Drainers, firmas y aprobaciones: cómo te vacían la wallet sin robarte la frase semilla

Cuando alguien cuenta que le han vaciado la wallet, lo primero que se suele pensar es que le robaron la frase semilla. A veces es así. Pero hay otra vía igual de frecuente y mucho más silenciosa: la propia víctima firmó una transacción que daba permiso para mover sus fondos.

Eso es lo que hace un drainer: una web o un contrato diseñado para que apruebes, con un clic, algo que parece inofensivo y que en realidad transfiere tus activos a otra wallet. En esta guía verás cómo funcionan, cómo reconocerlos y qué hacer si ya has firmado.

Firmar no es solo «conectar»

Cuando usas una wallet de autocustodia hay tres acciones distintas que conviene no confundir:

1. Conectar la wallet a una web: la web ve tu dirección pública y tus saldos. Por sí solo no permite mover fondos, aunque ya le das información.
2. Firmar un mensaje: demuestras que controlas la wallet. Normalmente es inofensivo (por ejemplo, para iniciar sesión), pero algunos mensajes firmados pueden usarse como autorización para operaciones.
3. Firmar una transacción: autorizas un cambio en la blockchain. Aquí es donde se mueven fondos o se conceden permisos.

La regla de oro: si no entiendes exactamente qué hace lo que vas a firmar, no lo firmes. Ninguna oportunidad compensa el riesgo de vaciar la wallet.

Cómo funcionan los drainers

En Ethereum y redes compatibles: aprobaciones

En redes compatibles con Ethereum, para que un contrato pueda mover un token tuyo necesitas concederle una aprobación (approve). Muchas aplicaciones legítimas piden aprobaciones ilimitadas para no tener que pedirlas cada vez. Un drainer aprovecha justo eso: te pide una aprobación para un contrato suyo y, una vez concedida, mueve los tokens cuando quiere, incluso días después.

Existen además firmas de mensajes de tipo «permiso» que permiten autorizar el gasto de un token sin una transacción previa. Desde la wallet parecen una simple firma, pero el efecto es el mismo: dan acceso a tus tokens.

En Solana: transacciones que hacen varias cosas a la vez

En Solana una sola transacción puede contener varias instrucciones. Un drainer puede construir una transacción que parece una compra o un «claim» y que incluye instrucciones para transferir tus tokens o tus SOL a otra cuenta. Por eso es tan importante la simulación que muestran muchas wallets antes de firmar: indica qué saldría y qué entraría de tu cuenta.

Consejo: Si la simulación de tu wallet muestra salidas de tokens que no esperas, o la wallet avisa de que no puede simular la transacción, recházala.

Las estafas que más se repiten

• Airdrops falsos: tokens o NFT que aparecen en tu wallet sin pedirlos, con un enlace para «reclamar» el resto. Al reclamar firmas el drenaje. Lo explica bien la entrada de airdrop del glosario.
• Webs clonadas: copias exactas de DEX, launchpads o terminales conocidos, con un dominio casi igual. Llegan por anuncios patrocinados en buscadores, por respuestas en X o por mensajes privados.
• Soporte falso: alguien te escribe por privado después de que preguntes en un grupo público. Te ofrece ayuda y te lleva a una web para «sincronizar» o «validar» la wallet.
• Mint o presale urgente: «quedan 5 minutos», «solo para los primeros 100». La urgencia está para que no leas lo que firmas.
• Cuentas hackeadas: el perfil oficial de un proyecto o de un influencer publica un enlace malicioso. Que la cuenta sea real no hace real el enlace.
• Extensiones y descargas: extensiones de navegador falsas o programas «para trading» que roban claves directamente del ordenador.

Cómo leer una petición de firma en 30 segundos

No hace falta ser programador para filtrar la mayoría de las peticiones peligrosas. Antes de aprobar, revisa estas cuatro cosas en la ventana de tu wallet:

1. ¿Quién lo pide? Comprueba el dominio que muestra la wallet. Si no es exactamente la web que querías usar (una letra cambiada, un subdominio raro, otra extensión), cierra.
2. ¿Qué tipo de acción es? Iniciar sesión no debería mover nada. Una compra debería mostrar la salida de lo que pagas y la entrada de lo que compras. Una aprobación debería indicar a qué contrato y por cuánto.
3. ¿Qué sale de tu wallet? Si la simulación muestra salidas de tokens que no forman parte de lo que querías hacer, o de todos tus tokens, es un drenaje.
4. ¿Hay avisos? Muchas wallets marcan webs conocidas por estafas o transacciones que no pueden simular. Tómate esos avisos en serio, aunque la web parezca legítima.

Si dudas, no pasa nada por cancelar: una operación legítima la puedes repetir más tarde con calma. Un drenaje no se puede deshacer. Y si la web insiste, presiona o te pide repetir la firma «porque ha fallado», es otra señal de alarma.

Hábitos que evitan casi todos los casos

1. Guarda en marcadores las webs que usas y entra siempre desde ahí, nunca desde enlaces de anuncios, mensajes o respuestas.
2. Separa wallets: una bóveda que nunca se conecta a nada, una de trading con lo justo y una de pruebas casi vacía para webs nuevas. Lo explico en wallets de autocustodia y frase semilla.
3. Lee la simulación antes de firmar. Si no hay simulación o no la entiendes, no firmes.
4. Ignora los tokens que aparecen solos en tu wallet. No interactúes con ellos ni visites las webs que anuncian.
5. Desactiva los mensajes privados de desconocidos en Telegram y Discord siempre que puedas. El soporte real nunca escribe primero.
6. Revisa las aprobaciones periódicamente en redes compatibles con Ethereum y revoca las que no uses, con herramientas de confianza a las que accedas desde un marcador.

Consejo: Haz una pausa de diez segundos antes de cada firma y pregúntate: «¿he iniciado yo esta acción y sé qué va a pasar?». Esa pausa evita la mayoría de los errores.

Qué hacer si ya has firmado algo sospechoso

La velocidad importa. Los drainers suelen actuar en segundos, pero a veces quedan permisos que se ejecutan más tarde.

1. Mueve lo que quede a una wallet nueva, creada con una frase semilla nueva en un dispositivo limpio. No reutilices la frase de la wallet comprometida.
2. Revoca aprobaciones de la wallet afectada si estás en una red compatible con Ethereum, por si el atacante aún no las ha usado.
3. Revisa el dispositivo: si sospechas de malware o de una extensión, no crees la nueva wallet en ese mismo equipo.
4. Desconfía de los «recuperadores»: después de un robo aparecen cuentas que prometen recuperar fondos a cambio de un pago. Son una segunda estafa.
5. Documenta y denuncia: guarda direcciones, hashes de transacción y capturas, y denúncialo ante las autoridades. Si los fondos llegan a un exchange centralizado, el exchange puede actuar ante un requerimiento.

En la blockchain las transacciones no se pueden revertir. La prevención es, en la práctica, la única protección real.

Drainers y rug pulls no son lo mismo

Un drainer te quita lo que ya tienes en la wallet. Un rug pull te deja con un token que ya no vale nada porque el creador retiró la liquidez o vendió todo. Los dos aprovechan la prisa y la falta de verificación, y los dos se combaten con el mismo hábito: comprobar antes de actuar.

Si operas memecoins, la checklist anti-rug y la guía sobre cómo analizar una memecoin cubren la parte del token. Este artículo cubre la parte de la wallet. Necesitas ambas.

Si quieres seguir profundizando, en la academia encontrarás formación específica de ciberseguridad aplicada a wallets y a la era de la IA.

Contenido educativo, no es asesoramiento financiero ni legal. Ninguna práctica elimina por completo el riesgo.