Aprobaciones ilimitadas: cómo revocar permisos de tokens en Rabby antes de que te vacíen la wallet

Cada vez que haces un swap, das liquidez o prestas tokens en DeFi, firmas un permiso que deja a un contrato mover tus tokens. Casi siempre ese permiso es ilimitado y no caduca. Si un día ese contrato es hackeado, puede vaciar ese token de tu wallet aunque tú no vuelvas a firmar nada. La solución tiene dos partes: revocar los permisos de tokens que ya no usas y limitar la cantidad de cada permiso nuevo. Las dos se hacen en un minuto desde Rabby.

Es uno de los errores de seguridad más comunes y menos conocidos. No hace falta caer en una web falsa ni dar tu frase semilla: basta con haber usado hace meses un protocolo legítimo que después sufre un fallo. Te explico qué está pasando y cómo cerrar esas puertas, paso a paso.

Qué es una aprobación de tokens (approve)

Cuando usas una aplicación DeFi por primera vez con un token, por ejemplo para depositar USDT en Aave o cambiar USDC en Uniswap, tu wallet te pide firmar una transacción llamada approve (aprobación). Con ella le das permiso al contrato inteligente de esa aplicación para mover tus tokens en tu nombre.

Ese permiso es necesario: sin él, el protocolo no podría coger los tokens para hacer el swap o el depósito. El problema no es el permiso en sí, sino cuánto permiso das y cuánto tiempo lo dejas abierto.

El problema: aprobaciones ilimitadas que no caducan

Por comodidad, la mayoría de aplicaciones piden por defecto una aprobación ilimitada. Así no tienen que pedirte otro permiso en la siguiente operación. Pero eso significa que el contrato puede mover todo tu saldo de ese token, aunque solo fueras a usar una parte.

Y hay un segundo problema: estos permisos no caducan. Siguen activos hasta que los revocas. Da igual que el contrato sea legítimo hoy. Si en el futuro es hackeado, modificado o abandonado, la aprobación sigue ahí, y tus tokens con ella.

Es exactamente lo que advierte la propia Rabby: si un protocolo al que diste una aprobación ilimitada es hackeado, podrían sacar todo ese token de tu wallet en cualquier momento, aunque no estés usando la web. Incluso los tokens que recibas más adelante.

Desconectar la wallet no basta

Mucha gente cree que, al desconectar la wallet de una web, ya está protegida. No es así. Desconectar solo impide que la web vea tu dirección y tu saldo. El permiso vive en la blockchain y el contrato puede seguir usándolo. Para quitarlo hay que revocarlo, que es otra transacción.

Cómo revisar y revocar permisos de tokens en Rabby

Si todavía no usas Rabby para tu DeFi en redes EVM, te cuento por qué la prefiero en cómo organizo mis wallets. Para revocar desde la extensión:

1. Abre Rabby y entra en Approvals (Aprobaciones) desde la pantalla principal.
2. Elige cómo verlos: - Por contrato: agrupa los permisos por protocolo (Uniswap, GMX, gTrade…). Rabby muestra además una valoración de confianza de cada contrato y cuánta gente lo está revocando en las últimas 24 horas. - Por activo: lista cada token y qué contrato (spender) puede moverlo. Aquí ves de un vistazo qué aprobaciones son ilimitadas.
3. Filtra por red desde el selector de arriba. Los permisos son de cada red: lo que aprobaste en Arbitrum no aparece en Polygon. Revisa todas las que hayas usado.
4. Selecciona el permiso que quieres quitar y pulsa revocar. Si son varios, puedes marcarlos todos y revocarlos de una vez: Rabby los pone en cola y los ejecuta seguidos (no cierres la pantalla hasta que terminen).
5. Firma y confirma. Es una transacción en la blockchain, así que paga gas en la red correspondiente.
6. Actualiza la lista y comprueba que el permiso ya no aparece.

En la app móvil de Rabby el proceso es el mismo: Approvals en la pantalla principal, eliges la dirección y seleccionas los permisos que quieres revocar.

Qué permisos revocar primero

No hace falta revocarlo todo cada semana. Prioriza así:

• Contratos que Rabby marca como hackeados: revócalos ya, aunque ahora no tengas ese token. Una aprobación ilimitada activa podría vaciar los que recibas después.
• Contratos con valoración de confianza baja, que suelen ser arriesgados o llevar mucho tiempo inactivos.
• Contratos con muchas revocaciones en las últimas 24 horas: puede ser señal de un problema en marcha.
• Protocolos que ya no usas.
• Aprobaciones ilimitadas de tokens con saldo importante.

Si prefieres hacerlo fuera de la wallet, Revoke.cash hace lo mismo: conectas la wallet, ves tus permisos y los revocas.

Cómo evitar aprobaciones ilimitadas desde el principio

Revocar está bien, pero es mejor no dejar la puerta abierta. Rabby te deja editar la cantidad que apruebas antes de firmar. Así lo hago, con el ejemplo de un depósito de USDT en Aave:

1. En la aplicación, elige la operación y la cantidad. Por ejemplo, Supply en Aave con 10 USDT.
2. Pulsa Approve. Se abre la ventana de Rabby.
3. Mira la cantidad aprobada. Por defecto suele ser una cifra absurda, de millones de tokens. Eso es una aprobación ilimitada a efectos prácticos.
4. Cámbiala. Tienes dos opciones: - Aprobar solo tu saldo: con un clic ajustas la cantidad a lo que tienes en la wallet (en el ejemplo, 10 USDT). - Elegir una cantidad concreta: con el icono de editar escribes, por ejemplo, 1.000 si sabes que en los próximos días vas a ir depositando hasta esa cifra.
5. Firma y confirma. Después harás la operación en sí (el depósito) con otra firma.

¿Por qué no aprobar siempre la cantidad exacta? Porque cada aprobación cuesta gas. Si vas a hacer varias operaciones con el mismo protocolo, aprobar un importe razonable te ahorra firmas sin dejar todo tu saldo expuesto. Es un equilibrio entre comodidad y riesgo.

Un truco más: si no tienes el token nativo de la red para pagar el gas, Rabby tiene una función llamada Gas Account que te permite pagar comisiones en redes EVM con un saldo en stablecoins.

Un hábito, no una tarea de una vez

La seguridad en DeFi no se arregla con un clic. Se mantiene con una rutina sencilla:

• Antes de firmar: mira qué token y qué cantidad estás aprobando. Si es ilimitada y no lo necesitas, edítala.
• Cada cierto tiempo: entra en Approvals y revoca lo que ya no uses.
• Si oyes que un protocolo ha sido hackeado: revisa inmediatamente si tienes permisos con él.
• Separa direcciones: la dirección donde guardas tus ahorros no debería tener permisos con nadie. Opera desde otra y prueba protocolos nuevos desde una tercera con poco capital. Lo explico en cómo organizar tus wallets.

Las aprobaciones son solo una de las formas de perder dinero en cripto. Las demás (webs falsas, errores de red, tokens trampa, plataformas Ponzi…) las tienes en las principales formas de perder dinero en cripto y cómo evitarlas.

Proteger también la firma

Limitar y revocar permisos reduce el daño si un contrato falla. Pero si mueves cantidades relevantes, la otra mitad es proteger quién firma. Rabby se puede conectar a una hardware wallet: usas su interfaz y cada transacción se confirma en el dispositivo. Mis recomendaciones son OneKey o Trezor (con un 10 % de descuento con mi enlace), y Ledger si buscas algo más económico y compatible con casi todo.

Así, aunque una web te pida firmar algo raro, tienes que confirmarlo físicamente en el dispositivo, y eso te obliga a parar y mirar.

Conclusión

Las aprobaciones ilimitadas son una puerta abierta que casi nadie revisa. No hace falta vivir con miedo: basta con limitar la cantidad antes de aprobar, revocar lo que ya no usas y no dar permisos desde la dirección donde guardas tus ahorros. Con Rabby, las tres cosas te llevan unos minutos.

Si quieres que revisemos juntos cómo tienes montada tu estructura de wallets y dónde estás asumiendo riesgos sin saberlo, diseñamos un plan a tu medida.

Preguntas frecuentes

¿Qué es una aprobación ilimitada de tokens?

Es un permiso que das a un contrato inteligente para mover todo tu saldo de un token, no solo la cantidad que vas a usar. Muchas aplicaciones DeFi la piden por defecto para no tener que pedirte otro permiso en la siguiente operación.

¿Las aprobaciones de tokens caducan?

Los permisos clásicos de tokens no caducan: siguen activos hasta que los revocas o hasta que el contrato gasta la cantidad aprobada. Por eso un permiso que diste hace un año a un protocolo que ya no usas puede seguir abierto.

¿Desconectar la wallet de una web revoca los permisos?

No. Desconectar solo impide que la web vea tu dirección y tu saldo. El contrato sigue pudiendo mover tus tokens mientras el permiso esté activo. Para quitarlo tienes que revocarlo con una transacción en la blockchain.

¿Cuánto cuesta revocar un permiso?

Revocar es una transacción en la blockchain, así que pagas el gas de la red en la que está el permiso. En redes como Arbitrum o Base suele ser poco; en la red principal de Ethereum puede ser bastante más. Por eso conviene revocar con criterio, empezando por lo más arriesgado.

¿Puedo revocar permisos sin Rabby?

Sí. Herramientas como Revoke.cash te dejan ver y revocar permisos de cualquier dirección conectando tu wallet. Rabby simplemente lo integra en la propia wallet, sin salir de ella.

Fran Martín

Llevo años generando ingresos pasivos con DeFi y lo cuento todo en mi canal de YouTube: qué uso, cuánto arriesgo y cómo lo hago, paso a paso.

Ver mi canal de YouTube →

Este artículo es educativo y refleja mi experiencia personal; no es asesoramiento financiero. Las criptomonedas son volátiles y puedes perder dinero. Algunos enlaces pueden ser de afiliado.