Aprobaciones TRC-20: cómo se usan para robar USDT y cómo revocarlas

Qué es una aprobación

Los tokens TRC-20, incluido USDT, tienen la función approve. Al firmarla dices: «esta dirección puede cobrar de mi billetera hasta N tokens». Después el autorizado ejecuta el cobro (transferFrom) por su cuenta, y ya no hace falta tu firma para cada cobro.

Es un mecanismo normal: los intercambiadores y otras apps piden aprobación para hacer un canje. El problema es doble. Muchas apps piden una aprobación ilimitada, y sigue vigente hasta que la revoques, durante años.

Cómo se usa para robar

El estafador no necesita tu frase de recuperación. Le basta una firma de approve a su dirección. Pretextos típicos:

• «Reclama un airdrop», «cobra un bono», «verifica tu billetera para retirar».
• Una página falsa de un intercambiador o de una app conocida.
• «Soporte» en Telegram que pide conectar tu billetera a un sitio «para una revisión».
• Un sitio para «canjear» USDT falso que recibiste «de regalo».

La ventana de la billetera parece rutinaria: «Approve», «Confirmar», a veces increaseAllowance. Un minuto o un mes después, el autorizado cobra todo el saldo del token. La billetera no pregunta nada: la aprobación ya existe.

Cómo ver las aprobaciones concedidas

Las aprobaciones están en la cadena, así que se ven por dirección sin conectar la billetera. Pega tu dirección en GuardPay /check: el informe tiene una sección de aprobaciones concedidas: a quién, de qué token y por qué importe. Las direcciones que ya vaciaron a otros aparecen marcadas.

Cómo revocar y por qué hace falta firma

Revocar una aprobación es enviar la misma función approve con importe 0 al mismo autorizado. Es una transacción normal desde tu billetera, por eso:

1. Hay que conectar la billetera dueña de los tokens y firmar la transacción. Sin la firma del dueño nadie puede revocar: ni nosotros, ni un exchange, ni el soporte de la billetera.
2. Hace falta algo de TRX o energía para la comisión, como en cualquier acción con un contrato.
3. Una aprobación, una firma. TRON no tiene envío por lotes: «revocar todo» son varias firmas seguidas.

GuardPay /revoke muestra las aprobaciones de tu dirección leídas directamente del contrato y prepara la revocación en tu propia billetera: una firma por aprobación. Tus claves y tu frase semilla siguen contigo.

Antes de firmar, revisa la ventana: método approve, el contrato del token es el que revocas, el autorizado es el que revocas, el importe es 0. Revoca desde una billetera o servicio de confianza y nunca escribas tu frase de recuperación en un sitio de «revocación».

Cuándo revocar ya no ayuda

Revocar frena cobros futuros, pero no devuelve lo ya cobrado. Si el dinero se fue, rastrea su camino antes de que se reparta por casas de cambio: qué hacer en las primeras horas.

Y si no robaron mediante una aprobación sino la clave entera (escribiste la frase en un sitio, descargaste una «billetera» de una fuente no verificada), revocar es inútil: el estafador tiene la clave. Entonces pasa de inmediato lo que quede a una billetera nueva con una frase nueva.

Hábitos que protegen

• Aprueba el importe exacto de la operación y no uno ilimitado, si la app lo permite.
• Guarda tus fondos principales en una billetera aparte que nunca conectes a sitios web.
• Una vez al mes, revisa tu dirección en /revoke y revoca lo que ya no uses.