Si llevas tiempo en cripto, seguramente has visto aparecer el aviso de “aprobar” una transacción casi tantas veces como el botón de “confirmar”. Y aunque parece un paso inocente, en realidad es una de las partes más delicadas de usar wallets en DeFi y en muchas dApps.

El problema es que, al dar un approval, no siempre estás haciendo una simple firma de cortesía. En muchos casos estás concediendo permiso a un contrato para mover tus tokens con determinadas condiciones. Si ese permiso es demasiado amplio, si el contrato es malicioso o si acabas interactuando con una web falsa, ese pequeño clic puede convertirse en la puerta de entrada a un vaciado completo de tu wallet.

Por eso entender qué son los approvals no es un tema técnico solo para desarrolladores. Es, literalmente, una de las bases para usar cripto con más seguridad. Porque en este ecosistema, no siempre te vacían por “hackearte” el wallet, a veces basta con que hayas dado permiso una vez y te hayas olvidado de él.

¿Cómo funcionan los approvals?

En el mundo cripto, un approval es un permiso que le das a un smart contract para que pueda usar un token concreto en tu nombre, dentro de los límites que autorices. No estás entregando todo tu wallet, pero sí estás dejando que una dApp o protocolo pueda mover ese activo sin pedirte confirmación en cada paso.

Esto es lo que hace posible usar DeFi con cierta fluidez: primero apruebas, y después el contrato puede ejecutar funciones como intercambiar, depositar o retirar tokens mediante mecanismos como transferFrom. En otras palabras, el approval no necesita fondos por sí solo, pero sí abre la puerta para que el contrato actúe con ellos más adelante.

El problema aparece cuando ese permiso es demasiado amplio, se deja activo durante demasiado tiempo o se concede a un contrato falso o comprometido. Por eso muchas dApps piden aprobaciones ilimitadas por comodidad. Así te ahorran pasos, pero también pueden convertir un simple permiso olvidado en un riesgo serio para tus fondos.

De forma muy resumida, piensa en los approvals así:

• Qué son: permisos on-chain para que un contrato use tus tokens.
• Cómo funcionan: tú autorizas un token y una cantidad. El contrato puede gastar dentro de ese límite.
• Dónde está el riesgo: en permisos ilimitados, contratos maliciosos o approvals antiguos que no revocas.

¿Por qué pueden vaciarte el wallet?

Un approval por sí solo no roba fondos en ese instante. El peligro real viene cuando has dado permiso a un contrato para mover tus tokens y ese permiso queda abierto demasiado tiempo o es muy amplio. En ese escenario, si el contrato está comprometido o simplemente era una web falsa, el atacante puede ejecutar el movimiento de tokens después, sin necesitar tu seed phrase.

La estafa suele empezar de forma muy normal. Entras en una dApp clonada, reclamas un supuesto airdrop o conectas tu wallet a un sitio que parece legítimo, y ahí aceptas una aprobación que en realidad autoriza a un tercero a gastar tus activos. Lo más peligroso es que muchas veces no ves una pérdida inmediata, así que el wallet parece intacto y el vaciado llega más tarde, cuando el atacante activa el permiso.

Esto se vuelve especialmente grave con las aprobaciones ilimitadas, porque el contrato no queda limitado a una cantidad pequeña, sino que puede mover todo el saldo disponible de ese token mientras el permiso siga activo. Por eso estas estafas no dependen de “hackear” tu wallet en el sentido clásico, sino que aprovechan un acceso que tú mismo concediste antes.

¿Cómo revisar y revocar approvals?

Aquí sería importante hablar de prevención práctica. Lo primero y fundamental es revisar qué permisos tiene hoy tu wallet y quitar los que ya no necesitas. Lo ideal es hacerlo cada cierto tiempo, sobre todo si usas muchas dApps, exploradores de airdrops o plataformas DeFi distintas. Los approvals no desaparecen solos. Si no los revocas, pueden seguir activos aunque ya no uses esa aplicación.

Lo normal es que puedas ver tus permisos desde herramientas de gestión de approvals o desde la propia interfaz de algunos wallets. La lógica es siempre la misma. Primero conectas la dirección, revisas qué contratos tienen permiso para gastar cada token y compruebas si el límite es razonable o es demasiado. Si aparece una aprobación que no recuerdas, o una dApp que ya no usas, cancélala cuanto antes.

Es importante que sepas que revocar suele implicar una transacción en la red, así que hay un pequeño coste de gas. Aun así, vale la pena, porque estás cerrando accesos que podrían usarse después sin que te enteres. Es mejor pagar una comisión preventiva que tener una pérdida mucho mayor por haberte olvidado de un permiso.

Buenas prácticas para no exponerte

Para no exponerte de más, piensa en tratar los approvals como permisos reales, no como un paso automático. Te dejo por aquí algunos pasos para que te sea más fácil:

• Aprueba solo lo necesario. Si la app te deja elegir una cantidad concreta, mejor eso que un permiso ilimitado.
• Desconfía de sitios nuevos o clonados. Antes de firmar, verifica que la web sea la oficial y que el contrato tenga sentido.
• Revoca permisos que ya no uses. Si una dApp fue para uso puntual o ya no la utilizas, quita siempre el acceso.
• Separa wallets por uso. Uno para pruebas y otro para guardar fondos ayuda a reducir daños si algo sale mal.
• Revisa approvals frecuentemente. Especialmente si interactúas a menudo con DeFi, airdrops o plataformas nuevas.

Ejemplo práctico de un vaciado por approval

Para que veas que no es algo aislado y que de verdad pasa, un caso muy conocido ocurrió en Ethereum en julio de 2026. Un usuario perdió casi 1 millón de dólares en USDT después de firmar una solicitud de aprobación de token maliciosa. Scam Sniffer hizo un seguimiento que después publicó, donde lo explica. 

El ataque aprovechó una firma de aprobación fraudulenta que dejó un permiso activo sobre los fondos, y movieron después los USDT en varias transacciones en un instante. 

Lo importante aquí es que la víctima no “entregó” la seed phrase ni se la hackearon en el sentido clásico. Lo que pasó fue más sutil. Al firmar la aprobación, autorizó a un contrato o dirección a actuar sobre ese token, y ese permiso fue suficiente para vaciar la posición más tarde.

En este tipo de casos, el patrón suele ser muy parecido:

• El usuario entra en una web falsa o en una interfaz que parece legítima.
• Firma una aprobación o autorización pensando que está haciendo otra cosa.
• El permiso queda activo sobre un token concreto.
• El atacante usa ese acceso para transferir los fondos sin pedir una nueva firma.

Este ejemplo sirve muy bien para entender por qué los approvals son peligrosos cuando no se revisan con cuidado. No hace falta que la blockchain falle. Basta con que tú autorices un movimiento que parecía inocente, pero que en realidad daba demasiado poder a un tercero.

Si te das cuenta, el problema en sí no son los approvals, ellos te solucionan muchos procesos. El peligro está en cómo tú los uses.