Permit ERC-20 malicioso: la estafa silenciosa que vacía tu wallet sin una sola transacción

En 2026, se robaron más de 500 millones de dólares a usuarios de criptomonedas mediante una sola técnica: el permit ERC-20 malicioso. Esta estafa es especialmente peligrosa porque no deja ningún rastro visible on-chain cuando firmas: solo una discreta firma que autoriza a un atacante a vaciar tu wallet cuando quiera.

Esta guía explica qué es un permit malicioso, por qué es la estafa favorita de los drainers en 2026 y, sobre todo, cómo protegerte.

¿Qué es un permit ERC-20?

El permit es una extensión del estándar ERC-20 introducida en 2020 (EIP-2612). Permite a un usuario otorgar autorización a un smart contract para gastar sus tokens sin tener que enviar una transacción on-chain.

Dicho de forma sencilla: en lugar de una transacción clásica de "Approve" que cuesta gas, solo firmas un mensaje con tu wallet. Ese mensaje lo envía después a la cadena el propio contrato.

Ventajas legítimas:

✅ Ahorro de gas (una transacción en lugar de dos)
✅ Mejor UX (el usuario firma una vez y todo ocurre solo)
✅ Lo usan Uniswap, 1inch y agregadores de DEX

El problema: esta firma es invisible para la mayoría de las wallets. Haces clic en "Firmar" pensando que te estás conectando a un sitio, y acabas de autorizar al atacante a vaciar 100 000 USDC.

Cómo funciona la estafa en 5 pasos

Paso 1 — El cebo

Haces clic en un anuncio de Google o en un enlace de Discord que lleva a un falso Uniswap, un falso airdrop cripto o un falso sitio de NFT. El sitio parece 100 % legítimo: logos oficiales, diseño profesional y una URL engañosa (uniswaap.org en lugar de uniswap.org).

Paso 2 — La solicitud de conexión

El sitio te pide "conectar tu wallet". Haces clic, se abre MetaMask y solo ves "Firmar un mensaje". Nada sospechoso a simple vista.

Paso 3 — El mensaje oculto

Lo que no ves: el mensaje contiene parámetros de permit ERC-20:

owner: tu dirección
spender: la dirección del atacante
value: cantidad máxima (normalmente 115 792 089 237 316 195... = infinito)
deadline: 30 días a partir de ahora
nonce: tu nonce actual

Firmas. No ocurre nada on-chain de inmediato. Piensas que no ha pasado nada.

Paso 4 — La explotación

Horas o días después, el atacante envía tu firma a la cadena mediante una transacción permit() + transferFrom(). El smart contract la acepta porque la firma es matemáticamente válida.

Paso 5 — El robo

Tus USDC, USDT, WETH o cualquier otro token ERC-20 son transferidos a la dirección del atacante. Descubres la pérdida a la mañana siguiente.

Sin posibilidad de recurso. La transacción es irreversible. No interviene ningún exchange centralizado.

Permit2: la versión agravada

Permit2 es una extensión propuesta por Uniswap en 2022 para estandarizar los permits en todos los tokens ERC-20, incluso en los que no implementan EIP-2612 de forma nativa.

Es técnicamente brillante para la UX de DeFi, y catastrófica para la seguridad, porque:

Una sola firma de Permit2 puede autorizar el gasto de varios tokens a la vez
La firma sigue siendo válida durante días o semanas
La mayoría de las wallets muestran Permit2 como un simple "mensaje" sin detalles

Resultado: los drainers modernos usan Permit2 de forma prioritaria porque hace el robo más eficaz y más discreto.

Cómo detectar un permit malicioso

Señal de alerta n.º 1: el formato de la firma

Una firma de Permit o Permit2 siempre aparece en tu wallet como un mensaje tipado EIP-712 con esta estructura:

Domain: PermitToken or Permit2
Types:
  Permit: [owner, spender, value, nonce, deadline]
Message:
  owner: 0xYOUR_ADDRESS
  spender: 0xUNKNOWN  ← THIS is suspicious
  value: 115792089237316195423570985008687907853269984665640564039457584007913129639935  ← That's infinity!
  deadline: 1735689600

Señal de alerta n.º 2: el contexto

Acabas de llegar a un sitio que nunca habías usado → 🔴
El sitio ofrece un airdrop gratuito o un rendimiento anormal → 🔴
El sitio te pide firmar antes incluso de mostrar contenido → 🔴
La URL tiene un error tipográfico sutil (uniswaap en lugar de uniswap) → 🔴

Señal de alerta n.º 3: spender desconocido

El campo spender (el contrato que gastará tus tokens) debe ser un contrato **conocido y verificado**. Si es una dirección aleatoria que no aparece en Etherscan como contrato verificado, **es una estafa.**

Cómo te protege Lumina Wallet

Lumina Wallet decodifica cada firma de Permit y Permit2 antes de pedirte que firmes. Esto es lo que ocurre en concreto:

Decodificación de la firma: Lumina analiza el mensaje EIP-712 e identifica si se trata de un permit
Verificación del spender: ¿el contrato de destino es un DEX o protocolo conocido (Uniswap, 1inch, Aave...) o una dirección desconocida?
Alerta de importe: si la cantidad es "infinita" (2^256 - 1), aparece una alerta crítica
Traducción en lenguaje claro: en lugar de un bloque hexadecimal, ves: "Estás autorizando a [contrato desconocido] a gastar [todos tus USDC], sin límite, durante los próximos 30 días"

Resultado: ves exactamente lo que firmas antes de firmar. Validar por error un permit malicioso se vuelve imposible.

Qué hacer si ya has firmado un permit malicioso

Paso 1 — No entres en pánico, actúa rápido

Es posible que el permit aún no haya sido explotado. Tienes un margen de tiempo antes de que el atacante use tu firma.

Paso 2 — Vacía los tokens en riesgo

Transfiere de inmediato todos tus tokens ERC-20 a una wallet nueva y limpia. Usa una wallet nueva con una seed phrase nueva. No reutilices la wallet comprometida.

Paso 3 — Revoca las aprobaciones existentes

Ve a revoke.cash y revoca todas las aprobaciones. Nota importante: revoke.cash NO puede revocar una firma de Permit off-chain que todavía no ha sido explotada. Solo puedes mover los tokens.

Paso 4 — Denuncia el sitio fraudulento

ScamAdviser
Google Safe Browsing
Chainabuse.com

Paso 5 — Abandona la wallet comprometida

No reutilices nunca una wallet que haya firmado un permit malicioso, incluso si no has perdido nada. Según el contexto, el nonce de tu firma aún podría ser explotado.

El consenso de los expertos

Vitalik Buterin (cofundador de Ethereum) advirtió públicamente sobre los riesgos de Permit2 en X en 2024.
Chainalysis identificó la "firma de permits maliciosos" como el método de robo cripto n.º 1 en 2025, superando a las aprobaciones ERC-20 clásicas.
PeckShield documentó más de 300 ataques con permits maliciosos solo en 2025.

Conclusión: la firma invisible es el nuevo peligro

La era de las transacciones on-chain visibles ha terminado. En 2026, la estafa más peligrosa no deja ningún rastro visible cuando validas. Una firma off-chain, silenciosa y diferida, y tu wallet está vacía al día siguiente.

La única defensa eficaz: una wallet que decodifique cada firma en lenguaje claro antes de que la valides. Eso es exactamente lo que hace Lumina Wallet, para Permit, Permit2 y todas las firmas EIP-712 maliciosas.

Protégete ahora:

Descarga Lumina Wallet en Google Play | Descárgala en la App Store