MSTR Cat

Derecho cripto/Nivel IV · Trampas para tenedores/4.2 Estafas ante la ley/Lección 3

Estafas de vaciado de billeteras y de aprobación

Cómo la firma que das a un sitio web puede permitir que otra persona vacíe tu billetera, qué permiten realmente los estándares de tokens y cuál es la situación legal cuando el consentimiento se obtuvo mediante engaño.

Esto es educación, no asesoramiento legal, fiscal ni de inversión. El derecho cripto varía entre países y estados, y cambia con frecuencia. Antes de actuar, verifica las normas vigentes donde vives con un abogado o asesor fiscal calificado.

La vía ligera

La ruta más barata, con menos impuestos, más sencilla y más privada que permite la ley, de mejor a peor. Cada paso indica la norma en que se apoya y la condición que la mantiene dentro de la ley.

  1. Primera línea gratuita: lee cada solicitud de firma, rechaza las aprobaciones ilimitadas y permite firmas solo en sitios a los que hayas accedido por mensaje, anuncio o airdrop; las aprobaciones ERC-20 y los permisos ERC-2612 siguen siendo utilizables hasta que se agoten, se revocen o caduquen.
  2. Revoca las aprobaciones obsoletas con el verificador de aprobaciones de tokens del explorador de bloques, como recomienda el FBI; cada revocación cuesta solo una tarifa de red y no puede deshacer un robo anterior.
  3. Mantén la mayoría de tus activos en una billetera separada que nunca se conecte a sitios web y usa una billetera con saldo bajo para las aplicaciones; las transferencias entre tus propias billeteras no están sujetas a impuestos en EE. UU., pero conserva los registros de base de costo de cada una.
  4. Tras un vaciado, registra los hashes e informa gratis de inmediato en ic3.gov, ya que los fondos que lleguen a un exchange o a un stablecoin congelable a veces pueden ser inmovilizados; escribir una frase en un sitio equivale a transferir todo a una billetera nueva.

MaterialesEl texto del estándar de tokens ERC-20, secciones sobre approve y transferFrom (eips.ethereum.org)ERC-2612, la extensión ‘permit’ que permite otorgar autorizaciones mediante un mensaje firmadoAnuncio de servicio público del FBI I-072122-PSA (21 de julio de 2022) sobre estafas de minería de liquidezComprobador de aprobaciones de tokens de un explorador de bloques, utilizado para ver las aprobaciones en su propia dirección.

Curiosidad

  1. ¿Cómo puede alguien vaciar mi billetera si nunca le di mi frase de semilla a nadie?
  2. ¿Qué es exactamente lo que estoy aceptando cuando un sitio web me pide que me conecte o me registre?
  3. Si yo mismo hago clic en ‘aprobar’, ¿sigue siendo robo a los ojos de la ley?

Explorar

  1. Un “drainer” de billeteras es un sitio web, aplicación o contrato inteligente malicioso que engaña al propietario de la billetera para que firme algo que permite al atacante mover sus activos. A diferencia de una frase de recuperación robada (lección 4.1.5), es la propia firma del propietario la que realiza la acción, por lo que la billetera considera el robo como algo autorizado. Conectar una billetera a un sitio web normalmente solo comparte su dirección pública; el peligro radica en las solicitudes de aprobación o firma que siguen. Los “drainers” aparecen a través de drops falsos, páginas falsas para crear monedas, sitios similares, anuncios de búsqueda y mensajes de “soporte” falsos (lección 4.2.4). Dado que el resultado es una transferencia ordinaria en la cadena de bloques, ningún operador puede revertirla (lección 1.1.6).
  2. La mecánica proviene de los estándares de tokens. La mayoría de los tokens en Ethereum y cadenas similares siguen el estándar ERC-20. Su función “approve” permite a un “gastador” retirar fondos de tu cuenta “varias veces, hasta” una cantidad que tú estableces, y “transferFrom” es la forma en que el gastador mueve esos tokens. Las bolsas descentralizadas y otras aplicaciones utilizan estas autorizaciones por razones legítimas, y muchas interfaces solicitan una cantidad muy grande o “ilimitada” por comodidad. Una autorización permanece vigente hasta que se agota o se modifica. Por lo tanto, una autorización otorgada a un contrato malicioso puede ser utilizada días o meses después para tomar todos los tokens de ese tipo, incluidos aquellos recibidos después de que firmaste la autorización.
  3. Dos características más recientes aumentan el riesgo. ERC-2612, un estándar final de Ethereum, añade una función de permiso que permite otorgar una autorización a través de un mensaje firmado en lugar de una transacción en la cadena; quien posea la firma puede presentarla antes de su fecha límite. Por lo tanto, una ventana emergente que parece decir “firma para iniciar sesión” o “firma para reclamar” puede ser en realidad un permiso, sin costo alguno ni transacción que te avise. En el caso de los NFTs, el estándar ERC-721 permite que un “operador” gestione todos los tokens de un propietario dentro de una colección. Algunos estafadores omiten por completo las autorizaciones y piden la frase secreta en un formulario falso, lo cual les permite tomar control de toda la billetera.
  4. El FBI ha documentado estos patrones. Su alerta de julio de 2022 sobre estafas de “minería de liquidez” describió a las víctimas a quienes se les prometía un retorno garantizado del 1 al 3 por ciento diario; estas personas vinculaban sus billeteras y aceptaban ventanas emergentes diseñadas para imitar la interfaz de su billetera, autorizando así sin saberlo a los estafadores a retirar cantidades ilimitadas; se calcularon pérdidas de más de 70 millones de dólares desde enero de 2019. Una alerta de junio de 2025 describió “airdrops” de NFT en la red Hedera, cuyos enlaces llevaban a sitios que solicitaban frases de semilla. Ambas alertas consideran estos casos como robos, y el FBI recomienda utilizar periódicamente un comprobador de permisos de tokens de terceros.
  5. Según la ley estadounidense, el permiso obtenido mediante engaño no constituye un consentimiento real. Un plan para obtener bienes por medio de falsedades a través de Internet se considera fraude telefónico según el artículo 18 U.S.C. §1343, lo que puede acarrear hasta 20 años de prisión; además, las leyes estatales sobre robo suelen aplicarse a los bienes obtenidos por engaño. Poder demandar o enjuiciar es algo distinto a recuperar los activos, ya que quienes realizan estos actos suelen ser anónimos y se encuentran en el extranjero. En cuanto a impuestos, el memorando del asesor principal del IRS 202511015 consideró las pérdidas causadas por phishing y cuentas hackeadas utilizadas con fines de inversión como pérdidas por robo deducibles; se refería a cuentas bancarias y de pensiones, por lo que su aplicación a una billetera vaciada depende de los hechos concretos.
  6. Verificaciones prácticas: lea qué autoriza realmente una solicitud de firma, incluyendo la dirección del destinatario y la cantidad; considere sospechosa cualquier solicitud que reciba a través de un mensaje, anuncio o airdrop; y revise y revoca las aprobaciones antiguas con una herramienta de verificación. La revocación en sí misma es una transacción que implica un costo de red, y no puede revertir un robo que ya haya ocurrido. Si alguna vez ingresó su frase de semilla en un sitio web, revocar las aprobaciones no es suficiente, porque toda la billetera queda expuesta. Después de un robo, registre los hashes y direcciones de las transacciones e informe de inmediato (lección 4.2.7), ya que los fondos que llegan a una exchange o a una stablecoin congelable a veces pueden ser congelados.

Datos clave

  • Bajo el estándar ERC-20, “approve” permite al gastador retirar fondos de una cuenta varias veces, hasta la cantidad aprobada.
  • La función transferFrom de ERC-20 permite a un gastador aprobado mover tokens en nombre del propietario.
  • ERC-2612 agrega una función de permiso que cambia los límites de tokens utilizando un mensaje firmado en lugar de una transacción en la cadena enviada por el propietario.
  • La función ERC-721 setApprovalForAll autoriza a un operador a gestionar todos los NFT del propietario en ese contrato.
  • Alerta del FBI I-072122-PSA: se han reportado pérdidas de más de 70 millones de dólares desde enero de 2019 debido a estafas de “mining de liquidez” que aprovecharon los permisos de las billeteras.
  • El fraude por medio de cables según el 18 U.S.C. §1343 se castiga con hasta 20 años de prisión, o hasta 30 años si afecta a una institución financiera.

Ejercicio nueve, seis, tres, uno

9ReunirEnumere hasta 9 tipos de solicitudes o indicaciones relacionadas con billeteras que haya visto, como conectarse, aprobar, autorizar, establecer la aprobación para todos, firmar un mensaje, ingresar una frase semilla o reclamar un airdrop.
6AgruparClásifícalos en 6 categorías: compartir una dirección, aprobaciones de tokens, mensajes firmados, aprobaciones de operadores de NFT, transferencias directas y solicitudes de claves o frases secretas.
3DestilarReduzca las 6 categorías a 3 niveles de riesgo: inofensivo por sí mismo, arriesgado si el sitio es malicioso, y nunca seguro para proporcionárselo a cualquier sitio web.
1CristalizarEscriba una oración describiendo qué le gustaría saber antes de firmar cualquier solicitud de aprobación en una billetera.

Verificación de hechos

Fechas, cifras y afirmaciones verificadas con las fuentes publicadas que se enumeran a continuación.

Abrir en la academia interactiva →

EN PT ZH JA KO RU DE FR MS