Tipos de firma en wallets cripto 2026: personal_sign, Permit, Permit2 y EIP-7702

⚠️ Lee esto primero: la seguridad de las firmas supone que ya tienes una cuenta. Regístrate en Binance con el enlace de registro (p. ej. «Regístrate ahora») o con el código de invitación BINANBT para obtener las recompensas de nuevo usuario (20 % de reembolso de comisiones + hasta 19.800 dólares en recompensas de bienvenida). Ojo: registrarte directamente en la app no da nada; debes usar el enlace o introducir el código.

Puntos clave (TL;DR):

• La palabra «firma» en una wallet abarca al menos nueve cosas distintas, con riesgos separados por tres órdenes de magnitud. Conectar la wallet no mueve nada; una firma de mensaje simple normalmente tampoco; pero Permit, Permit2, EIP-3009 y EIP-7702 pueden mover tokens o tomar el control de toda la cuenta sin una transferencia.
• Juzga por tres campos, no por el nombre: spender, importe y vencimiento. Spender desconocido, importe ilimitado o vencimiento en 2106: cualquiera de los tres significa tratarlo como una transferencia.
• La capa de firmas concentra las pérdidas grandes. En enero de 2026 el phishing de firmas costó unos 6,27 millones de dólares a 4.741 víctimas; en julio de 2026 un trader perdió cerca de 1 millón por una firma Permit2 falsificada.
• La mayoría de firmas no deja rastro on-chain. Un Permit no enviado o un SignatureTransfer de Permit2 son invisibles para las herramientas de revocación; mover los fondos a una wallet nueva es el único freno fiable.
• EIP-7702 es un nivel de riesgo nuevo. No aprueba un token: entrega los derechos de ejecución de toda la dirección, y revocarlo exige otra transacción 0x04 apuntando a la dirección cero.
• Una hardware wallet te ayuda a ver, no a decidir. Si la pantalla muestra una aprobación que no entiendes y confirmas, la firmaste tú.

Índice

• Respuesta en una línea: tres niveles de riesgo
• Por qué las firmas son más peligrosas que las transferencias
• Los nueve tipos de firma y aprobación
• Uno por uno: qué autoriza cada firma
• Cómo leer un popup de la wallet: cinco campos
• Pérdidas de 2026: tres incidentes que explican el patrón
• Cómo revocar según el tipo de firma
• La comprobación de 30 segundos antes de firmar
• Cinco mitos habituales
• 💰 Reembolso de Binance: código BINANBT
• Preguntas frecuentes
• Lecturas relacionadas

Respuesta en una línea: tres niveles de riesgo

Las firmas de wallet se dividen en tres niveles: las que no pueden mover activos, las que pueden mover un token o una colección concreta y las que pueden tomar el control de toda la cuenta. No hace falta memorizar nueve nombres: identifica el nivel y luego decide si firmas.

• Nivel 1: no mueve activos. Conectar la wallet, firmar para iniciar sesión y algunos mensajes de «demuestra que eres el dueño de esta dirección». No cambian el estado on-chain; el riesgo principal es exponer tu dirección e identidad social.
• Nivel 2: puede mover un token, una colección NFT o una transferencia. ERC-20 approve, EIP-2612 permit, EIP-3009, Permit2 y las órdenes Seaport están aquí. La diferencia es cuánto, cuántas veces y si se puede revocar.
• Nivel 3: puede mover toda la cuenta. Hoy es sobre todo EIP-7702. Delega los derechos de ejecución de la dirección a un contrato, es decir, entrega una copia de la llave de la cuenta.

El hábito que hay que construir es simple: cuando aparece un popup de firma, busca primero la dirección del spender, luego el importe y el vencimiento, y solo después mira la web. Las webs se pueden falsificar; los campos no, siempre que los leas.

Por qué las firmas son más peligrosas que las transferencias

Una transferencia te obliga a escribir destinatario e importe; una firma solo requiere un clic, así que el atacante solo tiene que ganar ese clic, no tu contraseña. Por eso el phishing de firmas escala mejor que el robo de cuentas.

Hay cuatro diferencias estructurales:

1. Las firmas no cuestan gas ni muestran una pantalla de «enviar». El usuario cree que solo está iniciando sesión y baja la guardia.
2. Una firma puede cubrir muchos tokens. Las aprobaciones por lotes de Permit2 convirtieron «revocar cada token» en «firmar una vez»; los drainers usan la misma función para vaciar una wallet de golpe.
3. Las firmas off-chain no dejan registro on-chain. Antes de enviarse, los exploradores, las herramientas de revocación y a veces la propia wallet no las ven.
4. La simulación de transacciones suele ser incompleta para firmas. Las wallets simulan lo que ocurre si se ejecuta una transacción, pero muchas no simulan la aprobación off-chain que acabas de firmar.

Los datos de ScamSniffer de enero de 2026 registraron unos 6,27 millones de dólares perdidos por 4.741 víctimas, con pérdidas un 207 % superiores al mes anterior mientras el número de víctimas caía un 11 %. La campaña pasó de señuelos masivos a caza de ballenas: dos víctimas concentraron cerca del 65 % de las pérdidas de enero, y la mayor pérdida individual, 3,02 millones, vino de una firma maliciosa de permit / increaseAllowance¹.

Los nueve tipos de firma y aprobación

La tabla está ordenada por lo que puede tocar cada solicitud, con más riesgo hacia abajo. Un matiz: approve y setApprovalForAll son transacciones, no firmas, pero los usuarios suelen confundirlas, así que se incluyen para comparar.

Tipo	Qué firmas realmente	Qué puede mover	Rastro on-chain	Qué hacer tras un error	Uso típico
Conectar wallet	Nada; solo se comparte la dirección	Nada	Ninguno	Desconectar	Login, leer saldos
personal_sign	Texto arbitrario o un hash	Normalmente nada, pero puede usarse para login, vinculación o consentimiento	Ninguno	Desconectar; si se disfrazó de aprobación, tratarlo como tal	Login, verificar dirección, algunos airdrops
EIP-712	Campos estructurados: importe, spender, deadline	Depende de los campos; puede autorizar una transferencia	Solo tras el envío	Revocar la aprobación correspondiente	Permits, órdenes, flujos sin gas
ERC-20 approve	Una transacción	Un límite para un token	Sí	Enviar otro approve a cero	Primera aprobación de una app
EIP-2612 permit	Firma de aprobación de token	Un límite para un token	Solo tras el envío	Revocar el allowance	Aprobaciones sin gas
EIP-3009	Destinatario, importe y ventana de validez	Una transferencia concreta	Solo tras el envío	No se puede revocar; esperar el vencimiento	Transferencias USDC, pagos
Permit2 maestro	Límite del token a Permit2	Límite total entre tokens	Sí	Revocar la aprobación maestra	Uniswap, agregadores
Permit2 de un solo uso	Autorización de una transferencia	Un token y un importe concretos	Ninguno	Invisible; pasar a una wallet nueva	Swaps sin approve
Orden Seaport	NFT, precio, vencimiento	NFTs y WETH	Solo al ejecutarse	Cancelar la orden	OpenSea, Blur
EIP-7702	Dirección del contrato delegado	Derechos de ejecución de toda la cuenta	Sí (transacción 0x04)	Enviar otro 0x04 a la dirección cero	Cuentas inteligentes, batching

Las wallets de contrato (Safe, wallets de account abstraction) verifican firmas mediante ERC-1271, y las wallets aún no desplegadas mediante ERC-6492. Para el usuario normal la idea es: que una herramienta muestre un contrato como firmante no invalida la firma; la pregunta sigue siendo quién puede mover qué.

Uno por uno: qué autoriza cada firma

Conectar la wallet: no es una firma, pero es una puerta

Conectar solo comparte tu dirección; no implica la clave privada ni cambia el estado on-chain. El paso es de bajo riesgo, pero es la entrada: con tu dirección, el sitio puede leer saldos, posiciones e historial y preparar la siguiente solicitud a medida.

Lo que hay que vigilar es lo que pasa después. Si un sitio que solo querías mirar pide una firma o una aprobación nada más conectar, ciérralo.

personal_sign: un mensaje que puede ser un login o una trampa

personal_sign firma texto arbitrario con tu clave privada, sobre todo para iniciar sesión y demostrar la propiedad de una dirección. No cambia el estado ni mueve fondos directamente, y por eso mucha gente lo considera «el seguro».

El problema es que un sitio de phishing puede disfrazar un payload hexadecimal ilegible de «verificación de inicio de sesión», y ese payload puede significar otra cosa en otro protocolo. Más frecuente aún es la ingeniería social: hacerte firmar una declaración de que «renuncias voluntariamente a tus activos» y usarla para fraude reputacional o de segundo nivel.

Regla práctica: si una firma de mensaje contiene una dirección de contrato, un importe o un nonce que no puedes leer, trátala como alto riesgo. Una firma de login legítima suele ser una frase legible más un nonce.

EIP-712: firma estructurada, el soporte de los Permit

EIP-712 estructura el contenido en campos para que la wallet muestre a quién autorizas, cuánto y hasta cuándo. El formato es neutro; el riesgo está en los campos. Permit, Permit2 y las órdenes Seaport se construyen sobre él.

En teoría EIP-712 hace todo legible. En la práctica muchas wallets lo pliegan en una línea de «Signature request» y el usuario sigue sin ver el spender ni el importe. Ante un popup EIP-712, lo primero es desplegar los detalles.

ERC-20 approve: es una transacción, no una firma

approve es una transacción on-chain que abre un límite a un spender. Cuesta gas, deja registro en el explorador y se puede revocar, lo que la hace más fácil de limpiar que una firma off-chain.

El riesgo es el importe. Muchas apps piden un límite ilimitado por defecto, así que un contrato comprometido o malicioso puede llevarse todo el saldo de ese token. Concede un importe limitado cuando sea posible y revoca los ilimitados con Revoke.cash.

EIP-2612 permit: una firma equivale a un approve

permit convierte la transacción approve en una firma: firmas una vez y cualquiera puede enviarla para obtener el límite. Ahorra gas y, sobre todo, elimina el aviso de «estás concediendo una aprobación».

Tres detalles importan:

• El deadline es el momento límite para enviar la firma, no el vencimiento del límite. Un permit firmado con el deadline máximo es una carta de autorización que nunca caduca.
• El nonce es la única protección contra la repetición. Cuando la firma se envía, el nonce aumenta; una firma no enviada sigue vigente indefinidamente.
• Revocar un límite generado por permit funciona como revocar un approve: hay que enviar una transacción que devuelva el allowance a cero.

EIP-3009: una firma que mueve dinero directamente

transferWithAuthorization de EIP-3009 te permite firmar «acepto enviar X USDC a esta dirección» y cualquiera puede enviarlo para completar la transferencia. USDC y algunos otros tokens lo soportan, sobre todo para transferencias sin gas y flujos de pago.

Es más directo que permit: permit concede un límite, 3009 autoriza esta transferencia concreta. La firma incluye destinatario, importe, validAfter, validBefore y nonce, y no hay allowance que revocar. Una vez firmada, solo cabe esperar que nadie la envíe antes de validBefore. Comprueba siempre destinatario e importe en una solicitud 3009.

Permit2: dos capas y el favorito de los drainers

Permit2 es un contrato independiente desplegado por Uniswap que divide las aprobaciones en «token → Permit2» y «Permit2 → app». Su dirección canónica es 0x000000000022D473030F116dDEE9F6B43aC78BA3, desplegada en la misma dirección en la mayoría de cadenas EVM.

Tiene dos subsistemas con perfiles de riesgo muy distintos:

• AllowanceTransfer: concedes a Permit2 un límite maestro on-chain y luego cada app recibe un sublímite con tu firma. Revocar el maestro cierra todas las aprobaciones derivadas, pero muchos usuarios solo revocan la app y olvidan el maestro.
• SignatureTransfer: sin aprobación maestra; una firma autoriza una transferencia. Esa firma no tiene registro on-chain, es invisible para las herramientas de revocación y puede no generar ningún aviso en la wallet. La única respuesta segura es mover los fondos a una wallet nueva.

Permit2 se convirtió en la herramienta preferida de los drainers porque una sola firma EIP-712 puede cubrir varios tokens y su contenido es casi ilegible para un usuario normal. En julio de 2026 un trader perdió cerca de 1 millón de dólares tras firmar una autorización Permit2 falsificada; la misma categoría costó a otro titular de VIRTUAL unos 196.000 dólares².

Órdenes Seaport: una firma de venta de NFT también se puede falsificar

Seaport es el protocolo de órdenes de OpenSea; poner un NFT en venta es una firma que dice «vendo esta pieza a este precio». La firma queda off-chain hasta que alguien la ejecuta, y precisamente por eso un sitio de phishing que la obtiene puede casar tu NFT a un precio ridículo.

Blur y mercados similares usan una lógica parecida. Comprueba que la orden contenga el precio mínimo que aceptas y un vencimiento razonable; si el precio es cero o un wei, rechaza.

EIP-7702: entregar la cuenta entera

EIP-7702 permite que una dirección normal delegue sus derechos de ejecución en un contrato; on-chain aparece como una transacción tipo 0x04 y el código de la dirección pasa a ser 0xef0100 más la dirección del delegado. Llegó con la actualización Pectra de mayo de 2025 para dar a las EOA batching, patrocinio de gas y recuperación social³.

El riesgo está en el alcance. Una aprobación normal afecta al límite de un token; una delegación 7702 afecta a toda la dirección. Tras una delegación maliciosa, el atacante no necesita otra aprobación y puede barrer los activos cada vez que depositas, incluidos los ingresos anteriores a la revocación. Una delegación con chain_id = 0 es válida en todas las cadenas EVM.

Revocar exige otra transacción 0x04 que apunte la delegación a la dirección cero. Dos avisos: revocar no borra el almacenamiento ni las aprobaciones de tokens existentes, y la mayoría de wallets no permiten que una dApp externa revoque por ti, así que hay que hacerlo en los ajustes de la cuenta. Si no entiendes el interruptor, mueve los activos a una wallet nueva y retira la dirección antigua.

El phishing con firmas por lotes de EIP-7702 apareció en agosto de 2025, con un caso de unos 1,54 millones de dólares y otro de unos 146.000³.

Cómo leer un popup de la wallet: cinco campos

Sea cual sea el nombre de la firma, busca estos cinco campos: resuelven la mayor parte del riesgo en 30 segundos. Cada wallet los coloca de forma distinta, pero la información está en algún sitio; si no la encuentras, esa wallet no sirve para saldos importantes.

Campo	Qué mirar	Señal de alarma
Tipo de solicitud	Connect, Sign, Approve, Permit, Authorization	Querías iniciar sesión y aparece Approve o Authorization
spender / delegate	Quién recibe el permiso	Contrato desconocido, dirección recién creada, EOA simple
Importe	Una cifra concreta o ilimitado	unlimited, 2^256−1, max
Vencimiento	deadline, expiration, validBefore	2106, valor máximo, sin vencimiento
Cadena y contrato	En qué cadena y qué contrato	La web dice cadena A y el popup muestra B; el contrato no coincide con la documentación oficial

El spender es lo más importante. Un importe pequeño no tranquiliza si el spender es malicioso: puede usar el límite más adelante. Un protocolo conocido, un importe limitado y un vencimiento corto es una combinación mucho mejor.

Pérdidas de 2026: tres incidentes que explican el patrón

El phishing de firmas no ha desaparecido; pasó de campañas masivas a golpes de precisión. Tres datos muestran dónde está hoy la capa de firmas.

El primero es el año 2025 completo: ScamSniffer registró unos 83,85 millones de dólares en pérdidas por drainers y 106.106 víctimas, un 83 % menos que en 2024. Aun así, cerca del 38 % de los 11 incidentes de siete cifras involucraron firmas Permit/Permit2, y la mayor pérdida individual rondó los 6,5 millones (una firma Permit en septiembre de 2025)⁴. El total baja, pero los casos grandes siguen concentrados en la capa de firmas.

El segundo es enero de 2026: unos 6,27 millones perdidos por 4.741 víctimas, con dos víctimas concentrando cerca del 65 % y la mayor pérdida individual de 3,02 millones procedente de una firma permit / increaseAllowance¹.

El tercero es julio de 2026: un trader perdió cerca de 1 millón por una firma Permit2 falsificada y un titular de VIRTUAL perdió unos 196.000 en la misma categoría². Sin exploit del protocolo, sin zero-day: la víctima simplemente firmó algo que no entendía.

Los tres apuntan a la misma conclusión: el atacante ya no necesita tu frase semilla, solo una firma. Una filtración de frase semilla es puntual y poco frecuente; el phishing de firmas está disponible todos los días.

Cómo revocar según el tipo de firma

Revocar empieza por saber qué revocar. Cada tipo tiene un camino distinto, y usar la herramienta equivocada genera una falsa sensación de seguridad.

Tipo de firma	Cómo revocar	Aviso clave
Conectar wallet	Desconectar en el sitio o borrar permisos en la wallet	Desconectar no revoca aprobaciones existentes
personal_sign	Nada que revocar; no cambia el estado	Aun así, revisa si te engañaron para firmar una aprobación con esa dirección
approve	Revoke.cash o transacción approve a cero	Revocar cuesta gas; agrupa revocaciones en la misma cadena
EIP-2612 permit	Revocar el allowance	Una firma off-chain no enviada no se puede revocar
EIP-3009	No se puede revocar	Espera validBefore; mueve antes los activos restantes
Permit2 maestro	Revocar el allowance del token a Permit2	Cierra todos los sublímites derivados
Permit2 SignatureTransfer	Sin revocación on-chain	Las firmas no enviadas son invisibles; la wallet nueva es lo más seguro
Orden Seaport	Cancelar en el mercado o enviar una cancelación on-chain	La firma de orden puede reutilizarse en varios mercados
EIP-7702	Enviar otra transacción 0x04 a la dirección cero	El almacenamiento y las aprobaciones no se borran solos

Orden recomendado: mover primero los activos restantes, revocar después e investigar al final. Si sospechas que la clave privada o la frase semilla están comprometidas, revocar solo limita el daño: crea una wallet nueva en un dispositivo limpio, mueve los activos y retira la dirección antigua.

La comprobación de 30 segundos antes de firmar

Estos seis pasos no requieren conocimientos técnicos y bloquean la mayor parte del phishing de firmas.

1. Separa conectar, transacción y firma. Conectar no mueve nada; una transacción cuesta gas; una firma queda off-chain pero otro puede enviarla.
2. Lee el tipo de solicitud. Palabras como Approve, Permit, Permit2, Authorization o SetCode significan alerta alta.
3. Busca el spender o delegate. Desconocido, recién creado o una dirección normal: rechaza.
4. Revisa importe y vencimiento. Ilimitado o 2106 significa asumir que pueden llevarse todo.
5. Comprueba cadena y contrato. La web dice Ethereum y el popup dice BSC: ciérralo.
6. Si dudas, no firmes. Cierra la pestaña y abre la web oficial desde un marcador; si la web oficial no tiene esa acción, era phishing.

El último paso importa más que los cinco anteriores: puedes negarte a firmar. Ningún airdrop, login o campaña legítima te hará perder activos existentes porque te negaras a firmar.

Cinco mitos habituales

Mito 1: una hardware wallet evita el phishing de firmas. Evita el robo remoto de la clave privada. Si confirmas una estructura Permit2 que no entiendes, el dispositivo la firma fielmente.

Mito 2: revocar te deja a salvo. Los Permit no enviados, los SignatureTransfer de Permit2 y las firmas EIP-3009 no están on-chain y las herramientas de revocación no los ven. Revocar una delegación EIP-7702 deja el almacenamiento y las aprobaciones antiguas.

Mito 3: desconectar es revocar. Desconectar impide que el sitio lea tu dirección; los límites y permits existentes siguen vigentes.

Mito 4: cambiar la contraseña o el dispositivo lo arregla. La contraseña protege el dispositivo local. Las aprobaciones y firmas on-chain no dependen de ella, y un dispositivo nuevo con la misma dirección arrastra el mismo riesgo.

Mito 5: las wallets pequeñas no necesitan atención. El envenenamiento de direcciones y las delegaciones EIP-7702 esperan a que deposites. El atacante toma el control primero y barre después. Las wallets pequeñas también necesitan revisar aprobaciones y delegaciones.

💰 Reembolso de Binance: código BINANBT

Los nuevos usuarios que introducen el código de invitación BINANBT al registrarse obtienen un 20 % de reembolso de comisiones durante toda la vida de la cuenta. Este artículo contiene un enlace de referido; podemos recibir una recompensa si lo usas, y no te cuesta nada extra.

• Reembolso: 20 % de las comisiones de trading, permanente; cuanto más operas, más ahorras.
• Recompensas de bienvenida: hasta 19.800 dólares, desbloqueadas por tareas, no en efectivo al registrarte.
• Cómo reclamarlo: introduce BINANBT en el campo de código de invitación al registrarte. Es el método más fiable.
• Importante: registrarte directamente en la app no da ninguna recompensa de nuevo usuario. El registro dentro de la app no vincula ninguna relación de referido, así que las recompensas de 19.800 dólares y el 20 % de reembolso no se aplican: debes usar el enlace de registro o introducir BINANBT.

👉 Regístrate en Binance y obtén el 20 % de reembolso

Preguntas frecuentes

¿Cuál es la diferencia entre una firma de wallet y una transferencia?

Una transferencia es una transacción on-chain que cuesta gas y exige escribir un destinatario y un importe. Una firma es una confirmación local hecha con tu clave privada: no va a la cadena ni cuesta gas por sí sola, pero cualquiera que la tenga puede enviarla on-chain. Ahí está el peligro: en una transferencia al menos ves lo que rellenaste; en una firma mucha gente solo busca el botón de confirmar. Una sola firma maliciosa de Permit2 puede vaciar varios tokens sin mostrar nunca una pantalla de envío.

¿Cómo sé si una firma va a mover mis fondos?

Revisa tres campos: quién es el spender o delegate, si el importe es ilimitado y cuánto dura la aprobación. Si el spender es un contrato que no reconoces, o el importe aparece como ilimitado con vencimiento en 2106, trátalo como una transferencia de todo. Una firma de mensaje simple no suele mover fondos por sí sola, pero los sitios de phishing disfrazan aprobaciones de inicio de sesión; negarte a firmar lo que no entiendes es mucho más eficaz que revocar después.

¿Qué diferencia hay entre Permit y Permit2?

Permit (EIP-2612) es una función integrada en cada token: firmas una vez y permites que un spender use una cantidad concreta de ese token. Permit2 es un contrato aparte colocado encima de los tokens: el token aprueba a Permit2 una vez y Permit2 reparte autorizaciones a cada aplicación. Una sola firma de Permit2 puede cubrir varios tokens y autorizar una transferencia puntual, así que es a la vez una herramienta de eficiencia y una puerta favorita de los drainers.

¿En qué se diferencia una delegación EIP-7702 de una aprobación normal?

Una aprobación normal solo afecta al límite de un token. EIP-7702 delega los derechos de ejecución de toda tu dirección a un contrato. Tras firmar una delegación maliciosa, el atacante no necesita otra aprobación tuya y puede barrer los activos cada vez que recargas la wallet, incluidos los depósitos anteriores a la revocación. Comprueba si la dirección tiene transacciones tipo 0x04 o mira la pestaña Delegations de Revoke.cash.

¿Una hardware wallet me protege del phishing de firmas?

No del todo. Una hardware wallet mantiene la clave privada fuera de internet y muestra los datos en su propia pantalla, pero si el mensaje es una estructura Permit2 que no entiendes y pulsas confirmar, el dispositivo firma fielmente el mensaje peligroso. Protege contra el robo remoto de claves, no contra que tú mismo autorices algo.

¿Una firma sigue siendo válida después de revocar aprobaciones?

Depende de si la firma llegó a la cadena. Una aprobación que ya se ejecutó se puede revocar con otra transacción. Un mensaje firmado pero no enviado es invisible para las herramientas de revocación y sigue vigente hasta que se consuma su nonce o venza su plazo. Revocar una delegación EIP-7702 tampoco borra el almacenamiento ni las aprobaciones de tokens existentes, que hay que tratar por separado.

¿Debo firmar para reclamar un airdrop inesperado?

No. Las páginas de reclamo de airdrops son el disfraz más habitual del phishing de firmas, sobre todo las que piden approve, permit o setApprovalForAll. Un airdrop real no necesita permiso para mover tus activos existentes y nunca debería pedir un límite ilimitado. Si la página te pide conceder un límite ilimitado a una dirección que no reconoces, ciérrala y verifica el anuncio en la web oficial y las redes del proyecto.

Lecturas relacionadas

• Lista de seguridad personal en Web3: 3 minutos al día, 15 a la semana
• Cómo revocar aprobaciones con Revoke.cash
• Revocación por lotes de Permit2: dos capas y lockdown
• Me robaron MetaMask: ¿se puede recuperar el dinero?
• Cold wallet vs hardware wallet: guía completa
• ¿Es seguro dejar cripto en un exchange?
• Airdrops: cómo reclamar sin caer en estafas
• Más guías de seguridad Web3

---

Descargo de responsabilidad: este artículo tiene fines educativos y no constituye asesoramiento financiero, legal ni fiscal. Los formatos de firma, las interfaces de las wallets y las rutas de revocación pueden cambiar con las actualizaciones; sigue siempre las páginas actuales de tu wallet, navegador y explorador de bloques. Desconfía de cualquier servicio de «recuperación» que pida frase semilla, clave privada, código de verificación o pago por adelantado. Algunas jurisdicciones restringen los servicios cripto; comprueba primero las normas locales.

Footnotes

1. Fuente: informe de phishing de firmas de ScamSniffer de enero de 2026, citado por CoinEdition / Bitget News el 2026-02-09: unos 6,27 millones de dólares perdidos y 4.741 víctimas; las pérdidas subieron un 207 % intermensual mientras las víctimas cayeron un 11 %; dos víctimas concentraron cerca del 65 % de las pérdidas de enero; la mayor pérdida individual, 3,02 millones, vino de una firma maliciosa de permit / increaseAllowance. ↩ ↩²

2. Fuente: Crypto Briefing, 2026-07-09: un trader perdió cerca de 1 millón de dólares tras firmar una autorización Permit2 falsificada de Uniswap, y un titular de VIRTUAL perdió unos 196.000 en la misma categoría; el informe también señala unas pérdidas de 84 millones por drainers en 2025, un 83 % menos interanual. ↩ ↩²

3. Fuente: especificación EIP-7702 y guía de Pectra EIP-7702 de ethereum.org: la delegación se escribe en el campo de código de la EOA como 23 bytes 0xef0100 más una dirección de contrato de 20 bytes; la transacción tipo 0x04 lleva una tupla de autorización [chain_id, address, nonce, y_parity, r, s]; un chain_id de 0 es válido en todas las cadenas EVM; la revocación es otra transacción 0x04 apuntando a la dirección cero; el phishing con firmas por lotes EIP-7702 apareció en agosto de 2025 con un caso de unos 1,54 millones y otro de unos 146.000. ↩ ↩²

4. Fuente: informe anual 2025 de drainers de ScamSniffer (publicado en enero de 2026): unos 83,85 millones de dólares perdidos y 106.106 víctimas, un 83 % menos que los cerca de 494 millones de 2024; cerca del 38 % de los 11 incidentes de siete cifras involucraron firmas Permit/Permit2, con la mayor pérdida individual en torno a 6,5 millones (una firma Permit en septiembre de 2025). ↩