Estafas comunes en phishing que Rabby Wallet detecta automáticamente (y MetaMask no)

Un usuario de Ethereum recibe un correo que parece venir de OpenSea informándole de una actividad sospechosa en su cuenta. El enlace promete verificar su identidad de forma rápida. Otro usuario ve un tweet de una cuenta verificada ofreciendo un airdrop exclusivo a cambio de aprobar un contrato inteligente. Un tercero recibe un mensaje directo en Discord que dice “He visto tu propuesta de liquidez en Uniswap, necesito tu ayuda para recuperar fondos bloqueados”. Cada escenario tiene una característica común: si el usuario conecta su billetera y aprueba la transacción propuesta, los fondos desaparecerán sin que haya ningún aviso de seguridad aparente.

El problema fundamental es que las billeteras tradicionales muestran al usuario qué va a firmar, pero no qué va a pasar realmente. Un botón de aprobación puede verse inofensivo, pero el contrato inteligente que se ejecuta detrás podría drenar todos los tokens de una dirección específica. Los atacantes han perfeccionado técnicas que explotan esta brecha entre la intención aparente y la acción real. Rabby Wallet, la billetera no custodial desarrollada por el equipo de DeBank, incluye un sistema de simulación de transacciones que ejecuta el código antes de que el usuario firme, revelando exactamente qué sucederá. Esa diferencia entre mostrar código crudo y revelar consecuencias reales transforma radicalmente la defensa contra phishing.

El clásico: aprobaciones ilimitadas disfrazadas de funciones legítimas

La técnica más efectiva y generalizada es la aprobación ilimitada. Un usuario ve una página que parece legítima donde puede “listar su NFT en Opensea”, “conectar con una plataforma DeFi” o “participar en un airdrop verificado”. Lo que realmente sucede es que el contrato inteligente solicita una aprobación estándar: `approve(spender, amount)`. La mayoría de plataformas legítimas establece un límite sensato, pero muchos atacantes simplemente colocan `uint256.max` como parámetro de cantidad, lo que significa autorización para mover todos los tokens de ese tipo de la dirección del usuario, no solo los que pretendía transferir.

MetaMask muestra el texto de esta aprobación tal como aparece en el contrato: “You are approving unlimited access”. Un usuario desatento puede pensar que es un aviso estándar de cualquier dApp legítima. En realidad, ver esas palabras debe ser una alarma inmediata, porque la mayoría de servicios reales no necesitan acceso ilimitado. Rabby Wallet simula la transacción antes de que el usuario la firme. En lugar de mostrar solo “approve(spender, uint256.max)”, revela lo que sucede en la práctica: “You are granting permission to transfer an unlimited amount of [TOKEN] to [ADDRESS]”. Agregando contexto del token, la dirección destino y la cantidad real que el contrato podría mover, la simulación convierte una línea de código abstracta en una declaración de riesgo concreto.

Un caso común es la solicitud de aprobación para tokens específicos. Un usuario desea vender Tokens USDC en Uniswap. La transacción propuesta dice “Approving USDC”. Pero la simulación en Rabby Wallet revelará que la dirección receptora es un contrato conocido de phishing, no el router de Uniswap. El atacante ha copiado el flujo visual exacto de la plataforma legítima, pero la red blockchain no miente. Si el usuario hubiera firmado sin ver la simulación, la aprobación habría estado en poder de los atacantes, no de Uniswap. Una vez que poseen esa aprobación, pueden transferir fondos en cualquier momento posterior.

La defensa que Rabby Wallet ofrece no es simplemente mostrar una advertencia adicional. Es ejecutar el contrato inteligente en un entorno simulado, capturar el cambio de estado que ocurriría, y mostrar al usuario exactamente qué dirección recibiría autorización, cuál sería el límite real (si no es infinito), y qué token estaría afectado. Cuando el límite es `uint256.max`, Rabby lo marca explícitamente como riesgo alto. Esta diferencia entre “mostrar código” e “interpretar consecuencias” es lo que distingue una billetera reactiva de una proactiva en materia de seguridad Web3.

Drenadores de liquidez: transacciones que parecen intercambios pero drenan toda la cartera

Un usuario ve una notificación de que puede reclamar una recompensa de liquidez de Uniswap. Hace clic, llega a lo que parece el sitio oficial, conecta su billetera y aprueba “una transacción de retiro”. Lo que sucede en la cadena es completamente distinto: el atacante ejecuta una función de contrato que no solo retira la liquidez propuesta, sino que, en la misma transacción, transfiere todos los tokens ERC-20 de la cartera a una dirección controlada por el atacante. Esto es posible porque el atacante ha creado un contrato falso que tiene permisos de aprobación sobre múltiples tokens del usuario.

MetaMask y billeteras similares mostrarían algo como “Interacting with contract 0xabcd…”. El usuario no tiene herramienta nativa para entender qué tokens está aprobando, cuántos y para qué propósito real. Algunos usuarios intentan copiar la dirección del contrato y verificarla en Etherscan, pero muchos atacantes usan direcciones que semejan cercanas a las legítimas, diferenciándose por un solo carácter que pasa desapercibido.

Rabby Wallet ejecuta el contrato antes de que el usuario lo firme. Si la transacción simulada muestra que “Se transferirán 15 tokens diferentes a la dirección 0xhacker…”, Rabby emite una advertencia clara: “Esta transacción propone transferir múltiples activos a un destino externo”. El usuario puede ver exactamente cuáles tokens, en qué cantidades, y a qué dirección irían. Si el usuario pretendía solo retirar un token de liquidez pero el código intenta mover 15, esa incongruencia queda inmediatamente visible. La simulación también puede detectar patrones de phishing comunes: si la dirección destino es una que ya ha sido marcada en la comunidad como maliciosa, Rabby puede resaltar ese riesgo.

Para una billetera multi-cadena como Rabby Wallet, que soporta más de 100 blockchains EVM incluyendo Ethereum, Arbitrum, Polygon, Optimism y Avalanche, la simulación debe funcionar en cada red. Un atacante podría intentar el mismo esquema de drenaje de liquidez en cualquiera de esas redes, pero el mecanismo de detección permanece consistente: si la transacción simulada revela movimiento de fondos no autorizado, se marca el riesgo antes de firmar.

Reclamos falsos y airdrops que ejecutan código oculto

Un usuario recibe un mensaje en una comunidad de Discord o en Twitter que dice “¡Felicidades! Tu dirección fue seleccionada para un airdrop de 10,000 tokens. Haz clic aquí para reclamarlo”. El enlace lleva a una página que coincide perfectamente con el sitio oficial del proyecto. El usuario conecta su billetera (sin pensar mucho, porque “solo está reclamando un airdrop gratis”) y hace clic en “Claim”. Lo que en realidad se ejecuta es un contrato que ha sido diseñado para extraer todas las aprobaciones existentes del usuario y transferir todos los fondos a una cuenta controlada por atacantes.

Esta es una variante del phishing donde la superficie parece completamente legítima. No hay un error de ortografía, no hay animación sospechosa, y el flujo es exactamente el mismo que usaría el proyecto real. El atacante ha capturado el código HTML, los estilos CSS, incluso las imágenes, del sitio original. La única diferencia está en la dirección del contrato inteligente que se llama en segundo plano, algo que un usuario visual no puede detectar sin inspeccionando el código fuente o usando herramientas avanzadas.

Rabby Wallet incluye una característica de descargar rabby wallet con vista unificada de portfolio que permite al usuario ver el estado completo de sus tokens y NFTs antes y después de cualquier transacción. Si la transacción simulada muestra que “Se transferirán todos sus tokens USDC, USDT, DAI y ETH a una dirección externa”, mientras el usuario esperaba recibir 10,000 tokens de airdrop, la incongruencia es evidente incluso para usuarios sin experiencia técnica. La simulación muestra no solo lo que se supone que sucede según el texto en pantalla, sino lo que el código realmente hará.

Además, Rabby Wallet ofrece gestión avanzada de aprobaciones que permite al usuario ver todas las autorizaciones activas en su dirección y revocar las que no reconoce. Si el usuario viera que un contrato desconocido tiene acceso a múltiples tokens antes de hacer clic en “Claim”, podría revocar esas autorizaciones proactivamente. Esto es una defensa adicional que MetaMask no proporciona de forma nativa: la mayoría de usuarios de MetaMask ni siquiera saben que sus direcciones tienen aprobaciones activas hasta que es demasiado tarde.

Cambios de dirección destino dentro de la misma transacción

Un usuario desea enviar 1 ETH a una dirección que copió de su email de confirmación de un exchange. Crea la transacción, la firma, y espera la confirmación. Lo que no ve es que un atacante ha interceptado el flujo de la dApp y modificó dinámicamente la dirección destino en el último milisegundo antes de que apareciera en la billetera. En lugar de enviar a la dirección correcta, el ETH se envía a un wallet del atacante.

Este ataque es particularmente efectivo porque el usuario puede estar viendo la dirección correcta en su pantalla, pero la transacción que realmente firma tiene una dirección diferente insertada por JavaScript malicioso en la página. Es un ataque de “DOM hijacking” o manipulación del árbol de elementos de la página web.

La simulación en Rabby Wallet ejecuta la transacción antes de firmar, lo que significa que la dirección destino ya está fija en el objeto de transacción. Si la página intenta cambiarla después de que el usuario hizo clic en “Siguiente” pero antes de que Rabby ejecute la simulación, Rabby mostrará la dirección original en su pantalla de confirmación, porque esa es la que está en el objeto pendiente de firma. Si la página intenta ser más sofisticada e inyectar la dirección falsa después de que Rabby obtiene el objeto de transacción, la simulación revelará que la dirección final en la transacción es diferente de la que el usuario cree que aprobó. Algunos navegadores y plataformas pueden requerir confirmación manual de cambios de dirección entre dos pantallas consecutivas, lo que añade fricción pero reduce enormemente el riesgo.

Para un usuario multi-cadena, este riesgo es aún mayor porque una sola confusión sobre qué cadena destino estás usando podría enviar fondos a una dirección que no existe o que es controlada por atacantes en esa cadena específica. Rabby Wallet incluye cambio automático de red, lo que significa que cuando conectas a una dApp que requiere Arbitrum, Rabby automáticamente cambia a esa red y lo comunica visiblemente. Eso reduce la posibilidad de que un usuario firme una transacción en la cadena equivocada sin darse cuenta.

Contratos que simulan una cosa y hacen otra en producción

Un atacante despliega un contrato inteligente que, cuando se llama con propósitos de simulación o verificación estática, se comporta correctamente. Por ejemplo, si alguien llama a la función `balanceOf()` o `transfer()` de forma aislada para revisar el código, funciona como se espera. Pero cuando se ejecuta en el contexto de una transacción real (especialmente dentro de una secuencia de multicall o en una transacción de lote), el contrato contiene lógica oculta que detecta el contexto y ejecuta un comportamiento malicioso en su lugar.

Este es un ataque sofisticado que explota la diferencia entre cómo una billetera estándar revisa una transacción (a menudo de forma superficial, solo interpretando los parámetros públicos) y cómo un analizador de código estático la examinaría. Rabby Wallet ejecuta una simulación completa de la transacción en un entorno que replica el estado actual de la blockchain. Eso significa que si el contrato tiene lógica condicional que solo se activa en ciertos contextos (por ejemplo, “si el llamador es la dirección X y el tiempo es mayor a Y”), la simulación puede detectar eso si es posible inferirlo desde el estado disponible.

Sin embargo, existe un límite: si el atacante ha estructurado el código para que el comportamiento malicioso dependa de una variable aleatoria, de un oráculo externo, o de una condición que no puede ser determinada durante la simulación, entonces incluso Rabby Wallet no podrá predecir con certeza qué sucederá. En esos casos raros, la mejor defensa es no interactuar con contratos que no provienen de fuentes verificadas y bien auditadas. Las billeteras pueden detectar lo obvio y lo predecible, pero no pueden ver el futuro.

Afortunadamente, la mayoría de ataques no son tan sofisticados. Requieren inversión en auditoría, depuración y ocultamiento del código malicioso, lo que es un esfuerzo significativo que pocos atacantes están dispuestos a invertir cuando técnicas más simples funcionan bien. Los esquemas de phishing que Rabby Wallet detecta automáticamente son aquellos que la mayoría de usuarios encuentra primero, porque son los que generan el mayor volumen de víctimas con el menor esfuerzo técnico.

Solicitudes de firma sin contexto visual claro

Un usuario está interactuando con una dApp y ve una ventana emergente de confirmación de transacción que es genérica, sin contexto, o donde el texto es tan técnico que parece un error de la aplicación. El usuario, asumiendo que es un paso necesario o un error menor, simplemente hace clic en “Confirm” sin leer. Lo que estaba firmando era una transacción que transfiere todos sus NFTs a otro wallet.

MetaMask muestra datos en bruto: `to`, `value`, `data`. Para un usuario no técnico, `data` es simplemente una cadena hexadecimal larga e incomprehensible. No hay contexto de qué está sucediendo realmente. Rabby Wallet, por el contrario, decodifica esas transacciones y proporciona un resumen en lenguaje natural. Si la transacción es un cambio de aprobación, Rabby dice exactamente qué token, a quién, y por cuánto. Si es una transferencia de NFT, Rabby identifica cuál NFT, a qué colección pertenece, y hacia qué dirección va.

Esta interpretación de transacciones es especialmente valiosa para usuarios multi-cadena, porque reduce la fricción cognitiva entre redes. Un usuario que interactúa con contratos en Ethereum, Polygon y Arbitrum puede confundirse fácilmente si debe revisar parámetros técnicos sin contexto. Rabby Wallet, que soporta todas esas cadenas, proporciona el mismo formato de presentación clara en cada una, reduciendo la probabilidad de que un usuario accidentalmente apruebe algo incorrecto solo porque estaba en una red diferente y no se dio cuenta.

La billetera como defensa integral, no como remedio parcial

Ninguna billetera puede eliminar completamente el riesgo de phishing. Un usuario que escribe su frase de recuperación en un formulario en línea, o que instala malware que registra sus pulsaciones de teclado, habrá comprometido su billetera independientemente de qué tan sofisticadas sean sus defensas de simulación de transacciones. Una billetera no custodial como Rabby Wallet mantiene las claves privadas cifradas en el dispositivo del usuario, lo que significa que Rabby no puede robar fondos incluso si quisiera, pero el usuario sigue siendo responsable de proteger su dispositivo y sus claves.

Sin embargo, dentro del ámbito de las transacciones que un usuario autoriza conscientemente, la simulación es una defensa extraordinariamente efectiva. La mayoría de ataques de phishing en Web3 no dependen de robar claves privadas. Dependen de que el usuario firme algo peligroso sin entender qué es. Al mostrar exactamente qué sucederá antes de que el usuario firme, Rabby Wallet invierte la economía del ataque. Ya no es suficiente con copiar una interfaz visual o usar ingeniería social. El atacante también necesitaría que el usuario aprobara explícitamente una acción que el usuario puede ver claramente que es peligrosa, lo que es un nivel de control de víctima mucho más difícil de lograr.

La compatibilidad con hardware wallets como Ledger, Trezor y Keystone añade otra capa. Si el usuario tiene una cantidad significativa de fondos, la combinación de Rabby Wallet con una hardware wallet ofrece tanto la facilidad de uso de una billetera no custodial con la seguridad del almacenamiento offline de claves privadas. Rabby maneja el flujo de usuario, la simulación de transacciones y la gestión de portfolio, mientras que el hardware wallet mantiene las claves fuera de alcance de cualquier software comprometido en el dispositivo.

Disponible como extensión para Chrome, Brave, Edge y Firefox, aplicación desktop nativa para Windows, macOS y Linux, y app móvil para Android en Google Play, Rabby Wallet proporciona acceso consistente a estas defensas en cualquier plataforma que el usuario prefiera. La consistencia de la experiencia de seguridad en múltiples plataformas es importante porque un usuario que está acostumbrado a ver simulaciones de transacciones claras en su navegador de escritorio esperará lo mismo en su teléfono, y vice versa. Si un usuario cambia a una billetera diferente en una plataforma específica, pierde esa continuidad de protección.

Educación técnica como complemento, no requisito

La característica más valiosa de Rabby Wallet no es que sea técnicamente superior en términos de cifrado o en la solidez de su generación de claves. Es que hace que la seguridad sea accesible a usuarios que no son ingenieros de blockchain. Un usuario no necesita entender qué es un `uint256.max` o cómo funcionan los oráculos de precios para beneficiarse de la simulación de transacciones. Si la interfaz dice “Esta transacción transfiere 5,000 tokens USDC a una dirección desconocida”, eso es información accionable incluso para alguien sin conocimientos técnicos.

MetaMask requiere que los usuarios aprendan a identificar advertencias de riesgo implícitas en datos crudos. Rabby Wallet elimina ese requisito traduciendo datos técnicos en advertencias claras. Un usuario que ve “High Risk: This transaction grants unlimited approval to a known phishing contract” (Riesgo alto: esta transacción concede aprobación ilimitada a un contrato de phishing conocido) entiende inmediatamente qué hacer: no firmar.

Esa accesibilidad reduce la brecha entre usuarios sofisticados y nuevos en cripto. Ambos interactúan con las mismas dApps y enfrentan los mismos riesgos de phishing, pero Rabby Wallet nivela el campo de juego proporcionando información clara a ambos grupos. Un usuario nuevo puede confiar en las advertencias de simulación sin necesidad de pasar años aprendiendo cómo leer bytes de contrato inteligente. Un usuario experimentado obtiene la misma información de manera más rápida y confiable que si tuviera que analizar el código manualmente.