Actualizado el 14 de septiembre de 2026. Revocar los permisos de contratos inteligentes antiguos es una de las formas más sencillas de reducir la exposición innecesaria de la billetera, pero un buen resultado es más específico que simplemente "desconecté algunas dApps". Al finalizar este proceso, debes saber qué contratos aún pueden gastar tus tokens, qué permisos mantuviste intencionalmente y qué aprobaciones se han reducido a cero o se han invalidado de alguna otra manera en la cadena de bloques correspondiente.
Esta guía se centra en ese resultado. Cubre las autorizaciones de tokens ERC-20, las aprobaciones de operadores de NFT, los permisos de Permit2, las herramientas que pueden ayudarle a inspeccionarlos y las situaciones en las que la revocación no es suficiente. No garantiza que la revocación haga que una billetera sea completamente segura: el compromiso de claves, las firmas maliciosas, las vulnerabilidades del protocolo y las transferencias ya confirmadas requieren respuestas diferentes.
| Meta | Buenas pruebas | ¿Cuándo cambiar de enfoque? |
|---|---|---|
| Eliminar una asignación ERC-20 | Se confirma la transacción de revocación y el saldo es 0. | Si la aprobación vuelve a aparecer, confirme la cadena, la dirección del gastador, el contrato del token y si interviene otro sistema de permisos como Permit2. |
| Eliminar una aprobación de operador NFT | El operador ya no está autorizado para todos los NFT de esa colección, o bien se ha cancelado la autorización específica del token. | Si el verificador de aprobación no puede detectar un contrato NFT no estándar, inspeccione el contrato de colección directamente o utilice su interfaz oficial. |
| Reducir la exposición futura | Los permisos no utilizados e ilimitados se eliminan o limitan; los permisos activos son intencionales. | Si un flujo de trabajo requiere repetidamente permisos amplios, considere la posibilidad de utilizar una cartera de actividades independiente o una aplicación descentralizada (dApp) que admita límites más estrictos. |
| Responder ante una cartera comprometida | Los activos y la actividad futura se transfieren a una nueva billetera cuyas claves no se ven comprometidas. | No confíe únicamente en la revocación si la frase semilla o la clave privada quedan expuestas. |
Según el estándar ERC-20, esta approvefunción permite al poseedor del token autorizar a un usuario a retirar hasta una cantidad específica, mientras que transferFrompermite al usuario autorizado transferir tokens. El estándar oficial está disponible en ERC-20: Token Standard .
Los permisos de NFT pueden ser más amplios. ERC-721 define setApprovalForAll, que puede autorizar a un operador a administrar todos los NFT de un propietario para esa colección. Véase ERC-721: Estándar de token no fungible .
Distinción importante: conectar una billetera a un sitio web no es lo mismo que otorgar permisos para tokens en la cadena de bloques. MetaMask especifica que desconectar una aplicación descentralizada (dApp) no revoca las aprobaciones de tokens ya existentes. Ocultar un token en la interfaz de una billetera tampoco modifica sus permisos.
Resultado esperado: identificar la autoridad de gasto en la cadena de bloques, no solo los sitios web conectados. Si su única acción fue "Desconectar", continúe con un verificador de aprobación.
Referencia: MetaMask: Cómo revocar permisos de contratos inteligentes/aprobaciones de tokens .
Leyenda: Comience con un inventario de tokens, usuarios y asignación. Una entrada "Ilimitada" merece revisión, pero no es automáticamente maliciosa.
Utilice un verificador de aprobación para ver qué personas tienen actualmente autoridad sobre sus activos. Tres opciones útiles son:
Cómo evaluar el resultado: su inventario debe mostrar la colección de tokens o NFT, la dirección del emisor/operador, la red y los permisos actuales. Guarde las direcciones de emisores desconocidos para investigarlas antes de firmar cualquier documento.
Cuándo cambiar de herramienta: si un verificador no es compatible con tu red o no aparece un token no estándar, usa el explorador de bloques de confianza de esa cadena o inspecciona directamente el contrato del token. Ningún indexador puede garantizar la visibilidad completa de todos los contratos no estándar.
Leyenda: Revise cada aprobación en su contexto: el activo, el usuario que realizó el gasto, el importe, la red y si todavía utiliza la aplicación subyacente.
No revoques automáticamente. Una aprobación es una capacidad, y algunas funciones activas de las dApps dependen de ella. Revoke.cash indica, por ejemplo, que revocar una aprobación no elimina los tokens ya depositados o apostados, pero es posible que debas volver a aprobar antes de añadir más. Algunos listados en marketplaces también dependen de aprobaciones activas de NFT.
Un orden de prioridad práctico es:
Señal de calidad: cada permiso que mantengas debe tener una razón. «Reconozco el protocolo y aún necesito a este usuario para un puesto activo» es una razón. «Probablemente lo aprobé en algún momento» no lo es.
Cuándo no revocar inmediatamente: si un permiso respalda una lista activa, automatización, flujo de trabajo tipo suscripción o política de cuenta inteligente, primero comprenda el efecto operativo. La seguridad mejora al eliminar la autoridad innecesaria, no al interrumpir flujos de trabajo necesarios sin comprenderlos.
Leyenda: Utilice una función de monedero oficial, un verificador de aprobación de buena reputación o el explorador establecido de la red; verifique el dominio antes de conectarse.
La revocación suele implicar un cambio de estado en la cadena de bloques. MetaMask indica que revocar un permiso requiere una transacción en la cadena, por lo que generalmente se requiere gas de red. Etherscan también ofrece la opción de "Revocar" para las aprobaciones listadas.
Para la mayoría de los usuarios, las opciones más sencillas son la función de gestión de aprobaciones de la propia billetera, el explorador de la cadena de bloques o un servicio especializado como Revoke.cash. Ninguna debería requerir su frase semilla ni su clave privada.
Resultado esperado: la transacción que está a punto de firmar debe reducir o eliminar un permiso existente, no otorgar a un nuevo comprador una autoridad inesperada.
Condición de detención: si un sitio web solicita su frase semilla, clave privada, acceso de control remoto o una transferencia no relacionada para “activar” la revocación, deténgase. Acceda a la herramienta desde una fuente oficial verificada de forma independiente, en lugar de hacerlo a través de un anuncio de búsqueda o un mensaje no solicitado.
Leyenda: La conexión es solo el paso de interfaz. La revocación real se hace efectiva cuando se confirma la transacción correspondiente en la cadena de bloques.
La conexión con la billetera permite al sitio solicitar información de la cuenta y proponer acciones, pero la conexión en sí misma no implica la revocación. La guía actual de Etherscan sobre billeteras indica que la conexión no firma automáticamente nada; las firmas y las transacciones aún requieren la aprobación de la billetera.
Resultado esperado: confirmar que la dirección de la billetera y la cadena de bloques seleccionadas coinciden con la aprobación que se pretende eliminar.
Cuándo cambiar de estrategia: si la herramienta te redirige a una cadena inesperada o muestra una dirección diferente, cancela antes de firmar. Una aprobación es específica de la red; revocar algo en una cadena no revoca una aprobación independiente en otra cadena.
Referencia: Etherscan: Conectando tu billetera .
Leyenda: Elimine el conjunto mínimo de permisos necesarios para alcanzar su objetivo de seguridad; no es necesario revocar todos los permisos legítimos a la vez.
Para una asignación estándar ERC-20, la revocación generalmente implica establecer la asignación del gastador en cero. Para el acceso de operador ERC-721, la revocación generalmente cambia la aprobación del operador a false. Revoke.cash explica que las mismas funciones de aprobación se utilizan comúnmente para otorgar y revocar; el valor cambia a cero o falso.
Señal de calidad: la vista previa de la transacción identifica el contrato del token y el permiso que se está modificando. Si tu billetera proporciona información de la transacción decodificada, léela en lugar de aprobarla por costumbre.
Limitación: una revocación no anula las transferencias ya realizadas. Tampoco recupera los fondos robados. Revoke.cash describe su servicio como preventivo, no como una herramienta de recuperación.
Referencia: Preguntas frecuentes de Revoke.cash .
Leyenda: Antes de confirmar, verifique la cuenta, la red, la interacción del contrato y el cargo por gas previsto.
La confirmación final de la billetera es su oportunidad para detectar una cadena, cuenta, usuario o tipo de transacción incorrectos. El costo del gas varía según las condiciones de la red, por lo que no se debe esperar una tarifa fija en dólares.
Resultado esperado: la transacción pendiente corresponde al cambio de permisos previsto y se envía desde la billetera correcta.
Cuándo detenerse: cancele la transacción si transfiere activos inesperadamente, aprueba a un comprador diferente, activa un contrato no relacionado o contiene detalles que no coinciden con la acción seleccionada. Un flujo de trabajo seguro prioriza la verificación sobre la velocidad.
Leyenda: Vuelva a abrir el verificador de aprobación después de la confirmación y verifique que el límite sea cero, haya caducado, sea falso o ya no esté activo.
Una transacción enviada puede fallar, quedar pendiente o ser reemplazada. El resultado de seguridad se alcanza solo cuando el estado del permiso correspondiente ha cambiado realmente.
Indicadores de éxito:
isApprovedForAlles falso para el operador que eliminó.Cuándo investigar más a fondo: si un permiso sigue apareciendo después de una transacción confirmada, compare cuidadosamente la dirección del emisor y el contrato del token. Es posible que haya revocado un permiso mientras que otro emisor, proxy, operador o permiso Permit2 permanece activo.
Leyenda: Mantener una correcta gestión de la cartera digital implica revisar periódicamente los permisos y otorgar una autoridad más limitada cuando la aplicación lo permita.
Las aprobaciones regulares de ERC-20 no lo abarcan todo. El sistema Permit2 de Uniswap permite a los usuarios aprobar el contrato Permit2 a nivel de token y luego otorgar permisos de gasto a través de Permit2. Su interfaz oficial incluye la cantidad de permisos, la fecha de vencimiento, la invalidación del nonce y una lockdownfunción que puede restablecer a cero los permisos seleccionados. Consulte el repositorio oficial de Permit2 de Uniswap .
Las firmas de permisos añaden otra complicación: algunos permisos se autorizan mediante mensajes firmados en lugar de registrarse inmediatamente como permisos de tokens ordinarios. Revoke.cash señala que las firmas de permisos fuera de la cadena no se pueden enumerar de la cadena de la misma manera que las aprobaciones estándar; invalidar los nonces relevantes o el estado del permiso específico del token puede ser necesario cuando se sabe que se firmó un permiso malicioso.
Resultado previsto: tras revisar los permisos habituales, pregunte también si ha utilizado Permit2 o si ha firmado un mensaje de tipo permiso en un sitio no confiable.
Cuándo cambiar de estrategia: si sospecha de una firma maliciosa pero no puede identificar su forma exacta, deje de interactuar desde la billetera afectada hasta que comprenda el modelo de permisos. Pagar gas a ciegas para cancelar todos los permisos posibles puede ser un desperdicio y no solucionar la amenaza real.
| Herramienta | Mejor uso | Límite importante |
|---|---|---|
| Portafolio de MetaMask | Gestionar los límites de gasto de la red compatible desde el ecosistema MetaMask. | La cobertura de red es limitada y puede cambiar; compruebe la compatibilidad actual antes de confiar en ella como su único inventario. |
| Verificador de aprobación de tokens de Etherscan | Revisión y revocación de aprobaciones de tokens/NFT de Ethereum con contexto de explorador. | Está enfocado en Ethereum; para otras redes, utilice el explorador de confianza correspondiente u otra herramienta. |
| Revocar.cash | Revisión, revocación y capacitación sobre permisos/permisos 2 para múltiples redes. | Ningún verificador de aprobaciones puede recuperar activos robados ni reparar claves privadas comprometidas. |
| Interfaz de explorador de contratos directos/verificados | Comprobar el estado del operador NFT de un token conocido allowanceo un comportamiento no estándar cuando los indexadores están incompletos. | Requiere mayor atención técnica; verifique la dirección y la función del contrato antes de escribir en la cadena de bloques. |
Si un atacante tiene la clave, no necesita autorización para autorizar transacciones como si fueras tú. Revoke.cash advierte específicamente que si una billetera se queda sin gas entrante, es señal de que la frase semilla podría estar comprometida y que revocar las autorizaciones no restablecerá la seguridad de la billetera.
Mejor resultado: cree una nueva billetera desde un entorno limpio y migre sus activos mediante un proceso de recuperación cuidadosamente planificado. No siga utilizando la dirección comprometida como una billetera segura a largo plazo.
Revocar posteriormente una transferencia de blockchain ya finalizada no permite deshacerla. Si un activo ya se ha perdido, concéntrese en prevenir mayores pérdidas, documentar los hashes de las transacciones, contactar a los proveedores de servicios pertinentes cuando corresponda y transferir los activos no afectados si existe la posibilidad de que las claves se vean comprometidas.
Revocar una autorización elimina la capacidad de gasto futura de dicho usuario. No elimina el riesgo de los contratos inteligentes para los activos ya depositados en un protocolo, puente, bóveda o contrato de staking.
Mejor resultado: evalúe si necesita retirar la posición en sí. La higiene de permisos y la gestión de riesgos de protocolo resuelven problemas diferentes.
MetaMask documenta permisos avanzados más recientes basados en ERC-7715 que pueden incluir límites de cantidad, acceso recurrente y fechas de vencimiento. Estos permisos difieren de los permisos de tokens clásicos y se gestionan a través de la interfaz de permisos de la cuenta inteligente correspondiente.
Mejor resultado: revisar tanto las aprobaciones de tokens tradicionales como los permisos a nivel de cuenta. Una lista de permisos ERC-20 limpia no necesariamente describe todas las capacidades otorgadas por una cuenta inteligente.
Referencia: MetaMask: Comprensión de los permisos avanzados .
Antes de declarar que la limpieza ha finalizado, verifique lo siguiente:
El resultado óptimo no es una lista de aprobación vacía a cualquier precio. Se trata de una billetera cuyos permisos restantes se comprenden, se limitan intencionalmente y son apropiados para su uso real. Revocar los permisos de los contratos inteligentes es una valiosa herramienta de mantenimiento, pero funciona mejor como una capa más dentro de un proceso de seguridad más amplio que incluye firmas cuidadosas, verificación de contratos, protección de claves y una separación de riesgos realista.
Este artículo tiene fines educativos y no constituye asesoramiento financiero, legal ni de seguridad. Los permisos de los contratos inteligentes y las funciones de la billetera cambian con el tiempo; verifique la compatibilidad actual de la red y los detalles de la transacción antes de firmar.
Cómo funcionará la custodia de criptomonedas con estándares bancarios en 2026, desde los controles de clave privada y el almacenamiento en frío hasta la segregación, la subcustodia, la regulación, las auditorías y la recuperación.
Aprende cómo funciona el dominio de Bitcoin (BTC.D), qué puede indicar un dominio creciente o decreciente y cómo confirmar una posible temporada de altcoins con comprobaciones prácticas.
Aprende a revisar y revocar las aprobaciones de tokens de forma segura, verifica el resultado en la cadena de bloques, gestiona los permisos Permit2 y NFT, y sabe cuándo la revocación no es suficiente.
Aprenda a evaluar e invertir en bienes raíces tokenizados verificando los derechos legales, la economía de la propiedad, la custodia, la liquidez, los impuestos y los riesgos de salida.
Aprende a leer los informes de auditoría de contratos inteligentes antes de comprar criptomonedas: verifica el alcance, los hashes de confirmación, la gravedad, los hallazgos no resueltos, los poderes de administrador, las actualizaciones, los oráculos y el riesgo residual.
Compara las carteras de hardware Ledger, Trezor, Tangem y GridPlus en cuanto a seguridad, recuperación, compatibilidad con criptomonedas, facilidad de uso y cuál se adapta mejor a los principiantes en 2026.
Aprenda a interpretar los flujos, los activos bajo gestión (AUM), las creaciones, los reembolsos, el volumen y la concentración de emisores de los ETF de Bitcoin y Ethereum, y qué revelan realmente estas métricas sobre la demanda institucional.
Aprende qué indicadores son más útiles para el scalping de criptomonedas en intervalos de 15 minutos, qué mide cada uno, los errores comunes al enviar señales y cómo combinarlos con controles de riesgo.
El Bitcoin ronda los 77.000 dólares al inicio del cuarto trimestre de 2026. Descubre qué revela realmente el gráfico Rainbow actualizado, cómo interpretarlo para principiantes y por qué estar "infravalorado" no es una garantía.
Descubre Helium, Hivemapper, Render, Akash y Filecoin, cómo funcionan las recompensas de DePIN, qué factores impulsan el retorno de la inversión y los riesgos operativos y de hardware que debes comprobar primero.
