En el mundo Web3, "firmar" es una operación básica para interactuar con DApps. Iniciar sesión, reclamar airdrops y comerciar NFTs requieren firmas. Pero no todas las solicitudes de firma son seguras — las firmas maliciosas se han convertido en uno de los principales métodos de robo de criptoactivos en 2024-2025.
Tipos de firmas en billeteras
1. personal_sign: Verificación de inicio de sesión en DApp. Riesgo bajo.
2. eth_signTypedData: Autorización off-chain, firma de órdenes. Riesgo medio-alto, puede usarse para autorizaciones Permit.
3. eth_sign: Firma de datos arbitrarios. Riesgo extremadamente alto, conocido como "firma ciega."
4. eth_sendTransaction: Envío de transacciones on-chain. Riesgo variable según contenido.
¿Cómo roban activos las firmas maliciosas?
Ataque Permit: El estándar EIP-2612 permite autorizaciones off-chain. El atacante te engaña para firmar un Permit y luego transfiere tus tokens on-chain.
Ataque Seaport: Construyen solicitudes para vender todos tus NFTs a precios ridículos.
Ataque eth_sign: Te hacen firmar datos hexadecimales ilegibles que transfieren todos tus activos.
Ataque setApprovalForAll: Te engañan para aprobar todos tus NFTs a un contrato malicioso.
¿Cómo identificar solicitudes maliciosas?
- Verifica el tipo: Si MetaMask muestra eth_sign, rechaza inmediatamente
- Lee el contenido: Busca palabras clave como Permit, approval, setApprovalForAll
- Verifica el origen: Confirma que viene de la DApp legítima
- Revisa montos y direcciones: Verifica que sean razonables
- Usa herramientas de simulación: Pocket Universe, Fire, Blowfish
Escenarios comunes de firmas maliciosas
- Páginas falsas de reclamo de airdrop
- Páginas falsas de mint de NFT
- Enlaces phishing en Discord/Twitter
- Frontends falsos de DApps conocidas
- Ataques de ingeniería social
Consejos de seguridad
- Lee cada solicitud de firma cuidadosamente
- Instala plugins de simulación de transacciones
- Mantén eth_sign desactivado en MetaMask
- Accede a DApps desde marcadores oficiales
- Usa billetera separada para experimentar
- Ante la duda, rechaza
Mantén activos grandes en un entorno seguro. Regístrate en Binance o descarga la App de Binance (iOS: guía de instalación).
¿Cuál es la diferencia entre firma y transacción?
La firma es off-chain sin gas. La transacción es on-chain con gas. Pero las firmas pueden usarse para ejecutar transacciones.
¿Puedo revocar una firma maliciosa?
Para firmas Permit aún no usadas, puedes emitir una nueva con autorización en 0. Pero la ventana de tiempo es muy corta.
¿Las hardware wallets previenen firmas maliciosas?
Añaden una capa extra, pero si confirmas sin leer, tampoco protegen.
¿Qué plugins detectan firmas maliciosas?
Pocket Universe, Fire, ScamSniffer, Blowfish Protect.