¿Qué es Token Approval? ¿Por qué las carteras requieren autorización?
Cuando un usuario utiliza por primera vez plataformas DeFi, de NFT o servicios de intercambio de tokens, la cartera puede mostrar una solicitud para permitir que un contrato inteligente use tokens. Mucha gente al ver nombres de plataformas familiares o interfaces de carteras, confirma la transacción sin revisar detenidamente los tokens autorizados, el límite, la dirección del contrato y la red de blockchain que se está utilizando. Token Approval no significa necesariamente que los activos ya hayan sido transferidos, pero puede establecer un permiso continuo para el uso de tokens. En el mecanismo ERC20 común, approve se utiliza para configurar la autorización; allowance representa el límite de tokens que un spender aún puede usar en nombre del usuario, mientras que transferFrom podría ser utilizado por el contrato inteligente para completar operaciones de tokens posteriores. La documentación ERC20 de OpenZeppelin también establece estas interfaces como partes importantes del mecanismo de autorización de tokens. Esto no es lo mismo que simplemente conectar la cartera a un sitio web. Conectar una cartera es principalmente establecer una interacción entre el sitio web y la cartera,
¿Cuáles son los riesgos de autorizaciones ilimitadas?
Algunas plataformas requieren autorizaciones unlimited o infinite, con el propósito de reducir el número de confirmaciones y costos de red necesarios en el futuro. Este diseño puede hacer que la operación sea más conveniente, pero también significa que el límite de autorización no se limitará a la cantidad requerida para esta transacción. Si el usuario deja de utilizar la plataforma posteriormente, la autorización tampoco desaparecerá automáticamente. Los riesgos pueden provenir de sitios web falsos, contratos inteligentes maliciosos, dominio apoderado, o usuarios que firman transacciones incomprensibles. Mientras el contrato mantenga el permiso para usar ciertos tokens, el usuario, incluso habiendo abandonado la plataforma o transferido los tokens de vuelta a su cartera, podría seguir teniendo dicho permiso. Las guías oficiales de Ethereum también advierten que desconectar la cartera de la plataforma no significa eliminar la autorización de tokens, y que las autorizaciones de contratos inteligentes generalmente no tienen un tiempo de caducidad automático fijo. Si ocurre alguna de las siguientes situaciones, se recomienda detener las operaciones y verificar nuevamente:
- La pantalla de autorización muestra cantidades de tokens ilimitadas, infinitas o extremadamente grandes.
- El destinatario de la autorización es una plataforma que el usuario no ha utilizado previamente.
- El enlace del sitio proviene de airdrops desconocidos, mensajes directos, comentarios o publicidad sospechosa.
- La red de la cartera no coincide con la de la plataforma original que se utilizó.
- La pantalla de transacción no muestra claramente los tokens, la dirección del contrato o el límite de autorización.
Estas situaciones no significan que cada plataforma sea maliciosa, pero sí sirve como un recordatorio para que los usuarios no se basen únicamente en logotipos de marcas o interfaces familiares para tomar decisiones. Los hackers pueden ser técnicos que investigan sistemas y ayudan a reparar vulnerabilidades; aquellos que utilizan sitios web falsos, airdrops fraudulentos o falsos servicios al cliente para inducir a los usuarios a firmar autorizaciones peligrosas, deben ser considerados estafadores.
¿Cómo cancelar la autorización de criptomonedas? ¿Qué papel juega Revoke?
Cancelar la autorización se llama normalmente Revoke, y su principio fundamental es establecer el límite disponible para un contrato inteligente específico y un token específico en cero. No se trata de eliminar la cartera, ni de transferir tokens a otra dirección, y no es retirar transferencias que ya se han completado en la blockchain. Su función es detener el uso de la autorización de tokens por parte de dicho contrato en el futuro. Al realizar la verificación, es posible seguir el siguiente orden para reducir la posibilidad de errores:
- Verificar la dirección de la cartera y la red de blockchain seleccionada actualmente.
- Ingresar únicamente desde la función oficial de la cartera, desde exploradores de blockchain confiables o herramientas autorizadas seguras.
- Revisar los tokens, la dirección del contrato, la cantidad de autorización, el tiempo de autorización y el registro de transacciones.
- Priorizar la verificación de plataformas que ya no se estén utilizando o cuya fuente no se pueda confirmar.
- Leer la transacción de cancelación de autorización que salta desde la cartera, asegurándose de que no se trate de una nueva operación de transferencia de tokens.
- Esperar la confirmación en la blockchain y luego volver a actualizar la lista de autorizaciones.
Cancelar la autorización generalmente sigue siendo una transacción en la blockchain, por lo que se necesita pagar los costos correspondientes de red. La documentación oficial de Ethereum señala que las herramientas de verificación y las carteras deben utilizar la misma red; una vez completada, es mejor volver a conectar y confirmar el estado. Las autorizaciones en distintas redes necesitan ser verificadas por separado; no se puede asumir que si no hay registros en Ethereum, entonces no hay riesgo de autorización en TRC20 o en otras redes.
Puntos clave para la verificación de autorizaciones en imToken y TokenPocket TP
Las funciones y entradas pueden variar entre diferentes carteras, por lo que los usuarios no deben recordar solo la ubicación de un botón, sino buscar funcionalidades como Approval, Allowance, gestión de autorizaciones o similares. Al usar imToken, se puede verificar primero la cartera y la red actuales, y luego revisar la información relacionada con la autorización de tokens y la interacción con contratos inteligentes; si la interfaz no puede mostrar claramente el contenido de la transacción, no se debe complementar la operación a través de sitios desconocidos. TokenPocket, también conocido como TP, ofrece la función de Detección de Autorización. Según TokenPocket, los usuarios pueden ver la dirección del contrato de autorización, la cantidad autorizada, el tiempo de autorización y el hash de la transacción, y luego elegir Revoke Approval. Su principio básico es volver a establecer el límite de autorización en cero; después de terminar la firma, puede ser necesario refrescar la página para confirmar que la información de autorización se ha actualizado. Ya sea usando imToken, TokenPocket u otras carteras, se deben verificar cuatro cosas: si la autorización fue generada por sí
Preguntas frecuentes sobre Token Approval y autorización de carteras de criptomonedas
¿Token Approval permite a otros llevarse todos los activos de la cartera?
No necesariamente. Token Approval suele referirse a tokens específicos y contratos inteligentes específicos, y no significa que todos los activos en la cartera tengan permiso igual. El riesgo real depende del tipo de tokens autorizados, el límite, las funciones del contrato y el contenido de las transacciones firmadas por el usuario posteriormente. Si se trata de una autorización ilimitada, o si el destinatario de la autorización proviene de un sitio falso, el riesgo podría ser mayor en comparación con simplemente autorizar la cantidad necesaria para esta transacción. El riesgo de autorización es un problema diferente de la filtración de claves privadas de la cartera. Si la frase semilla o la clave privada han sido adquiridas por otros, simplemente cancelar una Token Approval podría no ser suficiente para proteger la cartera. En caso de situaciones sospechosas, se debe detener primero cualquier conexión con sitios desconocidos y la firma de nuevas transacciones, guardar las notificaciones de la cartera, el hash de la transacción y los enlaces relacionados, y luego buscar asistencia segura de confianza.
¿Los criptoactivos desaparecerán después de cancelar la autorización de tokens?
La operación normal de cancelación de autorización establece el límite de tokens que un contrato puede usar en cero; esto no significa que los tokens sean eliminados o que se transferirán activos fuera de la cartera. Cancelar la autorización normalmente no afectará directamente a los depósitos, préstamos o posiciones de liquidez que ya se han completado, pero el diseño del contrato de diferentes plataformas puede variar, y los usuarios deben comprender primero el contenido de la transacción, evitando confirmar de prisa cuando no entienden. Cancelar la autorización también requiere pagar costos de la red y esperar la confirmación de la blockchain. Esto no puede recuperar activos que ya han sido transferidos anteriormente. Si alguien afirma que solo necesita pagar una tarifa adicional para restaurar todos los tokens robados, o que deben proporcionar frases semilla, claves privadas y códigos de verificación completos, esto podría ser un fraude de recolección, y se debe cesar el contacto inmediatamente.
¿Aún necesito cancelar autorizaciones si ya no uso una plataforma DeFi o NFT?
Dejar de usar una plataforma no significa que los permisos de tokens otorgados anteriormente caducarán automáticamente. Las autorizaciones de contratos inteligentes generalmente no tienen un tiempo de caducidad fijo, por lo que las autorizaciones que no se han utilizado durante mucho tiempo aún deben revisarse periódicamente. Si se confirma que una autorización ya no es necesaria, se puede usar una herramienta confiable para revisar el contrato y el límite, y luego decidir si cancelar. Al cancelar autorizaciones también se deben evitar nuevos riesgos. No accedas a herramientas desde enlaces proporcionados en mensajes sospechosos o por falsos servicios al cliente, no firmes transacciones rápidamente solo porque aparezca una advertencia urgente en la pantalla, y no confundas desconectar la conexión del sitio con haber completado el Revoke. Si no se puede determinar la verdadera función de una transacción, es más seguro detener la operación que apresurarse a manejarla.
Una conclusión clave: verifica las autorizaciones periódicamente, no consideres la desconexión como cancelación.