Aprobaciones de tokens: siguen activas hasta revocarlas

Los permisos cripto otorgados a un contrato permanecen activos mientras no los retires. A partir del 5 de mayo de 2026, atacantes explotaron esta regla. Sustrajeron aproximadamente 1,42 millones de dólares de 31 direcciones, gracias a los permisos concedidos a un enrutador del protocolo Ekubo. La principal víctima había otorgado el suyo 158 días antes, según el fundador de SlowMist.

Un permiso cripto no termina con la transacción

Para intercambiar un token en una aplicación descentralizada, primero firmas un permiso. Este mensaje permite así a un contrato retirar tus tokens en tu lugar. El estándar ERC-20 prevé que puede hacerlo «varias veces, hasta la cantidad» establecida. Sin embargo, tu wallet no siempre muestra lo que firmas, como mostraba nuestro artículo sobre el clear signing.

Especialmente, este permiso no tiene fecha de fin. La guía oficial de ethereum.org sobre la revocación lo dice sin rodeos: «No hay fecha de expiración en los permisos de contrato.» Por lo tanto, pueden servir años después.

Desconectarse del sitio tampoco cambia nada. El permiso está en el contrato del token, en la blockchain, y no en tu navegador. Según la misma guía, el proyecto mantiene el acceso a tus tokens tras la desconexión. Tu monedero digital conserva tus claves, no tus permisos. Entonces hay que retirar el permiso para cortar ese acceso.

La cantidad plantea luego un segundo problema. Muchas aplicaciones piden acceso ilimitado, para no tener que solicitarlo en cada intercambio. Un estudio académico publicado en 2022 lo midió en transacciones realizadas hasta el 31 de julio de 2021. En ese momento, el 60 % de los permisos en Ethereum eran por una cantidad ilimitada.

Permisos cripto: lo que crees autorizar

Cuando validas un intercambio, piensas que autorizas esa única operación. En realidad, el permiso va más allá. Permite al contrato tomar una cantidad de tokens, en cualquier momento, hasta que lo retires.

Mientras el contrato funcione bien, solo retira para tus propias operaciones. Sin embargo, una falla en su código puede permitir a un tercero provocar el retiro. El permiso no verifica quién llama al contrato. Solo verifica que el contrato tenga derecho a tomar tus tokens.

Ekubo incluso revisó su propia explicación. El 8 de mayo, su informe atribuía probablemente los grandes permisos a usuarios que ellos mismos habrían aumentado el límite. El 16 de mayo, el texto cambió. El equipo indica que su interfaz pudo crear algunos de estos permisos y ya no trata de atribuir el origen.

Ekubo: cómo un enrutador olvidado vació wallets

Ekubo es un protocolo de intercambio presente en Starknet y en varias blockchains compatibles con Ethereum. El ataque apuntó al HuffRouter, un enrutador optimizado para reducir tarifas, desplegado en Ethereum y Arbitrum. Sus usuarios le habían dado el derecho a retirar sus tokens para ejecutar sus intercambios.

Un error en el análisis de datos de llamada en HuffRouter […] permitía a un llamador añadir bytes arbitrarios tras un camino de intercambio válido y hacer que fueran interpretados como datos fijados por el enrutador durante la liquidación.

Ekubo, informe de incidente

Concretamente, el atacante podía designar a cualquier usuario como pagador de un intercambio. Cualquier persona que había autorizado a este enrutador se convertía en un objetivo. El primer retiro data del 5 de mayo de 2026, a las 17:50 UTC.

Ekubo estima pérdidas en alrededor de 1,42 millones de dólares, en 31 direcciones. Sin embargo, una única dirección perdió aproximadamente 17 WBTC, cerca de 1,37 millones de dólares, y 0,34 cbBTC. Esa dirección concentra el 98 % del total. El ataque no afectó a proveedores de liquidez ni la versión Starknet del protocolo.

El equipo también reconoce no haber auditado este contrato. Consideraban su riesgo bajo. Según ellos, los permisos podían ser limitados y los intercambios mediante la interfaz debían ser pequeños y raros. Estos enrutadores ya no pueden modificarse: «siguen siendo vulnerables», precisa el informe. Ekubo desplegó el 23 de junio un fondo de reembolso, limitado por dirección y aportado voluntariamente por su DAO.

Socket, LI.FI, SwapNet: el mismo esquema durante años

Ekubo no es un caso aislado. El sitio Revoke.cash recopila estos ataques en su balance anual. Cuenta 9 explotaciones de permisos en 2025, por poco más de 6 millones de dólares. En 2024, costaron 80 millones.

En julio de 2024, la plataforma LI.FI perdió alrededor de 11,6 millones de dólares, tomados de 153 wallets. Según el informe publicado por LI.FI, la falla solo afectaba a permisos ilimitados. En enero de 2024, una falla cercana en Socket afectó a unos 200 usuarios, todos con acceso ilimitado.

En enero de 2026, 18 usuarios perdieron 13,43 millones de dólares a través de contratos de SwapNet. Según el análisis póstumo de la plataforma Matcha Meta, las víctimas habían desactivado el permiso de un solo uso propuesto por defecto. Sin embargo, Matcha precisa que una cantidad precisa nunca usada también dejaba los fondos expuestos.

Estos ataques difieren de las estafas por firma. En ese caso, un sitio falso te hace firmar un permiso en favor del estafador. Este tipo de robo costó 83,85 millones de dólares en 2025, según el balance 2025 de la empresa de seguridad ScamSniffer.

Reducir el riesgo de los permisos cripto

El primer reflejo es limitar la cantidad. MetaMask permite fijar un límite de gasto al momento de firmar. Su ayuda oficial es clara: «Nunca concedas permisos ilimitados (astronómicamente altos).»

Luego, haz limpieza regularmente. La herramienta Revoke.cash muestra tus permisos cripto en más de 80 redes. El verificador del explorador Etherscan hace lo mismo en Ethereum. Retirar un permiso a la vez es gratuito, salvo tarifas de red. Revoke.cash cobra 1,50 dólares por retiro agrupado. En un aviso de enero de 2024, la policía y la agencia de ciberseguridad de Singapur también recomiendan revisar y retirar permisos elevados.

Finalmente, algunas aplicaciones ya limitan la duración. La aplicación Uniswap usa Permit2 y concede permisos de 30 días, según su centro de ayuda. Sin embargo, primero das un permiso al contrato Permit2 mismo, y ese no expira. En Starknet, los tokens siguen el mismo modelo que Ethereum, sin expiración.

ERC-8255 quiere hacer expirar los permisos por defecto

El 6 de mayo de 2026, Moody Salem, fundador de Ekubo, presentó el proyecto ERC-8255 en el sitio de los EIP. Su principio es simple: un permiso clásico expiraría tras una duración máxima, fijada por cada token. Una nueva función permitiría también conceder un permiso más corto, hasta un solo bloque.

El texto añade primero nuevas funciones, compatibles con aplicaciones existentes. Sin embargo, cambia el comportamiento de los permisos ordinarios, lo que divide a los desarrolladores. En el foro Ethereum Magicians, algunos prefieren dejar el permiso clásico intacto. El investigador pcaversaccio opina que «los permisos siempre han sido un error y no una funcionalidad» (traducción de la redacción).

Existen también otras vías. La propuesta ERC-7674 prevé permisos borrados al final de la transacción. Desde la actualización Pectra de mayo de 2025, un wallet compatible puede agrupar permiso e intercambio en una sola operación.

Al 18 de octubre de 2026, ERC-8255 seguía siendo un proyecto, y su texto no referenciaba ninguna implementación. Los enrutadores de Ekubo afectados el 5 de mayo no pueden modificarse. Sus permisos ilimitados solo desaparecen si cada usuario los retira. Nuestra comparativa de wallets cripto más seguros presenta otras protecciones disponibles.