¿Qué son los dreners de billetera? Dentro de la industria del phishing de aprobación

Los dreners de billetera han robado miles de millones a los usuarios de criptomonedas, y casi ninguno de estos robos involucró una contraseña robada o una blockchain hackeada. Involucró a víctimas que firmaron transacciones que no entendían. Esta guía explica cómo funcionan realmente los dreners, el mecanismo de aprobación de tokens que explotan, la industria de drener como servicio que ha industrializado el robo, las firmas específicas que le dan a los atacantes todo, y exactamente cómo proteger una billetera y revocar las aprobaciones que pueden ser peligrosas.

La técnica de robo más exitosa en criptomonedas no rompe nada. Pide permiso, y la víctima lo concede. Los dreners de billetera, herramientas maliciosas que vacían una billetera de criptomonedas de sus tokens y NFTs en una sola transacción aprobada, han robado miles de millones de dólares a cientos de miles de víctimas, y el hecho sorprendente sobre casi cada caso es que la blockchain funcionó perfectamente, la criptografía se mantuvo, y nunca se robó ninguna contraseña. La víctima fue engañada para firmar una transacción que autorizaba el robo, y la cadena, haciendo exactamente lo que está diseñada para hacer, ejecutó la autorización fielmente.

Esta es la característica definitoria de la era de los dreners: la superficie de ataque se movió del protocolo a la persona. Las blockchains hicieron que robar monedas rompiendo las matemáticas fuera prácticamente imposible, así que los ladrones dejaron de intentarlo y se volvieron hacia el único componente que ninguna criptografía puede asegurar, el humano que decide qué firmar. Los dreners son el producto industrializado de ese cambio, herramientas empaquetadas vendidas como un servicio a criminales no técnicos, completas con la infraestructura de phishing para atraer a las víctimas y los contratos inteligentes para barrer sus activos en el instante en que aprueban.

Esta guía explica toda la máquina. Cubre cómo funcionan las aprobaciones de blockchain y por qué son la vulnerabilidad, la anatomía de un ataque de drener desde el señuelo hasta el barrido, las firmas maliciosas específicas, aprobaciones, permisos, y las notorias transacciones de firma ciega, que entregan a los atacantes todo, la industria de drener como servicio que convirtió el robo de billeteras en un negocio de franquicia, los señuelos que entregan víctimas, y las defensas concretas, incluyendo cómo encontrar y revocar las aprobaciones peligrosas que pueden estar sentadas en tu billetera en este momento.

Aprobaciones: la característica que se convirtió en arma

Para entender los dreners, entiende las aprobaciones de tokens, porque todo el ataque es un abuso de una característica legítima y necesaria. Cuando usas una aplicación descentralizada, un DEX, un protocolo de préstamos, un mercado de NFT, necesita permiso para mover tus tokens en tu nombre. En lugar de aprobar cada transacción individualmente, el mecanismo estándar te permite otorgar a un contrato inteligente una asignación: permiso para gastar hasta cierta cantidad de un token específico de tu billetera, para que la aplicación pueda operar sin problemas sin preguntar cada vez.

Esto es conveniente y, usado honestamente, seguro. El problema es lo que el mecanismo permite cuando se abusa. Las aprobaciones pueden ser por cantidades ilimitadas, una sola firma puede autorizar a un contrato a mover todos los tokens que alguna vez poseerás, y persisten, una aprobación que otorgaste una vez permanece activa hasta que la revoques, a veces durante años, manteniendo silenciosamente el permiso para drenar ese token mucho después de que hayas olvidado la transacción. Un contrato malicioso que obtiene una aprobación ilimitada y persistente para tu token más valioso tiene una llave permanente a esa parte de tu billetera, y puede usar esa llave siempre que lo desee, incluso mucho después del momento en que firmaste.

Los drainer existen para obtener exactamente esas aprobaciones mediante el engaño. El objetivo completo del atacante es hacer que firmes una transacción que otorga a un contrato malicioso permiso sobre tus activos, y todo lo demás, los sitios web falsos, los mensajes urgentes, las marcas suplantadas, son maquinaria construida para fabricar esa única firma. Una vez otorgado, el robo no es un hackeo; es el contrato ejerciendo un permiso que autorizaste, razón por la cual los robos de drainer son tan difíciles de revertir y por la cual la blockchain no ofrece ningún recurso a la víctima: desde la perspectiva del protocolo, nada salió mal en absoluto.

Anatomía de un ataque de drainer

Un ataque de drainer sigue una secuencia consistente, y conocerla hace que el peligro sea legible. Comienza con un señuelo: la víctima se encuentra con algo diseñado para hacer que conecte una billetera y firme, una versión falsa del sitio web de un proyecto real, una reclamación fraudulenta de airdrop, un enlace malicioso en una cuenta de redes sociales hackeada, una página de acuñación falsa para el tipo de lanzamiento de memecoin que atrae multitudes a firmar rápidamente, un resultado de búsqueda o anuncio envenenado. El trabajo del señuelo es colocar a la víctima frente a un aviso de firma de billetera mientras cree que está haciendo algo legítimo, reclamando una recompensa, acuñando un NFT, verificando una cuenta, conectándose a una aplicación familiar.

Luego viene la solicitud de firma, el corazón del ataque. El sitio malicioso solicita a la billetera de la víctima que firme una transacción, y la transacción está diseñada para otorgar al contrato del atacante permiso sobre los activos de la víctima, una aprobación de token ilimitada, una firma de permiso, o una autorización agrupada que cubre múltiples activos a la vez. Para la víctima, el aviso a menudo parece rutinario, y los drainer modernos trabajan arduamente para que parezca exactamente la acción legítima que la víctima espera, disfrazando la aprobación maliciosa como la conexión o reclamación que vinieron a realizar. La billetera, correctamente, muestra un aviso de firma; la víctima, creyendo que es benigno, aprueba.

La barrida sigue instantáneamente. En el momento en que la aprobación se realiza, la infraestructura del drainer mueve los activos autorizados fuera de la billetera, a menudo dentro del mismo bloque, corriendo a través de la misma infraestructura de orden de prioridad que impulsa toda la extracción en cadena, priorizando frecuentemente los tokens más valiosos primero y utilizando automatización para drenar todo lo que la firma autorizó antes de que la víctima entienda lo que sucedió. Los activos robados son luego blanqueados a través de mezcladores y rutas cruzadas, el mismo camino de ocultación que sigue cada gran robo, rastreando que la industria de análisis en cadena persigue pero rara vez revierte, y para cuando la víctima se da cuenta, los activos se han ido y la aprobación que autorizó su pérdida a menudo sigue activa, lista para barrer cualquier nuevo token que llegue. Toda la secuencia, desde el señuelo hasta la barrida, puede completarse en segundos, y su velocidad es la razón por la cual la prevención, no la reacción, es la única defensa real.
También te puede gustar: Bitcoin enfrenta un dolor máximo de $62K mientras $1.75B en opciones de criptomonedas expiran.

Las firmas que lo revelan todo

No todas las firmas maliciosas son iguales, y las más peligrosas valen la pena conocer por su nombre, porque reconocerlas es la diferencia entre un susto cercano y una billetera vacía.

La aprobación ilimitada es el clásico: una firma que otorga a un contrato permiso para gastar una cantidad ilimitada de un token específico. Las aplicaciones legítimas a veces solicitan estas aprobaciones por conveniencia, lo que es precisamente lo que las hace peligrosas; las víctimas se acostumbran a aprobarlas, y un contrato malicioso con una aprobación ilimitada puede drenar ese token por completo, tanto en el momento como después. La firma de permiso es aún más sutil y peligrosa: los estándares de token más nuevos permiten que las aprobaciones se otorguen a través de un mensaje firmado fuera de la cadena en lugar de una transacción en la cadena, lo que significa que una víctima puede autorizar un drenaje al firmar lo que parece ser un mensaje inofensivo, sin tarifa de gas y sin transacción obvia, haciendo que los ataques basados en permisos sean especialmente engañosos porque eluden la alarma mental que podría desencadenar una transacción de aprobación explícita. Las firmas agrupadas o delegadas, que autorizan acciones a través de múltiples activos o otorgan un control amplio en una sola aprobación, permiten que una sola firma entregue todo el valor de una billetera de una vez.

Detrás de todo esto está el problema más profundo: la firma ciega. Una billetera de hardware o una billetera de software protege tus claves, pero a menudo no puede decirte, en lenguaje claro, lo que realmente hace una transacción compleja, mostrando en su lugar un hash opaco o un blob de datos incomprensible. Cuando una víctima no puede leer lo que está autorizando, está confiando en la descripción del sitio web sobre la transacción en lugar de en la transacción misma, y los drenadores explotan exactamente esa brecha, presentando una historia benigna mientras que la firma subyacente autoriza el robo. La firma ciega es la vulnerabilidad más grande en la custodia propia, el mismo modo de fallo detrás de los mayores robos institucionales de la industria, y es por eso que las defensas que más importan son las que hacen que las transacciones sean legibles antes de ser firmadas.

Drenador como servicio: el robo como franquicia
Lo que convirtió el drenaje de billeteras de una molestia dispersa en una industria de mil millones de dólares fue una innovación en el modelo de negocio: drenador como servicio. En lugar de que cada ladrón construya sus propias herramientas, desarrolladores sofisticados construyeron kits de drenadores, paquetes completos que incluyen los contratos inteligentes maliciosos, las plantillas de sitios de phishing, la automatización de barrido de activos e incluso soporte al cliente, y los alquilan o licencian a criminales no técnicos a cambio de un porcentaje de los fondos robados, comúnmente un porcentaje de cada drenaje.

Esta franquicia es la razón por la que los drenadores escalaron de manera tan catastrófica. Eliminó la barrera de habilidades: un criminal sin habilidades de codificación ahora puede desplegar una operación de drenaje de grado profesional suscribiéndose a un servicio, apuntándolo a un señuelo y dividiendo las ganancias con los desarrolladores. Los kits compiten en efectividad, evolucionando rápidamente para derrotar las advertencias de billetera, evadir la detección y mejorar su engaño, una carrera armamentista financiada por el robo mismo. Los notorios servicios de drenadores han procesado sumas asombrosas a través de decenas o cientos de miles de víctimas, pérdidas a la escala de los exploits que drenan protocolos enteros antes de cerrar, rebrandearse o ser sucedidos por imitadores, y la resiliencia del modelo es estructural: derriba uno y la demanda, las herramientas y los desarrolladores simplemente se reconstituyen bajo un nuevo nombre. La industria ha profesionalizado la forma en que lo hizo el software legítimo, con niveles, actualizaciones y soporte, aplicados completamente a la fabricación de firmas maliciosas.

La escala, y por qué siguió creciendo

Los números detrás de la era de los drainer explican por qué atrae tanta atención. Durante los años pico del fenómeno, las operaciones de drainer robaron colectivamente miles de millones de dólares de cientos de miles de billeteras, con servicios individuales procesando cientos de millones antes de retirarse o rebrandearse, y las pérdidas se concentraron no entre novatos descuidados, sino a lo largo de todo el espectro de usuarios, incluidos los titulares experimentados que firmaron una mala transacción en un momento de rutina. La curva de crecimiento siguió la expansión del modelo de servicio: a medida que los kits se volvieron más fáciles de alquilar y más efectivos para eludir las advertencias de billetera, el número de operadores se multiplicó, y el daño total escaló con ellos.

Dos dinámicas hicieron que el problema fuera obstinado. La primera es la carrera armamentista: cada mejora en la seguridad de las billeteras, las advertencias de transacción, las listas de bloqueo de sitios de phishing, las alertas de aprobación, fue respondida por los desarrolladores de drainer adaptando sus kits para evadirla, financiados por el robo mismo, por lo que las defensas y los ataques co-evolucionaron sin que ninguna de las partes ganara de manera permanente. La segunda es el problema de la reconstitución: dado que el modelo es un servicio, no una operación fija, desmantelar cualquier drainer individual, a través de la aplicación de la ley, la cooperación de intercambios, o simplemente los desarrolladores cobrando, elimina una marca pero no la demanda, la experiencia o las herramientas, que reaparecen bajo nuevos nombres. La industria ha demostrado ser tan resistente como cualquier mercado de software legítimo, por las mismas razones: bajas barreras de entrada, fuerte demanda y una iteración continua, todas apuntando a la fabricación de firmas maliciosas.

Un drainer en cámara lenta
Caminar un ataque compuesto a velocidad humana hace que la secuencia abstracta sea concreta. Un usuario ve una publicación de lo que parece ser un proyecto que sigue, una cuenta que parece oficial, anunciando un airdrop sorpresa con un plazo de reclamación de horas. La urgencia es deliberada. Hacen clic en el enlace, que lleva a un sitio que es un clon pixel-perfecto del proyecto real, alcanzado a través de un dominio que difiere en un carácter del genuino. El sitio les invita a conectar su billetera para verificar la elegibilidad, una acción rutinaria que parece inofensiva, y lo hacen. Informa que califican para una asignación sustancial y les solicita firmar una transacción para reclamarla.

El aviso es la trampa. Lo que el sitio describe como una reclamación es, en el fondo, una solicitud para otorgar al contrato del atacante una aprobación ilimitada sobre el token más valioso del usuario, o una firma de permiso que autoriza lo mismo a través de un mensaje sin gas que parece aún más inocuo. El usuario, emocionado por el airdrop y tranquilizado por el sitio que parece familiar, lee la descripción benigna del sitio en lugar del verdadero contenido de la transacción, que su billetera puede mostrar solo como un bulto opaco, y aprueba.

Dentro del mismo bloque, el drainer barre el token autorizado de la billetera, y si la firma fue amplia, se mueve al siguiente activo. Minutos después, el usuario revisa los canales del proyecto real y descubre que no existió ningún airdrop. La aprobación que autorizó el robo sigue activa, y a menos que se revoque, barrerá cualquier token de reemplazo que llegue. Cada paso se sintió normal; toda la pérdida fluyó de una sola firma firmada en una prisa fabricada, que es todo el diseño del drainer en miniatura.

Los señuelos: cómo se entregan las víctimas

Los contratos de drainer son solo la mitad de la máquina; la otra mitad es la infraestructura de atracción que entrega a las víctimas al aviso de firma, y su variedad merece ser catalogada porque el reconocimiento es defensa. Los airdrops falsos y las reclamaciones de tokens explotan la codicia y la urgencia, prometiendo tokens gratuitos que requieren conectar una billetera y firmar para reclamarlos. Los sitios de suplantación clonan proyectos reales pixel por pixel, accediendo a través de anuncios de búsqueda envenenados, dominios con errores tipográficos o enlaces publicados desde cuentas oficiales comprometidas, por lo que las víctimas creen que están en el sitio genuino. Las acuñaciones falsas y las ediciones limitadas fabrican escasez y presión temporal, apresurando a las víctimas más allá de la precaución. Las cuentas de redes sociales comprometidas, incluidas las verificadas y oficiales, publican enlaces maliciosos a seguidores confiados. Los mensajes directos que ofrecen apoyo, oportunidades o advertencias atraen a las víctimas a sitios maliciosos. Y los anuncios maliciosos colocados en motores de búsqueda y plataformas sociales ponen sitios fraudulentos por encima de los reales.

El hilo común es psicológico: cada atracción ingenia un estado, emoción, urgencia, confianza, miedo a perderse algo, en el que la víctima está preparada para firmar sin escrutinio. La sofisticación técnica del drainer es casi secundaria a la ingeniería social de la atracción, porque todo el ataque depende de atrapar a la víctima en un momento en el que aprueban primero y piensan después. Por eso, la defensa más efectiva no es técnica sino conductual, una negativa constante a firmar cualquier cosa desde un estado de urgencia, y también es por eso que los atacantes invierten tanto en fabricar esa urgencia.

Defensa y revocación de lo que puede ser peligroso

Proteger una billetera contra drainers se reduce a un conjunto de hábitos y una tarea de mantenimiento que la mayoría de los usuarios nunca ha realizado. Los hábitos: tratar cada solicitud de firma como una decisión, no como una formalidad, y nunca firmar desde un estado de urgencia, ya que la urgencia es el ataque. Verificar sitios de manera independiente, escribiendo URLs conocidas o usando marcadores en lugar de hacer clic en enlaces, anuncios o resultados de búsqueda. Ser intensamente sospechoso de cualquier cosa gratuita, inesperada o con presión temporal, las firmas emocionales de una atracción. Usar una billetera que decodifique y simule transacciones, mostrando en lenguaje claro lo que una firma realmente hará antes de que la apruebes, lo que ataca directamente la vulnerabilidad de firma ciega, y negarse a firmar cualquier cosa que no puedas leer. Mantener activos serios en una billetera de hardware, y mejor aún, en una billetera fría dedicada que nunca se conecte a aplicaciones, de modo que la billetera que uses para interactuar con dapps contenga solo lo que puedes permitirte perder. Y tratar las aprobaciones ilimitadas con especial precaución, otorgando solo la autorización que una interacción realmente necesita cuando sea posible.

La tarea de mantenimiento es revocar aprobaciones, y es la que la mayoría de los usuarios omite. Cada aprobación que hayas otorgado sigue activa hasta que se revoque, lo que significa que permisos antiguos y olvidados, incluidas cualquier maliciosa que puedas haber firmado sin consecuencias aún, permanecen en tu billetera como un riesgo constante. Las herramientas de verificación de aprobaciones, incluidas las que están integradas en billeteras importantes y exploradores de bloques, te permiten ver cada aprobación activa en tu billetera, qué contratos pueden gastar qué tokens, y revocar aquellos que no reconoces o que ya no necesitas. Revisar y revocar aprobaciones periódicamente cierra las puertas permanentes de las que dependen los drainers, y hacerlo ahora, especialmente revocando cualquier aprobación ilimitada a contratos desconocidos, es la acción de seguridad de mayor valor que la mayoría de los usuarios de criptomonedas pueden tomar y no han hecho.

El resumen honesto es que los drainer son la forma madura del robo de criptomonedas en una era donde la criptografía no puede ser quebrantada: la industria aseguró el código de tal manera que los criminales lo abandonaron por lo humano, y construyeron una industria profesional en torno a fabricar lo único que la custodia propia no puede prevenir, la propia firma de una víctima en una transacción maliciosa. Ninguna actualización de blockchain soluciona esto, porque nada salió mal con el blockchain, y la defensa es, en consecuencia, humana: sospecha informada, transacciones legibles, exposición mínima y aprobaciones revocadas.

La tecnología le dio a todos el poder de ser su propio banco, y los drainer son el recordatorio constante de que ser su propio banco significa ser su propio departamento de seguridad, y que el cortafuegos más importante en las criptomonedas es la pausa entre leer una solicitud de firma y aprobarla.

Un último marco que vale la pena llevarse: los drainer son el precio de la mayor fortaleza de la custodia propia. La misma propiedad que te permite mantener activos que ningún banco puede congelar, la autoridad final sobre tu propia firma, es la propiedad que los atacantes vuelven en tu contra, porque una firma que te engañaron para hacer es tan definitiva como cualquier otra. No hay línea de soporte para revertirlo y ninguna institución para absorber la pérdida, que es exactamente el intercambio que ofrece la custodia propia: control total a cambio de responsabilidad total. La buena noticia es que la responsabilidad se descarga mediante un puñado de hábitos aprendibles y una tarde atrasada dedicada a revocar aprobaciones antiguas, y los usuarios que los internalizan son, en la práctica, extremadamente difíciles de drenar. El cortafuegos eres tú; esta guía es su manual.

Descargo de responsabilidad: Este artículo es solo para fines educativos y no constituye asesoramiento de inversión o seguridad. La custodia propia de activos digitales conlleva un riesgo significativo, y ninguna práctica lo elimina. Los detalles son actuales a partir del 9 de julio de 2026. Siempre haz tu propia investigación.

Preguntas frecuentes

¿Qué es un drainer de billetera en términos simples?

Un drainer de billetera es una herramienta maliciosa que vacía una billetera de criptomonedas de sus tokens y NFTs después de engañar al propietario para que firme una transacción que autoriza el robo. No roba contraseñas ni quiebra el blockchain; abusa del mecanismo de aprobación legítimo que permite a las aplicaciones mover tus tokens, obteniendo ese permiso a través del engaño y luego arrasando los activos. El blockchain ejecuta el robo como una acción autorizada.

¿Cómo roban los drainer criptomonedas sin hackear nada?

Explotan lo humano, no la tecnología. Los blockchains te permiten otorgar a los contratos inteligentes permiso para mover tus tokens, y los drainer te engañan para que otorgues ese permiso a un contrato malicioso, generalmente a través de un sitio web falso o un airdrop que presenta un aviso de firma de apariencia benigna. Una vez que apruebas, el contrato mueve tus activos legítimamente, desde la perspectiva del protocolo, que es por qué nada es técnicamente hackeado y el robo es difícil de revertir.

¿Qué es una aprobación de token y por qué es peligrosa?

Una aprobación de token es el permiso que otorgas a un contrato inteligente para gastar tus tokens, de modo que las aplicaciones puedan operar sin pedir permiso para cada transacción. Se vuelve peligrosa cuando la aprobación es ilimitada y persistente: una sola firma puede autorizar a un contrato a mover todo un token, y el permiso permanece activo hasta que se revoca. Un contrato malicioso con tal aprobación tiene una llave permanente para esa parte de tu billetera.

¿Qué es la firma ciega?

La firma ciega es aprobar una transacción cuyo verdadero efecto no puedes leer, típicamente mostrado como un hash opaco o un blob de datos, no como una descripción en lenguaje claro. Debido a que no puedes ver lo que estás autorizando, confías en la historia del sitio web sobre la transacción en lugar de en la transacción misma, que es exactamente lo que explotan los drenadores. Es la mayor vulnerabilidad en la custodia personal, y las transacciones simuladas y legibles son la defensa directa.

¿Qué es drainer-as-a-service? {#faq-question-1783680762052}

Drainer-as-a-service es el modelo de negocio que ha industrializado el robo de billeteras: desarrolladores expertos construyen kits completos de drenaje, contratos maliciosos, plantillas de phishing, automatización de barridos, incluso soporte, y los alquilan a criminales no técnicos a cambio de una parte de los fondos robados. Eliminó la barrera de habilidades, permitiendo que cualquiera ejecute una operación de drenaje profesional, razón por la cual los drenadores escalaron a miles de millones en pérdidas y por la que derribar un servicio rara vez detiene el problema.

¿Cómo puedo saber si una solicitud de firma es maliciosa? {#faq-question-1783680782213}

A menudo no puedes saberlo solo por la solicitud, que es el peligro, así que la defensa es un proceso en lugar de detección. Nunca firmes desde un estado de urgencia, verifica los sitios de forma independiente en lugar de hacer clic en enlaces, desconfía de cualquier cosa gratuita o con presión de tiempo, y utiliza una billetera que decodifique y simule transacciones para mostrar en lenguaje claro lo que hará una firma. Si no puedes leer lo que estás autorizando, no lo firmes.

¿Qué debo hacer si creo que firmé una aprobación maliciosa? {#faq-question-1783680789763}

Actúa de inmediato: utiliza una herramienta de verificación de aprobaciones, como las que están integradas en las principales billeteras o exploradores de bloques, para encontrar y revocar la aprobación maliciosa antes de que drene nuevos activos, ya que el permiso permanece activo hasta que se revoca. Mueve cualquier activo restante a una billetera nueva y segura. Si ya ocurrió un drenaje, los fondos robados generalmente son irrecuperables, pero revocar detiene el robo adicional a través de la misma aprobación.

¿Cómo protejo mi billetera de los drenadores? {#faq-question-1783680795940}

Combina hábitos y higiene: trata cada firma como una decisión y nunca firmes bajo urgencia, verifica los sitios de forma independiente, utiliza una billetera que decodifique transacciones y rechaza firmar lo que no puedes leer, mantén activos serios en una billetera fría que nunca toque aplicaciones, otorga aprobaciones mínimas en lugar de ilimitadas, y revisa y revoca periódicamente las aprobaciones activas. Revocar aprobaciones antiguas e ilimitadas es la acción de mayor valor que la mayoría de los usuarios nunca ha realizado.

Divulgación: Este artículo no representa asesoramiento de inversión. El contenido y los materiales presentados en esta página son solo para fines educativos. Lee más: El DOJ acusa a un recluso por el presunto robo de criptomonedas de $290K