Cómo revisar y revocar permisos de tokens en tu billetera en 2027

Qué es un permiso de token

En Ethereum y redes similares, tokens como USDT, USDC o DAI viven dentro de contratos inteligentes. Para que un exchange, un puente u otro servicio basado en contratos inteligentes pueda tomar tokens de tu dirección, primero firmas un permiso (approve): dejas anotado en el contrato del token que cierta dirección puede gastar cierta cantidad de tus monedas.

Un permiso tiene tres propiedades por las que luego uno se arrepiente:

• No caduca. El registro sigue vigente hasta que lo cambies, aunque pasen tres años.
• Suele ser ilimitado. Los sitios piden permiso por la cantidad máxima posible para no volver a preguntar. La billetera lo muestra como "sin límite".
• No depende del sitio. El botón "desconectar sitio" de la billetera solo quita la conexión. El permiso está registrado en la blockchain y sigue en vigor.

Las monedas nativas de la red no tienen permisos: ETH, BTC o TRX no se pueden gastar con un approve ajeno. El riesgo afecta a los tokens: USDT en las redes Ethereum, TRON y BNB Chain, USDC, monedas envueltas, NFT.

Por qué son peligrosos los permisos antiguos

Mientras el permiso esté vigente, el contrato puede llevarse los tokens sin una nueva firma. De ahí salen dos escenarios de robo:

1. Tú mismo le firmaste el permiso a un estafador. Un sitio falso de reparto de tokens, una "verificación de billetera", un soporte falso. La firma parece inofensiva, pero da derecho a retirarlo todo.
2. Hackearon un servicio honesto. Alguna vez diste el permiso a un protocolo real, después encontraron una vulnerabilidad en su contrato y tus tokens se fueron junto con los de otros usuarios.

Una billetera de hardware aquí no protege: la firma la pusiste tú y, a partir de ahí, el contrato actúa sin ti. Tampoco ayuda una contraseña fuerte.

La magnitud se ve en los informes de Scam Sniffer. En 2025 se robaron unos 83,85 millones de dólares a 106.106 víctimas mediante firmas de phishing. Es un 83% menos que el año anterior, pero los robos grandes no han desaparecido: en los casos de más de 1 millón de dólares, las firmas Permit y Permit2 concentraron el 38% de las pérdidas. En enero de 2026, 4.741 víctimas perdieron 6,27 millones de dólares, y el 65% de esa suma correspondió a dos personas. Y en julio de 2026 un usuario se quedó sin 999.999 USDT tras un único permiso firmado.

Los robos en direcciones antiguas suelen ir acompañados de otras técnicas, por ejemplo el envenenamiento de direcciones, en el que se llevan USDT con una sola transferencia de "polvo". Si necesitas tus tokens en otra red o en otra moneda, lo más sencillo es no conectar la billetera a sitios desconocidos y recurrir a un cambio de criptomonedas sin registro: ahí envías monedas a una dirección y no firmas nada.

Qué tipos de permisos existen

Dos filas merecen una aclaración. Las firmas Permit no se ven en la blockchain hasta el segundo en que el estafador las usa, por eso la revisión de permisos no las muestra. La delegación EIP-7702 llegó a Ethereum con la actualización Pectra en mayo de 2025: la dirección de una billetera común puede comportarse como un contrato inteligente hasta que su dueño quite la delegación. Scam Sniffer registró el primer robo con una firma de este tipo el 24 de mayo de 2025; el usuario perdió unos 146.600 dólares.

Cómo revisar los permisos de tu billetera

La dirección de una billetera es pública, así que sus permisos se pueden ver sin conectarla y sin firmar nada. Las herramientas principales:

• Explorador de la red. Etherscan tiene la sección Token Approvals, y hay secciones iguales en los exploradores de BNB Chain, Polygon, Arbitrum y otras redes. En TRON, los permisos los muestra Tronscan en la página de la dirección.
• Revoke.cash. El servicio muestra los permisos de decenas de redes a la vez y permite revocarlos.
• La propia billetera. Rabby tiene la sección Approvals, y MetaMask ofrece una lista de permisos parecida.

El orden es simple:

1. Abre la herramienta escribiendo su dirección a mano o desde tus marcadores. Los falsos "servicios de revocación" de los anuncios y del buscador se dedican justamente a sacar permisos.
2. Pega la dirección de la billetera en el campo de búsqueda, sin conectar la billetera.
3. Revisa la lista: el token, a quién se concedió el permiso, por qué cantidad y cuándo.
4. Marca los permisos ilimitados, las direcciones desconocidas y los servicios que ya no usas.
5. Repite el proceso en cada red donde la dirección tenga tokens: los permisos de Ethereum y los de BNB Chain se guardan por separado.

Cómo revocar permisos de tokens paso a paso

La revocación se registra en la blockchain con una transacción igual a la del permiso, solo que con límite cero. Por eso aquí sí hay que conectar la billetera.

1. En la página de revisión, conecta la billetera y comprueba que esté seleccionada la red correcta.
2. Pulsa Revoke junto al permiso que sobra.
3. Verifica en la billetera que la transacción quita el acceso: pone el límite del token en 0 o cancela el permiso sobre la colección de NFT, en lugar de conceder uno nuevo.
4. Confirma y espera a que se incluya en un bloque. Cómo comprobar que la transacción se completó se explica en la guía sobre cómo verificar una transacción por TXID.
5. Actualiza la lista: la fila debe desaparecer.

Lo que conviene saber de antemano:

• Revocar cuesta una comisión. Cada permiso se revoca con una transacción aparte. En Ethereum son centavos con la red tranquila y más cuando está congestionada. En la dirección debe haber algo de ETH, BNB o TRX para la comisión de red.
• Primero lo más valioso. Empieza por los permisos ilimitados sobre los tokens de los que tienes más.
• Revocar no devuelve lo robado. Solo cierra el acceso a lo que todavía queda.
• El límite se puede reducir en vez de ponerlo en cero. Si sigues usando el servicio, fija la cantidad de tu próxima operación. Con USDT en Ethereum son dos transacciones: primero cero y después la nueva cantidad.

Cuándo revocar no sirve

Revocar permisos cierra una vía concreta. En tres casos no sirve de nada.

Se filtró la frase semilla. Quien tiene la frase puede firmar lo que quiera por su cuenta. Hace falta una billetera nueva con una frase nueva y pasar allí todas las monedas. Es lo que hacen ahora quienes compraron billeteras manipuladas: ya contamos cómo Trezor redujo sus distribuidores y MediaMarkt detuvo la venta de Ledger.

Se firmó una delegación EIP-7702. Mientras esté activa, un código ajeno puede disponer de toda la dirección, incluido el ETH. Hay que restablecer la delegación y, si la billetera no lo permite, mover los activos a una dirección nueva.

Los tokens ya salieron. Las transacciones en la blockchain son irreversibles. Queda denunciar ante la policía y avisar al emisor: Tether y Circle a veces congelan USDT y USDC robados, pero no hay garantías.

Cómo no conceder permisos de más

• Indica en la billetera una cantidad exacta en vez de "sin límite": MetaMask y Rabby permiten cambiar el límite antes de firmar.
• Guarda el grueso de tus fondos en una dirección que nunca se conecta a sitios, y crea otra aparte para experimentar.
• Lee lo que firmas. Las palabras Permit, Permit2, setApprovalForAll o una solicitud de delegación en la ventana de firma significan acceso a tus activos, no un "inicio de sesión".
• Usa una billetera o una extensión que simule la transacción y muestre qué saldrá de la dirección.
• Revisa los permisos cada pocos meses y después de cada hackeo sonado de un servicio que hayas usado.

Cómo cambiar ETH y tokens sin conectar la billetera

La mayoría de los permisos aparece donde el intercambio funciona con contratos inteligentes: el sitio pide conectar la billetera y firmar un approve. Hay una forma de cambiar monedas sin un solo permiso.

En VertEXchange la billetera no se conecta y no hay nada que firmar. Eliges el par, indicas la dirección de recepción y envías las monedas con una transferencia normal a la dirección que muestra el formulario. No hacen falta cuenta, correo ni teléfono, y la tasa y el importe se ven antes de enviar. Así puedes cambiar ETH por BTC sin registro, pasar USDT de ERC20 a TRC20 o comprar Monero con USDT TRC20.

• Después del cambio no quedan permisos en tu dirección: solo hiciste una transferencia normal.
• La tasa fija se mantiene unos 15 minutos.
• VertEXchange no custodia monedas: el pago va directo a tu dirección.
• Si el cambio no se concreta, las monedas vuelven a la dirección de reembolso.
• Los campos personales de la operación se eliminan 24 horas después de completarse, y hay chat de soporte en cada página.

Preguntas frecuentes

¿Cómo revocar permisos de tokens en 2027?

Abre la sección Token Approvals en el explorador de tu red o el servicio Revoke.cash, pega tu dirección, busca el permiso que sobra y pulsa Revoke. La billetera te pedirá confirmar la transacción y pagar la comisión de red.

¿Cuánto cuesta revocar aprobaciones de tokens?

Solo la comisión de red de una transacción. En Ethereum son centavos con la red tranquila, y en BNB Chain y en las redes de segunda capa, aún menos. Los servicios de revisión no cobran nada por revocar.

¿Basta con desconectar el sitio para revocar permisos de una wallet?

No. Desconectar quita la conexión del sitio con la billetera, pero el permiso está registrado en el contrato del token y sigue vigente. Solo lo elimina una transacción de revocación.

¿Pueden robar tokens de una billetera de hardware con un permiso?

Sí. La billetera de hardware protege las claves, pero el permiso lo firmas tú. Después, el contrato retira los tokens sin una nueva firma.

¿Bitcoin y Monero tienen permisos de tokens?

No. En Bitcoin y Monero no hay tokens con contratos inteligentes ni mecanismo approve. Las monedas solo se pueden gastar con la firma del dueño de las claves.

¿Cómo saber si un permiso de token es peligroso?

Deben ponerte en alerta una cantidad ilimitada, una dirección de destino desconocida, un servicio que no usas hace tiempo y cualquier permiso que no recuerdes. Es mejor revocarlo: si hace falta, se vuelve a conceder fácilmente.

¿Revocar un permiso devuelve los tokens robados?

No. La revocación cierra el acceso a los tokens que quedan. Lo que ya salió solo se recupera si el emisor lo congela o mediante una investigación, y eso ocurre pocas veces.