Cómo comprobar una dapp antes de conectar tu billetera
Una secuencia prudente para revisar dominio, documentación y permisos.
Este artículo puede contener enlaces de afiliados. Las relaciones comerciales se detallan en la política de afiliados.
Antes de aprobar una conexión conviene revisar tres cosas por separado: el dominio, la documentación pública y los permisos que se solicitan.
No es un paso opcional. La conexión es el momento en que un sitio obtiene acceso a tu dirección.
El dominio es lo primero
Compara el dominio que aparece en el aviso de tu billetera con la dirección que escribiste en el navegador.
Los impostores registran nombres casi idénticos a los reales. Una diferencia de un carácter o una palabra añadida al final puede ser todo el engaño.
Si llegaste al sitio desde un enlace en un mensaje, en un chat o en una red social, ábrelo de nuevo escribiendo la dirección a mano.
Qué mirar en la documentación
Un sitio serio publica documentación accesible sin necesidad de conectar la billetera.
Busca estas páginas antes de aprobar nada:
- Explicación de qué hace la aplicación.
- Contratos que utiliza y en qué red.
- Comisiones aplicadas.
- Forma de retirar los fondos.
Si la documentación solo aparece después de conectar la billetera, detente. No hay forma de evaluar el servicio antes de darle acceso.
Los permisos no son todos iguales
El aviso suele listar varios permisos. No tienen el mismo riesgo.
- Consultar saldos: solo lectura de datos públicos de tu dirección.
- Firmar mensajes: puede ser inocuo, pero algunas firmas conceden acceso a una cuenta.
- Aprobar el gasto de tokens: permite que un contrato mueva tus tokens. La versión peligrosa es la aprobación sin límite.
- Acceder a tus NFT o posiciones: permite enumerar esos activos y a veces moverlos.
Las aprobaciones persisten. Puedes conectar hoy un sitio que usas una sola vez y el permiso sigue ahí dentro de un año.
Una secuencia práctica
- Entra al sitio escribiendo la dirección tú mismo.
- Compara el dominio del aviso con la barra del navegador carácter por carácter.
- Verifica que la red indicada sea la que esperas.
- Lee cada línea de permisos y decide si la necesitas para la acción que quieres hacer.
- Rechaza lo que no puedas explicar en una frase.
Si el servicio es legítimo y necesita aprobar un gasto, puedes concederlo, hacer la operación y revocar el permiso al terminar.
Después de aprobar
Las billeteras actuales tienen una sección de aprobaciones o permisos donde puedes revocar cada acceso.
Revocar tras cada tarea es mejor que mantener un permiso abierto a un sitio que no vuelves a usar.
Nunca escribas tu frase semilla ni tu clave privada en una página web. Ningún proceso legítimo de conexión te la pide.
Los límites de esta revisión
Revisar el aviso protege frente a dominios falsos y permisos inesperados.
No dice si el contrato del sitio está bien escrito. Eso exige leer el código fuente o confiar en una auditoría que puedas verificar.