Permisos de gasto: cómo una aplicación puede mover tus USDT o USDC sin tu clave, y cómo revocarlos

La respuesta corta

Un permiso de gasto es una autorización que das desde tu billetera para que otra dirección, casi siempre el contrato de una aplicación, pueda sacar tokens de tu cuenta hasta un monto. Sirve para usar aplicaciones descentralizadas, pero mientras exista, ese contrato puede mover tus dólares digitales sin volver a pedirte la clave.

Los permisos no vencen solos y desconectar la billetera de la aplicación no los borra. Se revocan con otra transacción, que paga la comisión de la red. Esta página trata de las billeteras cuyas claves controlas tú.

Cómo funciona en Ethereum

USDT y USDC en Ethereum son tokens ERC-20, como explica la guía sobre la comisión de red. El estándar ERC-20 define tres funciones para delegar gastos. Con approve autorizas a una dirección, que la norma llama spender, a retirar de tu cuenta, en una o varias veces, hasta el monto que fijas. Con transferFrom esa dirección mueve los tokens. Y allowance devuelve cuánto le queda autorizado.

Si vuelves a llamar a approve para la misma dirección, el monto nuevo reemplaza al anterior. La norma pide a las aplicaciones que primero pongan el permiso en cero y después fijen el otro valor, para evitar un tipo de ataque. El permiso queda registrado en el contrato del token, no en la página de la aplicación: por eso desconectarte de ella no cambia nada.

En Tron y en Solana

En Tron, la interfaz TRC-20 tiene las mismas funciones: approve autoriza a un spender, que suele ser el contrato de una aplicación, a transferir hasta cierto monto desde tu cuenta, y transferFrom solo funciona si antes llamaste a approve.

Solana usa otro modelo. Según su documentación de tokens, cada cuenta de tokens puede tener un delegado y un monto delegado: lo que esa otra dirección está autorizada a mover.

Por qué un permiso ilimitado es un riesgo

La guía de ethereum.org para revocar permisos explica por qué muchas aplicaciones piden un permiso ilimitado: así apruebas una sola vez y pagas una sola comisión. El costo es el riesgo. Una plataforma con acceso ilimitado a un token puede gastar todo ese token de tu billetera, incluso después de que sacaste tus fondos de ella, y si su contrato tiene una puerta trasera, alguien puede llevarse tus fondos sin que puedas recuperarlos.

La guía agrega dos datos que conviene recordar. Los permisos no tienen fecha de vencimiento: se pueden usar años después de otorgados. Y desconectar la billetera de un proyecto no elimina el permiso: hay que revocarlo.

Firmar un mensaje también puede autorizar

Hay una variante que ni siquiera es una transacción. La extensión ERC-2612 agrega a los tokens que la implementan una función llamada permit, que cambia el permiso de gasto con un mensaje firmado en lugar de una transacción, para que ese paso no pague gas.

La consecuencia práctica es que firmar un mensaje puede valer tanto como aprobar un gasto. Si una página te pide una firma, lee qué autoriza antes de aceptarla.

Un ejemplo con montos inventados

Tienes 1,000 USDC en tu billetera y usas una aplicación para cambiar 100. Si apruebas exactamente 100, su contrato puede mover esos 100 y nada más. Si apruebas un monto ilimitado, después del cambio sigue autorizado a mover los 900 restantes, y también cualquier USDC que recibas más adelante en esa dirección.

Revisar el monto antes de aprobar cuesta un momento. Algunas billeteras te dejan corregirlo; la guía de ethereum.org recomienda consultarlo con quien te da la billetera.

La estafa del token gratis

La página de seguridad de ethereum.org pide no aceptar límites de gasto ilimitados y fijar solo el monto necesario para la operación. Y describe una estafa común: te llega a la billetera un token que no pediste, la página para «reclamarlo» te pide conectar la billetera y aprobar una transacción, y esa transacción compromete tu cuenta o envía tus fondos al estafador. La guía sobre estafas con dólares digitales reúne las demás señales.

Cómo revocar un permiso

La guía de ethereum.org lo explica en cuatro pasos.

• Entra a una herramienta que muestre los permisos de tu dirección. La guía nombra exploradores de bloques, como Etherscan y Blockscout para Ethereum, y sitios que cubren varias redes. Escribe tú la dirección del sitio, no la abras desde un enlace que te mandaron.
• Conecta tu billetera en la misma red que la herramienta: solo verás los permisos de esa red.
• Elige el contrato y revócalo. Si no sabes cuál, puedes revocarlos todos: solo tendrás que aprobar de nuevo cuando vuelvas a usar esas aplicaciones.
• Confirma la transacción y paga la comisión de la red. Después, vuelve a cargar la herramienta para comprobar que el permiso desapareció.

Lo que revocar no hace

Revocar quita el permiso de gasto, nada más. Según la misma guía, no saca tus posiciones de staking, de préstamos ni de fondos de liquidez. Y como es una transacción, necesitas el token de la red para pagarla: ETH, TRX o SOL, según la red, como explica la guía sobre la comisión de red.

Antes de aprobar

Cinco preguntas que evitan sorpresas.

• ¿Cuánto te pide aprobar la aplicación? Si tu billetera te deja editar el monto, pon solo lo que vas a usar.
• ¿Conoces la aplicación? La guía de ethereum.org aconseja no usar proyectos nuevos que no se hayan probado.
• ¿Te piden firmar un mensaje? Puede ser un permit: lee qué autoriza.
• ¿Te llegó un token que no pediste? No lo reclames en la página que indica.
• ¿Hace cuánto no revisas tus permisos? Revoca los que ya no usas.

Los límites de esta página

Leímos la norma ERC-20 y la extensión ERC-2612 en el sitio de las propuestas de mejora de Ethereum, la guía de ethereum.org para revocar permisos y su página de seguridad, la interfaz TRC-20 de Tron y la documentación de tokens de Solana el 21 de octubre de 2026. No probamos ninguna billetera, aplicación ni herramienta de revocación, y no comprobamos qué tokens implementan permit. Los montos del ejemplo son inventados. Esta página no es una recomendación.