Revocar aprobaciones de tokens en Ethereum: una revocación cuesta ahora 0,52 céntimos

Si alguna vez has intercambiado un token en un exchange descentralizado, lo has depositado en un pool de préstamos o lo has enviado a través de un puente, es muy probable que siga activa hoy una aprobación que olvidaste hace mucho. Permite que un contrato ajeno retire tus tokens. No termina con el intercambio, no caduca al cabo de un año y tampoco se extingue cuando el proyecto que hay detrás se abandona. Solo termina cuando tú la revocas de forma activa.

La objeción fue la misma durante años: cada revocación es una transacción propia, cada transacción cuesta gas y quien arrastra veinte aprobaciones antiguas paga veinte veces. Esa objeción ya no se sostiene en esa forma. Hemos rehecho el cálculo el 14 de septiembre de 2026 y revocar una aprobación en la red principal de Ethereum cuesta actualmente alrededor de medio céntimo.

La aprobación de tokens explicada: por qué un approve sigue vigente tras el intercambio

Una aprobación de tokens, en inglés approval o allowance, es el permiso que concedes a una dirección de contrato ajena para que retire de tu cuenta una cantidad determinada de un token. No se trata de un fallo de diseño. Es el mecanismo sin el cual el estándar ERC-20 no funcionaría en absoluto.

El motivo está en la construcción del estándar. Un token ERC-20 es un contrato propio con su propia contabilidad. Cuando quieres entregar tokens a otro contrato, ese contrato no puede simplemente cogerlos, tiene que recogerlos él mismo. Para ello hacen falta dos pasos: primero la aprobación mediante la función approve y después la operación propiamente dicha, en la que el contrato retira los tokens con transferFrom. Puedes consultarlo en la descripción del estándar EIP-20, que fija este reparto desde 2015.

Lo decisivo es lo que no ocurre en el segundo paso. El estándar no prevé que la aprobación se extinga después de usarse. Se reduce en el importe retirado y, si la cantidad aprobada era lo bastante alta, queda un resto. Ese resto es justamente el problema del que trata este artículo.

Aprobación ilimitada: qué significa el máximo uint256 para tu saldo

Muchas interfaces ni siquiera preguntan por un importe. Fijan la aprobación directamente en el valor más alto que permite el estándar. Ese valor se llama máximo uint256 y es una cifra de 78 dígitos. En la práctica significa: ilimitado, para siempre y por la totalidad de tu saldo actual y de cualquier saldo futuro de ese token.

Para quien explota la interfaz resulta cómodo, porque solo tienes que aprobar una vez y después puedes operar sin más confirmaciones. Para ti desplaza el límite del daño. Una aprobación limitada a 500 USDC puede costarte 500 USDC en el peor de los casos. Una aprobación ilimitada te cuesta todo lo que esa dirección tenga de ese token, justo en el momento en que el contrato aprobado queda comprometido.

Ese momento no es teórico. En las últimas semanas hemos informado varias veces de casos en los que usuarios perdieron su saldo sin haber revelado jamás una frase semilla: mediante solicitudes de firma manipuladas por wallet drainers y también mediante tokens con una función de congelación y recuperación integrada. Una aprobación antigua actúa en la misma dirección, solo que de forma más silenciosa: una vez concedida, ya no te pide ni un clic más.

Para situar bien las cosas conviene decir qué no es una aprobación. No entrega a nadie tu clave privada, no abre acceso a tu saldo de éter y afecta siempre únicamente al token para el que la concediste. Quien tiene diez tokens y ha concedido para cada uno una aprobación ilimitada dispone de diez puertas de entrada separadas, y no de una sola.

Medición propia: 5.910 aprobaciones en una hora, el 13,9 % de ellas ilimitadas

Para que la magnitud no se quede en una afirmación, la hemos medido. Este análisis lo ha elaborado cryptoticker.io el 14 de septiembre de 2026.

El método en una frase: a través de un nodo público de Ethereum hemos leído todos los eventos de aprobación de los cinco tokens ERC-20 más usados en una ventana continua de 300 bloques y los hemos ordenado por el importe aprobado. La ventana abarca los bloques 25.972.833 a 25.973.132, es decir, el periodo de las 02:54 a las 03:55 UTC del 14 de septiembre de 2026, una hora larga de actividad de la red. Se han revisado los contratos de USDT, USDC, DAI, WETH y LINK.

En esa hora se registraron 5.910 eventos de aprobación, repartidos en 3.301 transacciones. De ellos, 820 estaban en el máximo uint256, es decir, en ilimitado. Eso supone el 13,9 %. Otras once aprobaciones quedaban por debajo del máximo, pero por encima de 10 elevado a 30 unidades, lo que en cada uno de estos tokens equivale a una aprobación ilimitada. En conjunto resulta el 14,1 %.

El reparto entre los distintos tokens diverge con claridad. En WETH, 477 de 2.140 aprobaciones eran ilimitadas, una proporción del 22,3 %. En USDC fueron 203 de 2.475, o sea el 8,2 %. USDT se situó en 130 de 1.181, el 11,0 %. Las muestras menores de DAI (7 de 83) y LINK (3 de 31) aportan poco al resultado por su escaso número de casos y figuran aquí solo por completitud.

Un segundo valor de la misma medición merece atención porque apunta en la otra dirección: 1.241 de los 5.910 eventos eran aprobaciones fijadas en cero, esto es, revocaciones. Una de cada cinco transacciones de aprobación en esta ventana fue, por tanto, una tarea de limpieza. La conciencia sobre el tema existe y una parte medible de los usuarios actúa en consecuencia.

Lo que con este método no hemos podido determinar forma parte igualmente del cuadro. No hemos valorado las direcciones receptoras según si detrás hay un protocolo serio o un contrato fraudulento, porque una aprobación ilimitada a la interfaz de un exchange consolidado es algo distinto de una aprobación a una dirección desconocida. Además, solo hemos medido las aprobaciones concedidas de nuevo en esta ventana, dejando fuera el stock antiguo de aprobaciones abiertas que ha crecido durante años y que no se puede leer con esta forma de consulta. Por último, quedan fuera todas las aprobaciones en redes de capa 2 como Arbitrum, Base u Optimism, así como las aprobaciones basadas en firma del tipo Permit2, que no generan ningún evento de aprobación. La cifra real de aprobaciones abiertas se sitúa por tanto por encima de lo que aquí figura.

Precio del gas en 0,049 Gwei: lo que cuesta hoy realmente una revocación en Ethereum

La segunda mitad de la medición se refiere al precio. También aquí hay valores consultados en lugar de una estimación. Para seis fechas de referencia hemos leído diez bloques separados por 50 bloques y hemos calculado la mediana de la tarifa base.

El 14 de septiembre de 2026 esa mediana se sitúa en 0,0492 Gwei, con un rango de 0,0389 a 0,0540 Gwei en las diez muestras. Hace siete días estaba en 0,0493 Gwei y hace 30 días en 0,0616 Gwei. Si retrocedemos tres meses, el cuadro cambia: el 15 de junio de 2026 la mediana estaba en 0,2097 Gwei, el 17 de marzo en 0,1155 Gwei y el 12 de septiembre de 2025 en 0,1539 Gwei. El nivel actual equivale así a apenas una cuarta parte del valor de hace tres meses y a alrededor de un tercio del de hace un año.

Queda la pregunta de cuánto gas consume realmente una revocación. También esto lo hemos medido en vez de tomarlo de una regla aproximada: de las transacciones de la ventana de medición hemos filtrado 23 que generaban exactamente un evento, es decir, operaciones de aprobación puras y sin añadidos. Su consumo de gas osciló entre 24.080 y 55.906 unidades, con una mediana de 48.837.

De ahí sale la cuenta. 48.837 unidades de gas a 0,0492 Gwei son 0,0000024 éter. Al precio de 2.170,21 euros por éter en Kraken, eso corresponde a 0,52 céntimos. En el rango de gas medido el precio se mueve entre 0,26 y 0,60 céntimos. Ordenar diez aprobaciones cuesta por tanto unos cinco céntimos. A modo de comparación: el 15 de junio la misma revocación habría costado 2,22 céntimos, lo que confirma el argumento más que debilitarlo. Tampoco entonces era cara la operación.

Aquí está el verdadero hallazgo de este análisis. La cuestión del coste no sirve como justificación para dejar corriendo aprobaciones antiguas, y hace ya tiempo que no servía. Aun así, el 13,9 % de todas las aprobaciones nuevas sigue en ilimitado. Lo que falta no es el dinero de la transacción. Falta la costumbre de ordenar una vez terminado el intercambio.

Comprobar las aprobaciones de tokens: así ves en pocos minutos qué sigue abierto

El comienzo es poco espectacular. Necesitas tu dirección pública, ninguna frase semilla y ninguna instalación.

Lo más rápido es un comprobador de aprobaciones. El más conocido es Revoke.cash, accesible cuando lo consultamos el 14 de septiembre de 2026, que desglosa las aprobaciones abiertas de una dirección por token y por dirección de contrato. Etherscan también ofrece una herramienta propia con el nombre de Token Approval Checker que entrega el mismo listado; la página bloquea las consultas automatizadas, mientras que en un navegador normal resulta accesible sin problema.

Al principio puedes limitarte a teclear la dirección y mirar la lista, sin conectar una cartera. Para la simple consulta eso basta de sobra y es el camino más seguro: una interfaz que usas por primera vez no tiene por qué obtener acceso inmediato a tu cuenta. Solo tienes que conectarte cuando quieras revocar de verdad, porque para ello hace falta una transacción y, con ella, una firma.

¿En qué reconoces una aprobación arriesgada?

Tres rasgos son elocuentes. Si en la columna del importe aparece una cantidad ilimitada, la aprobación está abierta con independencia de tu saldo actual. Si la fecha de concesión se remonta a meses o años y no recuerdas el protocolo, no hay razón para dejarla seguir corriendo. Y si la dirección receptora no lleva ningún nombre de contrato conocido, sino solo una dirección hexadecimal desnuda, merece atención especial.

Cabe una salvedad: que una aprobación vaya a un protocolo conocido y muy usado no la vuelve inofensiva. Las grandes pérdidas de los últimos años se produjeron mayoritariamente en contratos consolidados que solo más tarde mostraron una brecha.

Revocar aprobaciones: el procedimiento paso a paso

Una revocación es técnicamente lo mismo que una aprobación, solo que con el importe en cero. Llamas a la misma función approve y dejas la cantidad permitida en nada. Después el contrato ya no puede retirar nada.

En la práctica funciona así: abres el comprobador de aprobaciones, conectas tu cartera, eliges en la lista la aprobación que debe desaparecer y confirmas la transacción. Fíjate en lo que te muestra tu cartera antes de firmar. Tiene que ser un approve sobre el contrato del token que estás ordenando, y el importe tiene que ser cero. Si tu cartera te muestra en cambio una transferencia de tu saldo o una firma sin función reconocible, interrumpe la operación.

Cada aprobación necesita su propia transacción, y eso vale también cuando la interfaz ofrece varias a la vez. Cuenta por tanto con el medio céntimo medido por operación, no con un precio a tanto alzado para toda la lista. Quien tiene muchísimas aprobaciones antiguas puede guiarse por la cuantía del saldo y empezar por los tokens en los que realmente hay algo. Una aprobación ilimitada sobre un token del que tienes cero unidades resulta descuidada, pero en ese momento carece de efecto. Solo se vuelve peligrosa cuando vuelve a llegar algo a la dirección.

Aprobación limitada en lugar de ilimitada: qué aporta realmente un importe fijo

El paso más eficaz llega antes de la revocación, en concreto en el momento de conceder. La mayoría de las carteras permite sobrescribir al confirmar el importe ilimitado propuesto e introducir en su lugar exactamente la cantidad de la que trata la operación.

El precio de esto es comodidad. Si la semana que viene quieres volver a operar, tienes que aprobar de nuevo, y eso cuesta otra transacción. Al precio del gas medido hoy, ese precio es de cinco décimas de céntimo por operación. Quien opera con regularidad paga por tanto unos pocos euros al año para que no quede atrás ninguna aprobación abierta.

Enfrente está el beneficio. Una aprobación limitada acota el daño posible al importe introducido y se agota prácticamente sola, porque se consume en la operación. Justamente esa propiedad marca la diferencia entre una pérdida molesta y una pérdida existencial cuando un contrato queda comprometido años después.

El caso especial de Permit2 y las firmas

Un patrón más reciente trabaja con una firma en lugar de una transacción. Con el nombre de Permit o Permit2 concedes el permiso firmando un mensaje que el contrato presenta él mismo más tarde. Eso te ahorra el coste de gas de la aprobación y por eso tampoco genera ningún evento de aprobación en la cadena, razón por la cual estos permisos faltan en nuestra medición.

Para ti eso significa dos cosas. Una solicitud de firma puede tener el mismo efecto que una aprobación, aunque parezca más inofensiva y no cueste nada. Y un permiso concedido por firma solo lo ves en algunos comprobadores de aprobaciones si la herramienta admite Permit2 de forma expresa. Compruébalo antes de tomar una lista vacía por una lista limpia.

Lo que una revocación no protege: frase semilla, firmas y phishing

Unas aprobaciones ordenadas limitan el daño. No son un escudo. Te ayudan frente a exactamente un patrón de ataque: un contrato al que un día concediste acceso y que después emplea ese acceso contra ti.

No te ayudan si tu frase semilla se pierde, porque quien tiene la clave no necesita aprobación alguna. No te ayudan frente a una transacción recién firmada en una página falsificada, porque en ese momento estás concediendo un permiso nuevo en vez de usar uno antiguo. Y no te ayudan con tokens cuyo contrato incorpora una función propia de bloqueo o recuperación, como llevan integrada muchos valores regulados y tokenizados.

La revocación se sitúa por eso junto a los demás hábitos y no en su lugar: direcciones separadas para operar y para custodiar, una cartera de hardware para las posiciones que se quedan quietas y la costumbre de leer cada solicitud de firma antes de confirmarla.

Direcciones separadas: por qué una aprobación solo cuesta lo que la cuenta tiene

Hay una vía para desactivar el asunto de forma estructural, y prescinde de cualquier herramienta. Una aprobación solo puede alcanzar lo que se encuentra en la dirección para la que rige. Quien separa sus posiciones limita el daño con independencia de lo limpia que esté su lista de aprobaciones.

En la práctica eso supone una dirección en la que operas y usas contratos, y una segunda en la que descansan las posiciones que no tocas. La segunda dirección no se conecta con ninguna interfaz descentralizada y por eso nunca concede una aprobación. Si además la gestionas desde una cartera distinta en vez de desde la misma instalación de software, separas también el riesgo de que una interfaz comprometida alcance las dos cuentas a la vez.

Este reparto tiene un efecto secundario que conviene conocer: mover posiciones entre tus propias direcciones es fiscalmente un traslado y no una venta. Aun así debes documentarlo con limpieza, porque tu exchange comunica estos movimientos a la administración tributaria desde principios de 2026 y una salida sin explicar plantea preguntas más adelante. Qué se transmite exactamente lo hemos desglosado en nuestro panorama sobre la obligación de información en cripto.

Revocar aprobaciones de tokens: lo que te llevas de aquí

1. Mira hoy mismo qué sigue abierto. Introduce tu dirección en un comprobador de aprobaciones, sin conectar la cartera, y hazte con una lista. Quien encuentre ahí una aprobación ilimitada a un protocolo que lleva un año sin usar ya habrá aprovechado bien la tarde. Para las posiciones que después deban quedarse quietas, merece la pena echar un vistazo a nuestra comparativa de carteras de hardware.
2. Ordena siguiendo el tamaño del saldo. Empieza por los tokens de los que realmente tienes algo y sigue hacia abajo. Con un precio medido de alrededor de medio céntimo por revocación, la lista es media hora de tu tiempo antes que una cuestión de coste. Qué cartera te muestra las aprobaciones en lenguaje claro al confirmar lo enseña nuestra comparativa de carteras de software.
3. Cambia el hábito en la próxima aprobación. Sobrescribe la propuesta ilimitada e introduce el importe del que se trata. Eso te cuesta una transacción más en la siguiente operación y acota a cambio cualquier daño futuro a una suma que has fijado tú. Quien quiera mantener a la vista sus posiciones y movimientos con limpieza encontrará las herramientas adecuadas en nuestra comparativa de rastreadores de cartera.

(14 de septiembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)