Labs (2023) describen el mismo modelo básico: un desarrollador construye contratos drainer y plantillas de sitios de phishing, y luego los alquila o licencia a operadores con menos conocimientos técnicos que ejecutan las campañas. Los servicios de 2024 que nombró ScamSniffer — Angel, Pink, Inferno — encajan en este patrón de infraestructura drainer productizada y reutilizable.
La mecánica del lado de la víctima es simple: un sitio clonado o falso pide una firma de billetera, a menudo presentada como una acción de "conectar", "verificar" o "reclamar" que parece gratuita porque no requiere gas. Si la víctima firma, el contrato del atacante obtiene un permiso permanente (una aprobación) o una firma Permit con plazo limitado que puede ejecutar cuando quiera — a veces de inmediato, a veces más tarde.
La propia documentación de ayuda de MetaMask sobre "signature phishing" confirma que esta es una categoría de ataque conocida y con nombre, lo bastante seria como para que el propio fabricante de la billetera publique guías para usuarios — no la invención de un único operador o kit.
No es un kit, ni una banda, ni una cifra única. Es una categoría de ataque que se reconstruye una y otra vez.
Vocabulario Decodificado: El Diccionario del Phishing de Aprobación
Estos son los términos que realmente aparecen en la investigación — no nombres comerciales de un único grupo criminal:
"Phishing de Aprobación" (Approval Phishing)
Lo que parece:
Una solicitud de permiso, como autorizar a una app a leer tu correo.
Lo que dice Chainalysis que realmente es:
Engañar al titular de una billetera para que firme una transacción o mensaje que permite al contrato de un estafador mover sus tokens, en lugar de robar directamente una clave privada. Es el nombre formal que usa Chainalysis para toda esta categoría de robo.
"Firma Permit / Permit2"
Qué es legítimamente:
Un estándar de firma off-chain sin gas que permite a un usuario autorizar a un spender a mover tokens específicos, usado en buena parte del DeFi moderno para ahorrar gas y clics.
Por qué es el vector de ataque preferido:
Los datos 2025 de ScamSniffer sitúan a las firmas tipo Permit detrás de alrededor del 38% de los casos de pérdidas grandes, incluida la mayor pérdida individual del año ($6,5 millones). Al ser una firma y no una transacción on-chain, puede parecer un simple "inicio de sesión" inofensivo.
"Drainer-as-a-Service"
Lo que parece:
Un modelo de alquiler de software criminal — se construye una vez y se licencia a muchos operadores.
Lo que documenta la investigación:
Chainalysis y TRM Labs describen kits drainer construidos por un grupo y operados por otros; el informe 2024 de ScamSniffer nombra a Angel, Pink e Inferno como servicios drainer activos ese año. Ningún servicio nombrado concreto está confirmado como responsable de todas las pérdidas por drainers.
"Address Poisoning" (un ataque distinto)
Qué es:
Enviar transacciones de valor pequeño o cero desde una dirección muy parecida a otra, para que aparezca en el historial de la víctima, con la esperanza de que más tarde copie la dirección equivocada.
Por qué importa aquí:
Una pérdida de $50 millones en USDT ampliamente reportada en diciembre de 2025 fue address poisoning — un error de copiar y pegar — no un ataque drainer basado en firma. Es una amenaza relacionada pero distinta, y no debe confundirse con la anterior.
"Blind Signing" (Firma a Ciegas)
Qué significa en hardware wallets:
Cuando un dispositivo solo puede mostrar datos de transacción en bruto en lugar de un resumen legible, porque la app de la billetera no puede decodificarlos.
Por qué importa para defenderse de los drainers:
La guía de MetaMask sobre signature phishing y las buenas prácticas de seguridad en billeteras recomiendan evitar firmar cualquier cosa que no puedas leer en lenguaje claro — el objetivo de un ataque tipo Permit es precisamente que la solicitud parezca inofensiva.
Cinco términos. Un mismo patrón: una firma que no parece una transacción, pero mueve dinero como si lo fuera.
Cómo Funcionó una Campaña Drainer Documentada: CLINKSINK
Google Cloud / Mandiant documentó una campaña real y con nombre en enero de 2024 — no un caso hipotético:
Fase 1: El Cebo
El informe de Mandiant sobre CLINKSINK (10 de enero de 2024) describe campañas drainer que usaron un falso airdrop de la billetera Phantom como cebo — suplantando la marca de esta popular billetera de Solana para atraer a los objetivos a un sitio de phishing.
"Phantom" aquí es la billetera legítima de Solana que se suplanta — no el nombre de un kit drainer.
Fase 2: La Solicitud de Conexión
Se pedía a las víctimas conectar su billetera de Solana para reclamar el falso airdrop, un gancho de ingeniería social estándar usado en muchas campañas drainer, no exclusivo de esta.
Un airdrop que pide firmar algo antes de recibir nada es el patrón a vigilar.
Fase 3: La Firma
Una vez conectada la billetera, el sitio solicitaba una firma que autorizaba la transferencia de los activos de la víctima, coherente con el patrón más amplio de phishing de aprobación/Permit que documenta Chainalysis.
No hace falta una pantalla aparte de "aprobación on-chain" si una sola firma ya concede el acceso.
Fase 4: El Drenaje
Mandiant estimó que las campañas CLINKSINK fueron responsables de al menos $900.000 en activos de Solana robados, según su informe de enero de 2024.
Esa cifra es el mínimo documentado por Mandiant para esta campaña concreta — no un total de toda la industria.
Fase 5: Contexto — el Panorama General
CLINKSINK es una campaña documentada entre muchas. Los informes anuales de ScamSniffer sitúan las pérdidas totales por drainers de billeteras en $494 millones en 2024 y $83,85 millones en 2025, en cientos de miles de víctimas — las pérdidas reportadas de CLINKSINK son una fracción pequeña de ese total.
Ninguna campaña o kit único explica el total anual completo; son muchos operadores usando las mismas técnicas.
Patrones de Cebo Documentados (No Mensajes Literales)
En lugar de guiones de estafa inventados, estos son patrones de cebo confirmados en la investigación citada:
Un sitio que suplanta la marca de una billetera (como en las campañas CLINKSINK documentadas por Mandiant) invita al objetivo a "reclamar" tokens conectando una billetera y firmando un mensaje.
Un airdrop al que no te apuntaste, que pide una firma antes de pagar nada, es el gancho clásico de un drainer.
El informe de Mandiant sobre CLINKSINK documenta exactamente este patrón usando un falso airdrop de la billetera Phantom como cebo, con al menos $900.000 en activos robados según los datos de enero de 2024.
Un frontend DeFi clonado pide al usuario "iniciar sesión" o "verificar" su billetera mediante una firma sin gas, en lugar de un apretón de manos normal de conexión de billetera.
Un inicio de sesión real en una dApp nunca necesita una firma tipo Permit que conceda derechos de gasto.
La propia documentación de ayuda de MetaMask sobre "signature phishing" existe específicamente para advertir a los usuarios de esta categoría de solicitud.
Una dirección muy parecida aparece en el historial de la billetera de la víctima tras recibir una transferencia de valor pequeño o cero, con la esperanza de que la víctima la copie por error al enviar fondos.
Esto no es un ataque drainer de phishing por firma — explota el hábito de copiar y pegar, no las firmas de billetera.
Cointelegraph informó de una pérdida muy comentada de $50 millones en USDT en diciembre de 2025, causada exactamente por este tipo de error de copiar y pegar en una estafa de address poisoning — un mecanismo distinto al phishing de aprobación/Permit.
Señales de Alerta: Indicios de una Página de Phishing de Aprobación
Si una firma no cuesta gas y regala algo gratis, léela dos veces antes de firmar.
Los Números: Lo que Está Realmente Confirmado
$494M robados en 2024
Informe 2024 de ScamSniffer: unas 332.000 direcciones afectadas; la mayor pérdida individual fue de $55,48 millones en agosto de 2024, un ataque basado en firma. Los servicios drainer nombrados ese año incluyeron Angel, Pink e Inferno.
$83,85M robados en 2025
Informe 2025 de ScamSniffer (3 de enero de 2026): una caída del 83% interanual, en 106.106 víctimas. El caso individual más grande fue de $6,5 millones, vía una firma Permit. Las firmas Permit/Permit2 estuvieron detrás de aproximadamente el 38% de los casos de pérdidas grandes.
$12M congelados, $45M rastreados
El caso de estudio de Chainalysis "Operation Atlantic": un esfuerzo de desarticulación contra operaciones de phishing de aprobación que afectaron a más de 20.000 víctimas.
$900K+ en una campaña documentada
El informe de Mandiant sobre CLINKSINK (10 de enero de 2024): al menos $900.000 robados mediante un falso airdrop de la billetera Phantom dirigido a usuarios de Solana — una campaña entre muchas, no un total de la industria.
¿Confundido por la Jerga?
Explora nuestro glosario de 301 términos de estafas crypto con ejemplos reales.
Por Qué la Gente Firma
La investigación señala algunas razones recurrentes por las que usuarios experimentados siguen cayendo en estas solicitudes:
Fatiga de Firmas
Los usuarios activos de DeFi firman muchos mensajes de billetera de forma rutinaria. Una solicitud Permit maliciosa puede ser idéntica a una docena de solicitudes legítimas anteriores.
El Punto Ciego de Permit
La mayoría asocia el riesgo con transacciones on-chain que muestran una comisión de gas y una dirección de contrato. Una firma Permit no muestra ninguna de las dos cosas, así que no se percibe como una transacción — y aun así, según ScamSniffer, está detrás de la mayor pérdida individual en los informes de 2024 y 2025.
Urgencia y Escasez
Los falsos airdrops y el encuadre de "reclama antes de que expire" — el patrón que documentó Mandiant en las campañas CLINKSINK — empujan a los objetivos a firmar rápido en lugar de leer la solicitud.
Confianza en la Marca
Suplantar una marca de billetera de confianza (como hizo CLINKSINK con Phantom) o un protocolo de confianza baja la guardia del objetivo antes de que aparezca siquiera la solicitud de firma.
El mejor phishing no parece phishing. Parece un aviso normal de la billetera.
¿Qué Es el Phishing de Aprobación? Explicación Sencilla
Chainalysis divide la mecánica en unas pocas partes simples:
La Solicitud
Una página o mensaje de phishing pide al objetivo firmar una transacción o un mensaje off-chain — a menudo disfrazado de una acción gratuita de "reclamar", "verificar" o "conectar".
La Concesión
Si el objetivo firma, el contrato del estafador recibe una aprobación o una autorización tipo Permit para mover tokens específicos — a veces sin límite de gasto.
La Ejecución
El estafador ejecuta la transferencia cuando elige, lo que puede ser inmediato o diferido, dificultando que la víctima relacione la pérdida con la firma original.
La Escala
El caso Operation Atlantic de Chainalysis muestra este patrón operando a escala — $45 millones rastreados y más de 20.000 víctimas vinculadas a un solo esfuerzo de desarticulación.
No es un hackeo de la blockchain. Es un hackeo de la atención.
Protección: Reglas Que Frenan el Phishing de Aprobación
Estas reglas cierran las puertas de las que dependen el phishing de aprobación y Permit.
- Nunca firmes un mensaje Permit "sin gas" que no iniciaste tú deliberadamente.
Si un sitio te pide "iniciar sesión" o "verificar" tu billetera, trátalo como una solicitud de autoridad de gasto, no como un login — según la propia guía de MetaMask sobre signature phishing.
- Evita firmar a ciegas transacciones que tu hardware wallet no pueda decodificar.
Si tu dispositivo solo puede mostrar hex en bruto para una firma solicitada, esa es razón para detenerte, no para continuar.
- Marca en favoritos los sitios DeFi y billeteras que realmente usas.
Evita hacer clic en anuncios o enlaces no solicitados; usa favoritos verificados, especialmente para inicios de sesión de billetera o protocolo.
- Usa una billetera separada y con saldo bajo para sitios desconocidos.
Mantén la mayor parte de tus fondos en una billetera que nunca conectes a dApps nuevas o desconocidas.
- Revisa y revoca periódicamente aprobaciones de tokens y firmas Permit antiguas.
Las concesiones de aprobación y Permit pueden quedar sin usar durante meses; revisarlas regularmente limita lo que una firma antigua y olvidada todavía puede autorizar.
- Verifica las direcciones de destino con más que un vistazo, cada vez.
El address poisoning — como la pérdida de $50 millones en USDT reportada por Cointelegraph en diciembre de 2025 — depende de un copiar y pegar apresurado. Confirma la dirección completa, no solo los primeros y últimos caracteres.
- Trata los mensajes no solicitados de "soporte" o "airdrop" como ataques por defecto.
La investigación de Mandiant sobre CLINKSINK muestra que un falso cebo de airdrop por sí solo provocó al menos $900.000 en pérdidas; los proyectos legítimos rara vez te escriben primero con un enlace de reclamo.
Qué Hacer Ahora Mismo
Unos minutos de revisión cierran la mayoría de las puertas descritas arriba.
Revisa y revoca aprobaciones de tokens y firmas Permit sin usar
Usa una herramienta de verificación de aprobaciones de confianza conectada a tu billetera para ver qué has autorizado, y revoca lo que no reconozcas o ya no uses.
Revisa la configuración de firma de tu hardware wallet
Si tu dispositivo admite un modo de firma más estricto o "clear signing", actívalo para que las solicitudes en hex ilegible se marquen en lugar de aprobarse en silencio.
Marca en favoritos los protocolos y billeteras que usas, y deja de hacer clic en anuncios
Tanto Mandiant como Chainalysis documentan los falsos airdrops y los anuncios como puntos de entrada comunes; los favoritos eliminan esa superficie de ataque.
Unos minutos de revisión hoy. O una firma que no podrás deshacer mañana.
¿Recibiste un Mensaje Sospechoso?
Usa nuestro detector con IA para analizar posibles estafas al instante.
Conclusiones Clave
- 1.Los drenadores de billeteras son una categoría de ataque de phishing, no un único grupo con nombre — ScamSniffer registró $494M robados en 2024 y $83,85M en 2025.
- 2.Las firmas Permit y Permit2 estuvieron detrás de la mayor pérdida individual en los informes de ambos años, y de aproximadamente el 38% de las grandes pérdidas de 2025.
- 3.Operation Atlantic de Chainalysis muestra la escala de desarticulación posible: $12M congelados, $45M rastreados, más de 20.000 víctimas.
- 4.Mandiant documentó una campaña real (CLINKSINK) que usó un falso airdrop de la billetera Phantom como cebo, con al menos $900.000 robados.
- 5.Una pérdida distinta y muy comentada de $50M en USDT en diciembre de 2025 fue address poisoning, no un ataque drainer por firma — no deben confundirse.
- 6.Revisar y revocar aprobaciones antiguas, evitar firmar a ciegas y marcar en favoritos los sitios reales cierra la mayoría de estas rutas de ataque.
“No entraron a la fuerza.”
Firmaste algo que no leíste. Ese es todo el ataque.
Preguntas Frecuentes
Fuentes y Citas
Investigación compilada de datos de blockchain disponibles públicamente, informes de seguridad y documentación de la comunidad.
ScamSniffer · 3 ene 2026
página índiceScamSniffer · 3 ene 2026
ScamSniffer · 3 ene 2025
página índiceScamSniffer · 3 ene 2025
Chainalysis · 17 jun 2026
Chainalysis · 17 jun 2026
Google Cloud / Mandiant · 10 ene 2024
Google Cloud / Mandiant · 10 ene 2024
Cointelegraph · 20 dic 2025
Cointelegraph · 20 dic 2025
MetaMask Help Center · Fecha no publicada o no verificada
MetaMask Help Center · Fecha no publicada o no verificada
TRM Labs · 19 ene 2023
TRM Labs · 19 ene 2023
Verificación: Referencias on-chain: no se publican para este caso.
Metodología: Cada caso requiere al menos dos fuentes independientes antes de publicarse, más evidencia on-chain verificable cuando existe un rastro público. Estándares completos: /es/methodology
Aviso legal: Esta evaluación se basa en datos disponibles públicamente, incluidos registros on-chain, comunicados oficiales e incidentes documentados. Es un análisis periodístico y educativo, no asesoramiento legal, una acusación de conducta delictiva ni una resolución judicial. Las empresas, proyectos, dominios, carteras y personas nombradas se describen según las fuentes citadas; una empresa puede aparecer porque fue suplantada por estafadores, no porque hiciera algo indebido. Si crees que algo es inexacto o está desactualizado, escribe a cryptostrapon@pm.me y lo corregiremos registrando el cambio. Política editorial