Paso 1: hacer un inventario

Curiosidad

1. ¿Cómo puede una firma de permiso olvidada otorgar a un atacante acceso a los activos sin revelar nunca la clave privada?
2. ¿Por qué se requiere pagar una tarifa de red para revocar las autorizaciones de tokens no utilizados si en realidad no se transfieren tokens durante el proceso?
3. ¿Cuál es la diferencia entre tener un activo empaquetado en una cadena y tener la moneda nativa que lo respalda?

Explorar

1. Antes de consolidar los activos, cada ubicación donde se encuentra el valor requiere documentación. Esto incluye cuentas de intercambio centralizadas, aplicaciones de billetera con autogestión, tokens en diferentes cadenas, posiciones de staking activas, participaciones en pools de liquidez, solicitudes de airdrop pendientes y todas las frases de seed en uso. Un inventario completo muestra no solo el saldo, sino también la estructura de control: qué claves albergan qué activos y dónde se encuentran esas claves. Sin este mapa, los pasos siguientes pueden hacer que el valor quede atrapado o exponerlo a riesgos innecesarios.
2. En las cadenas de estilo Ethereum, las aprobaciones de tokens representan un vector de seguridad crítico. Al interactuar con aplicaciones descentralizadas, los usuarios firman transacciones de aprobación ERC-20 que otorgan a los contratos inteligentes permiso para gastar tokens específicos en su nombre. Estos permisos persisten hasta que se revocan explícitamente. Si un usuario aprueba un contrato para una interacción inicial y nunca vuelve para revocarlo, el contrato conserva un poder de gasto ilimitado o elevado sobre esos activos. Un contrato comprometido o malicioso puede entonces agotar el saldo sin necesidad de ninguna otra interacción por parte del usuario.
3. Las herramientas de verificación de autorizaciones, como la herramienta de autorización de tokens de Etherscan, permiten a los usuarios conectar su billetera y ver todas las autorizaciones activas. Revocar una autorización que no se está utilizando es una transacción que implica costos por gas, pero elimina un posible vector de ataque. El compromiso es claro: pagar una pequeña tarifa ahora evita el riesgo de perder un valor significativo más adelante. Las autorizaciones que respaldan posiciones aún en uso son útiles; las autorizaciones obsoletas dejadas por aplicaciones abandonadas no sirven para nada.
4. Los activos envueltos y enlazados introducen una complejidad adicional, ya que representan reclamos sobre la custodia de otra persona o sobre infraestructura de enlace, en lugar de ser monedas nativas. Un token envuelto en Ethereum representa un reclamo sobre Bitcoin que está en poder de un custodio; un activo enlazado en otra cadena es un reclamo sobre el activo original bloqueado en un contrato. Estos mecanismos de envoltura dependen de la solvencia y honestidad de los intermediarios. En un inventario, es esencial indicar qué activos son nativos y cuáles son reclamos derivados, ya que sus perfiles de seguridad difieren significativamente de poseer directamente la moneda subyacente.
5. En Solana, una cuenta de token SPL puede designar a un delegado autorizado para gastar hasta una cantidad determinada, y esa autorización persiste hasta que el propietario la revoca; algunas billeteras y exploradores muestran las delegaciones asignadas y permiten revocarlas. Los “drainers” de Solana suelen engañar a los usuarios para que firmen transacciones que transfieren tokens o ceden por completo la autoridad de una cuenta de token (lección 7.1.3); por lo tanto, es importante saber qué billeteras han firmado en nombre de qué aplicaciones.
6. El paso final en esta fase de inventario es una verificación concreta: abrir un comprobador de aprobaciones para cada dirección activa y escanear la lista. Cualquier contrato que actualmente no se utilice para staking, préstamos o operaciones comerciales activas debe marcarse para su revocación. Este proceso transforma una tenencia pasiva en una postura de seguridad gestionada activamente. El costo son las tarifas por gas por cada revocación; el beneficio es cerrar puertas abiertas que pueden ser explotadas sin necesidad de más interacción por parte del usuario.

Datos clave

Ejercicio nueve, seis, tres, uno

Verificación de hechos

Fechas, cifras y afirmaciones verificadas con las fuentes publicadas que se enumeran a continuación.

• Etherscan Token Approval Checker Documentation
• Solana Program Library, Token program documentation (Approve and Revoke instructions)
• ERC-20 Standard Specification: approve() and allowance() functions
• BitGo WBTC Documentation: Wrapped Bitcoin Custody Model