Cómo revisar los permisos de una aplicación descentralizada
Un proceso educativo para entender qué acceso se concedió y cuándo revisarlo.
Este artículo puede contener enlaces de afiliados. Las relaciones comerciales se detallan en la política de afiliados.
Qué es un permiso en una aplicación descentralizada
Cuando conectas tu cartera a una aplicación, no solo le estás dando permiso para mostrar tu nombre y tu dirección. En muchos casos estás firmando autorizaciones que permiten a ese sitio mover tus tokens o aprobar gastos futuros, y con frecuencia la propia aplicación te pide una segunda firma distinta de la primera. Entender la diferencia entre ambas es el punto de partida de cualquier revisión.
La diferencia clave está en el tipo de acción que autorizas. Firmar un mensaje solo demuestra que tienes el control de esa dirección y no supone por sí solo ningún movimiento de fondos. Aprobar un contrato, en cambio, es entregarle permiso para retirar activos de tu cuenta cuando se cumplan las condiciones que escribiste. Ese segundo tipo es el que debes revisar cada vez.
El permiso sin límite como caso límite
La forma más peligrosa de autorización es la que permite gastar sin límite y sin fecha de vencimiento. Con ese permiso, el contrato al que firmaste puede vaciar la cuenta completa si el diseño de su autorización le permite ejecutarlo. Muchas carteras lo llaman de forma distinta, por lo que el nombre no siempre ayuda a identificarla.
La versión segura de ese mismo permiso incluye dos límites: una cantidad máxima y una fecha de caducidad. Con el máximo, un fallo en el contrato no puede vaciar más de lo que decidiste exponer. Con la fecha, incluso una autorización olvidada deja de ser válida por sí sola.
Si una aplicación te pide autorización sin límite para mover tokens que no vas a usar en ese momento, la respuesta razonable es rechazarla o firmarla con el límite más bajo que te permita funcionar.
Cómo revisar los permisos que ya has concedido
Tu cartera debe ofrecer una sección de permisos o de sitios autorizados donde lista cada aplicación a la que has conectado. Esa lista es el punto de partida: identifica qué contrato tiene acceso y revisa si la cuantía autorizada sigue siendo razonable.
Retirar el permiso no borra el historial. Lo que hace es eliminar la autorización pendiente, de modo que el contrato ya no puede ejecutar la acción aunque se cumplieran sus condiciones. Si el permiso ya se utilizó en el pasado, por ejemplo al aprobar tokens antes de intercambiarlos, lo correcto es ir a la aplicación a desconectar el contrato y no solo revocar la autorización.
Para revisar una transacción concreta con detalle, la dirección del contrato y los cuatro bytes iniciales de los datos de llamada permiten identificar qué función se está invocando. Ese prefijo se puede comparar con las firmas públicas de funciones conocidas para saber si se está llamando a algo razonable, como aprobar un gasto máximo concreto o transferir un activo concreto.
Señales de alarma al conectar una aplicación
Una aplicación legítima te dice qué protocolo es y para qué sirve antes de pedirte una firma. Si la página aparece sin explicación clara, si el dominio cambia entre la dirección de la cartera y el sitio que muestras o si te piden la frase semilla en cualquier momento, la situación no es normal.
También conviene mirar si la interfaz pide una firma para conectar la cartera y una segunda para aprobar tokens en la misma sesión. En una aplicación normal, conectar es barato y no debería requerir varias firmas seguidas ni importes de gas innecesarios. Si aparece una ventana de confirmación con un importe de gas alto justo después de conectar, detente antes de confirmar.
Errores que conviene evitar
No firmes mensajes que aparezcan en ventanas emergentes surgidas de forma espontánea al hacer clic en un enlace de un artículo o de un anuncio. El clic en un banner publicitario puede abrir una petición de firma completamente ajena a lo que estabas mirando.
Tampoco trates de localizar el botón de revocar permisos en la aplicación original y des por hecho que eso cierra la exposición. El sitio web controla su propia sesión, y revocar desde el explorador de bloques es lo que realmente reduce la capacidad de acción del contrato, incluso si la web sigue apareciendo conectada en tu cartera.
Cuando firmaste una autorización sin límite y luego sospechaste del proyecto, asume que la exposición sigue activa hasta que revocas, y revoca antes de investigar. El orden importa: investigar primero y revocar después deja abierta una ventana en la que el contrato puede actuar.
Fuentes y límites
Este contenido es educativo y no constituye asesoramiento financiero, fiscal ni legal. Los nombres exactos de las secciones de permisos y de las autorizaciones varían entre carteras, porque cada una llama a las funciones con un lenguaje propio, aunque la mecánica subyacente sea la misma. El formato de los cuatro bytes iniciales y la forma de comparar una llamada con funciones conocidas dependen de cada cadena y de cada explorador de bloques.