Cómo revocar un approve TRC-20 en TRON: riesgos del allowance ilimitado de USDT y cómo revisarlo
Un approve de USDT TRC-20 no caduca solo y permite a un contrato retirar tokens sin su firma. Vemos cómo los estafadores obtienen estos permisos, cómo revisarlos en Tronscan y cómo revocar un approve en TRON paso a paso.
En resumen: revocar un approve en TRON significa anular el permiso que usted dio en su momento a un contrato inteligente para gastar sus USDT TRC-20. Mientras ese permiso esté activo, el contrato puede retirar tokens hasta el límite en cualquier momento, sin una nueva firma suya. Puede revisar sus permisos en la sección Token Approvals de Tronscan y revocarlos allí mismo o desde su billetera. La revocación es una transacción aparte que consume energy y bandwidth, como cualquier llamada a un contrato.
Qué es un approve en TRC-20 y por qué es peligroso
El estándar TRC-20 define dos funciones que trabajan juntas. approve(spender, amount) registra en el contrato del token que la dirección spender puede mover hasta amount tokens desde su dirección. transferFrom(from, to, amount) es el retiro en sí, y no lo llama usted, sino quien tiene el permiso. El límite restante se guarda en el contrato del token y se consulta con allowance(owner, spender).
Las DeFi dependen de esto: para que un DEX como SunSwap cambie sus USDT por TRX, su contrato necesita el derecho de tomar USDT de su dirección. El problema es que un approve nunca caduca por sí solo. Si hace un año se lo dio a un servicio que luego fue hackeado, o que fue una trampa desde el principio, el derecho de gasto sigue ahí.
Las definiciones formales de approve, transferFrom y allowance están en la documentación de TRON sobre la interfaz TRC-20. No confunda un approve con los permisos de la propia cuenta: cambiar los permisos owner y active es otro mecanismo, que explicamos en el artículo sobre cómo revisar una billetera TRC-20 por estafa con multifirma.
Allowance ilimitado: comodidad que se convierte en riesgo
Muchas aplicaciones piden el valor máximo posible en lugar de una cantidad exacta. En el contrato es 2^256−1, y la billetera lo muestra como "Unlimited" o como un número enorme. Así no tiene que firmar un approve antes de cada operación. La contrapartida: el contrato obtiene el derecho de gastar todo su saldo del token, el que tiene ahora y el que llegue después.
Cómo consiguen los estafadores un approve sobre sus USDT TRC-20
Con un approve no se mueve dinero y el saldo no cambia, por eso la firma parece inofensiva. Estos son los escenarios típicos en los que la gente concede un permiso sin darse cuenta:
- "Verificación de limpieza de USDT": el sitio pide conectar la billetera y "confirmar la verificación", pero la ventana de firma contiene un approve sobre USDT a favor de un contrato ajeno.
- Un exchange falso o un clon de DEX: la interfaz copia un servicio conocido, pero el approve va al contrato del atacante.
- Un airdrop o "bono": llegan tokens desconocidos a su billetera con un enlace a un sitio donde supuestamente puede "reclamarlos" o cambiarlos.
- Un falso "soporte" en Telegram le pide "sincronizar" o "desbloquear" la billetera mediante un enlace y firmar una transacción.
- Una operación P2P en la que el comprador insiste en "verificar" su billetera en su propio sitio antes de pagar.
La señal común: le piden firmar una transacción aunque usted no envía ni compra nada. Ninguna verificación honesta de una dirección necesita firma. Para cualquier análisis basta con la dirección pública.
El mismo patrón de "no pasa nada, solo confirme" aparece en el esquema de tokens falsos que analizamos en el artículo sobre la estafa flash USDT TRC-20.
Cómo revisar los approve de una billetera TRC-20
- Abra Tronscan y busque la sección Token Approvals. Introduzca su dirección o conecte su billetera.
- Revise la lista: para cada token verá el contrato que recibió el permiso (spender) y el límite.
- Marque los permisos sobre USDT y otros tokens valiosos, sobre todo los que dicen Unlimited.
- Compare cada dirección spender con los servicios que realmente usa. Una dirección desconocida, un contrato sin código verificado o un sitio que no recuerda son candidatos a revocar.
- Asegúrese de que mira el contrato real de USDT en TRON: TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t. Los permisos sobre "USDT" falsos no valen nada por sí mismos, pero indican que la billetera se conectó a sitios dudosos.
Si la billetera se ha usado en DeFi, puede encontrar más permisos de los que esperaba. Eso no significa que todos sean peligrosos: un approve a un DEX grande y conocido es normal. Son peligrosos los límites concedidos a quien no conoce o no recuerda.
Cómo revocar un approve en TRON, paso a paso
- En la sección Token Approvals de Tronscan, conecte su billetera (TronLink u otra compatible) con la dirección que revisó.
- Elija el permiso y pulse Revoke. La billetera prepara una transacción approve con cantidad 0 para ese spender.
- Lea la ventana de firma: debe llamar al contrato del token, función approve, cantidad cero. Firme solo eso.
- Espere la confirmación y actualice la lista: el permiso revocado debe mostrar un límite de cero.
La revocación es una llamada normal a un contrato inteligente. Consume energy y bandwidth y, si no tiene recursos propios, la red quema TRX para cubrirlos. La cantidad exacta depende del contrato y de los parámetros de la red, y la billetera muestra una estimación antes de firmar. Si va a revocar varios permisos seguidos, conviene preparar recursos en la dirección con antelación.
Cómo leer la ventana de firma y el fee limit lo explicamos en la guía cómo usar la billetera TronLink. Si la dirección no tiene energía, puede comprar energía TRON por un periodo corto. La cantidad depende de la operación y el precio, del mercado.
Lo que la revocación no hace
- No devuelve los USDT ya retirados con transferFrom. Las transacciones en TRON son irreversibles.
- No protege si se filtró su frase semilla o su clave privada: con la clave, el atacante no necesita ningún approve. La única salida es una billetera nueva y mover lo que quede.
- No anula los permisos sobre otros tokens: el approve se concede por token, así que hay que revocarlo también token por token.
Cómo usar DeFi sin repartir permisos ilimitados
- Si la interfaz lo permite, apruebe la cantidad exacta para la operación concreta en lugar de Unlimited.
- Use una billetera aparte con poco saldo para probar servicios nuevos y guarde sus USDT principales en una dirección que no se conecta a nada.
- Una vez al mes, abra Token Approvals y revoque los permisos de servicios que ya no usa.
- No firme transacciones en sitios a los que llegó por un mensaje privado, un comentario o la descripción de un token desconocido.
Alquiler de energía y approve: dónde está el límite
Un alquiler de energía legítimo nunca le pide un approve ni conectar su billetera al sitio del proveedor. La energía llega por delegación: el proveedor firma una transacción desde su propia dirección y usted solo indica la dirección receptora. Si un servicio de "alquiler de energía" le pide firmar un approve sobre sus USDT, no es un alquiler, sino un intento de acceder a sus tokens.
Un approve es un poder sin fecha de caducidad sobre sus tokens. Concédalo de forma puntual y retírelo en cuanto deje de necesitarlo.
¿Necesita energía para una transferencia o para revocar permisos? En el bot de Telegram @overtronbot basta con indicar la dirección y la cantidad. La energía llega por delegación, sin firmar ningún approve y sin acceso a sus claves.
Read also
¿Qué es un approve en TRON en palabras simples?
Es un permiso registrado en el contrato del token: una dirección o contrato concreto puede mover desde su billetera hasta una cantidad fijada de ese token sin una nueva firma suya.
¿Cómo revocar un approve de USDT TRC-20?
Abra la sección Token Approvals en Tronscan, conecte su billetera, elija el permiso y pulse Revoke. La billetera envía un approve con cantidad cero para ese contrato.
¿Cuánto cuesta revocar un approve en TRON?
Revocar es una llamada a un contrato que consume energy y bandwidth. La cantidad depende del contrato y de los parámetros de la red, y la billetera muestra una estimación antes de firmar. Sin recursos propios, la red quema TRX.
¿Recuperaré mis USDT después de revocar el approve?
No. La revocación solo bloquea el acceso futuro. Los tokens ya retirados con transferFrom no se pueden recuperar por medios de la red.
¿Cómo veo a quién di permisos en una billetera TRC-20?
En la sección Token Approvals de Tronscan, que muestra el token, el contrato spender y el límite. También puede consultar la función allowance del contrato del token.
¿Es peligroso un approve para SunSwap u otro DEX?
No en sí mismo: sin él, el DEX no puede tomar los tokens para el intercambio. El riesgo es el límite ilimitado. Es más seguro aprobar la cantidad exacta y revocar cuando deje de usar el servicio.
¿Hace falta un approve para alquilar energía TRON?
No. El proveedor delega la energía a su dirección y solo necesita esa dirección. Que le pidan firmar un approve sobre USDT es señal de fraude.
¿Sirve revocar si me robaron la frase semilla?
No. Con la frase semilla el atacante controla la billetera directamente. Cree una billetera nueva y mueva allí los fondos restantes lo antes posible.