¿Qué son los wallet drainers? Cómo funcionan y cómo protegerte

El informe anual 2025 de Scam Sniffer registró pérdidas por US$ 83,85 millones debido a ataques de phishing con wallet drainers que afectaron a 106 000 víctimas. Solo en la primera mitad de 2025, los usuarios de cripto perdieron US$ 410,75 millones por ataques de phishing, siguiendo un patrón común: los usuarios hacen clic en enlaces que parecen legítimos, conectan sus billeteras y aprueban transacciones que vacían sus fondos. Los objetivos: coleccionistas de NFT, usuarios de DeFi y holders que simplemente hicieron clic en el enlace equivocado en un servidor de Discord o en X.

Los wallet drainers no hackean la blockchain. No lo necesitan. Te engañan para que les des permiso de gastar todo el saldo de tu billetera con un solo clic. Esta guía explica cómo funcionan exactamente y cómo defenderte.
 

Cómo funcionan los wallet drainers

Un wallet drainer es una dApp maliciosa o un flujo de phishing que logra que los usuarios conecten su billetera y aprueben una transacción, o que otorguen una aprobación ilimitada, lo que permite drenar los fondos.

Así es como opera. El sitio parece legítimo, conectas tu billetera y el mensaje solicita claves privadas, frases semilla o aprobaciones de la billetera. Si apruebas una transacción de drenaje o acceso ilimitado a tokens, el atacante puede mover tus activos. Una sola aprobación puede ser suficiente. El ataque no requiere tu frase semilla ni tu clave privada. Solo necesita tu aprobación.

El punto clave es simple: no todas las aprobaciones peligrosas son obvias. Los ataques basados en firmas permitieron el 38 % de las pérdidas en incidentes mayores a US$ 1 millón, según los datos de wallet drainers de Scam Sniffer en 2025.

Los drainers basados en firmas son la evolución incómoda. En vez de mostrarte una transacción estándar en la blockchain, el sitio de phishing puede pedirte una firma fuera de cadena bajo etiquetas como "Verificar billetera" o "Reclamar airdrop". El mensaje puede parecer menos riesgoso porque no luce como una transferencia de tokens y puede que no genere el mismo rastro de aprobación que esperas de una aprobación ERC-20 estándar.

Esa es la trampa. Una firma aún puede autorizar el gasto de tokens mediante flujos de aprobación tipo permit. En un ataque estilo Permit2, el peligro está en el alcance del permiso: la firma puede otorgar a un contrato acceso amplio a los tokens cubiertos por una ruta de allowance existente. No siempre verás un mensaje claro como "Enviar 100 USDC". Puede que veas una solicitud que parece administrativa, pero el resultado le da al atacante una vía para mover fondos rápidamente.

El mismo patrón se observa en ataques de aprobación más simples. Una dApp maliciosa no necesita romper la criptografía si puede convencerte de aprobar al destinatario equivocado. La blockchain considerará válida la autorización porque la billetera la firmó. Por eso, la pregunta más segura no es "¿Este sitio parece profesional?" sino "¿Qué permiso estoy otorgando, a quién y por cuánto tiempo?"
 

Cómo llegan los drainers: vectores de ataque

La mecánica anterior solo funciona si interactúas con el sitio malicioso. Llevarte allí es la otra mitad del ataque.

Airdrops falsos de tokens o NFT pueden enviarse directamente a las billeteras, imitar colecciones conocidas con errores sutiles en el nombre y redirigir a los usuarios a sitios de phishing al interactuar con el activo. Por eso, los activos aleatorios en tu billetera merecen sospecha, no curiosidad.
 

Mensajes de suplantación y perfiles falsos son especialmente peligrosos porque explotan la confianza. Los estafadores promocionan airdrops falsos usando perfiles falsos, bots o suplantando a figuras conocidas del mundo cripto. Durante el lanzamiento de Celestia TIA, un perfil falso llamado calestiatoken se hizo pasar por CelestiaOrg y pidió a los usuarios que enviaran direcciones de Ethereum, aunque Celestia no es un proyecto basado en Ethereum.

Ese mismo lanzamiento mostró cuán rápido puede surgir una ola de imitadores. El vault registró docenas de sitios similares a Celestia durante el airdrop. Esto es importante porque los usuarios suelen buscar páginas de reclamo bajo presión de tiempo y hacen clic en el primer resultado que parece oficial. Un drainer solo necesita una visita apresurada.

Las páginas falsas de reclamo de airdrop pueden replicar sitios oficiales con nombres, diseños y logotipos casi idénticos. Los usuarios deben verificar los sitios web, blogs y canales oficiales antes de actuar sobre información de airdrops.

Sitios web falsificados y mensajes de phishing suelen aparecer en resultados patrocinados de búsqueda o anuncios en redes sociales, mensajes de suplantación por email, Telegram, Discord y X, tokens de airdrop fraudulentos, phishing mediante WalletConnect y correos electrónicos engañosos.

Las señales de alerta son consistentes: pequeñas diferencias en los nombres de cuenta, errores ortográficos, pocos seguidores y anuncios que nunca aparecen en los canales verificados del proyecto.

Cómo revisar y revocar aprobaciones peligrosas

Probablemente tienes más aprobaciones activas de las que imaginas. Cada interacción DeFi que hayas hecho puede haber dejado una aprobación abierta en la blockchain, y algunas son ilimitadas.

Paso 1: Audita tus aprobaciones.

Usa una herramienta confiable para revisar aprobaciones y verifica la URL antes de conectar tu billetera. Si revisas tus aprobaciones seguido, usa un marcador. Un sitio falso de auditoría de aprobaciones es solo otra página de phishing con mejor timing.

Revisa las aprobaciones activas que aparecen para cada red que uses. El objetivo es simple: ver qué contratos pueden gastar qué tokens, cuánto pueden gastar y si las aprobaciones siguen teniendo sentido para tu uso actual.

Empieza por las aprobaciones ilimitadas. Estas otorgan a un contrato autoridad amplia para gastar, en vez de un monto fijo. Luego revisa aprobaciones antiguas de protocolos que ya no usas, contratos desconocidos y aprobaciones grandes que ya no tienen sentido.

Si la herramienta muestra allowances tipo Permit2 o basados en firma por separado, revisa esos también. Da prioridad a los gastadores desconocidos, accesos amplios a tokens y allowances de sesiones antiguas de dApps antes que a una aprobación reciente que usas cada semana. Para una revisión mensual práctica, divide las aprobaciones en tres grupos: conserva los permisos de protocolos que usas activamente, reduce o revoca permisos grandes que ya no corresponden a tu actividad actual y elimina todo lo relacionado con contratos desconocidos o campañas antiguas. El objetivo no es hacer imposible usar DeFi, sino evitar que permisos antiguos se conviertan en un riesgo importante.

Paso 2: Revoca aprobaciones sospechosas.

Revoca el acceso a apps no confiables y aprobaciones que no uses. Revocar suele requerir una transacción en la blockchain, lo que implica un costo de gas. Prioriza primero las aprobaciones ilimitadas, luego las grandes y después las antiguas de sesiones previas en DeFi.

Ese costo es el precio a pagar. Pagar una pequeña comisión de gas para cerrar una aprobación antigua suele ser mejor que dejar un contrato viejo con derechos de gasto para siempre. Si el gas está alto, agrupa las revocaciones y atiende primero los allowances más riesgosos: montos ilimitados, contratos desconocidos y luego protocolos que no has usado en meses.

Al interactuar con nuevos protocolos, evita aprobaciones ilimitadas si basta con una menor para la transacción. Haz de esto un hábito mensual. La regla práctica es directa: si un token aleatorio te pide visitar un sitio para "reclamar" o "desbloquearlo", considéralo una estafa. Ningún protocolo legítimo necesita tu frase semilla ni tu clave privada para procesar una aprobación.

Lista de defensa contra drainers

No son solo buenas prácticas abstractas. Cada una responde a un vector de ataque específico descrito arriba.

• Guarda en marcadores todas las dApps de DeFi que uses. Nunca las busques ni sigas enlaces desde Discord, X o Telegram.
   
• Verifica las URLs carácter por carácter antes de conectar tu billetera. Revisa el dominio exacto, no solo el aspecto visual.
   
• Revisa regularmente las aprobaciones de tu billetera. Revoca el acceso a apps no confiables y aprobaciones ilimitadas que no uses.
   
• Nunca firmes mensajes como "Verificar billetera" o "Reclamar airdrop" desde un sitio al que no llegaste directamente desde tu marcador.
   
• Confirma los anuncios en los canales oficiales del proyecto antes de actuar sobre cualquier información de airdrop o mint, no solo en publicaciones de influencers.
   
• Utiliza una billetera de hardware para activos importantes. El toque físico o la presión de un botón es el último filtro de seguridad.
   
• Mantén una "billetera burner" dedicada para protocolos nuevos o no verificados. Nunca conectes tu billetera principal a dApps desconocidas.
   
• Mantén actualizadas las apps de billetera, sistemas operativos y navegadores. Las actualizaciones suelen corregir vulnerabilidades.
   
• Separa tus fondos: montos pequeños y de uso frecuente en una billetera caliente; tenencias grandes y a largo plazo en almacenamiento en frío.