Conectaste tu MetaMask a un «airdrop» que te llegó por Telegram o WhatsApp, firmaste algo y ahora tenés el corazón a mil porque ahí guardás tu USDT. Respirá. Esta guía te agarra en ese minuto, te separa según si tu billetera ya está vacía o no, y te blinda contra la estafa de recuperación, que en español es la trampa más agresiva que viene después. Vamos por orden.

1. Lo firmé sin querer: qué hacer en los próximos 10 minutos (y qué NO tocar todavía)

Si llegaste acá con el corazón a mil porque conectaste tu MetaMask a un «airdrop» que te pasaron por Telegram y firmaste algo raro, respirá y leé esto antes de tocar cualquier otro botón. Los próximos diez minutos importan, pero el pánico es justo lo que el atacante necesita para que cometas un segundo error.

Lo primero, una regla que te va a salvar de la segunda trampa: no escribas tu frase semilla en ningún lado. Ni en una web de «recuperación», ni en un formulario que te aparezca, ni en un chat de «soporte». Nadie legítimo te la va a pedir nunca. Si alguien te pide las 12 o 24 palabras, ya sabés que es el estafador.

El plan tiene dos caminos y depende de una sola pregunta que respondemos en la sección siguiente: ¿tu billetera ya está vacía, o todavía le queda algo? Esa respuesta cambia todo lo demás.

2. Antes de nada: ¿tu billetera ya está vacía o aún no? Diagnóstico en 60 segundos

Abrí un explorador de bloques (Etherscan si era Ethereum, BscScan si era BNB Chain, Polygonscan si era Polygon) y pegá tu dirección. Mirá el saldo y las últimas transacciones. En 60 segundos vas a saber en cuál de los tres escenarios estás.

¿Por qué la frase semilla cambia tanto el panorama? Porque hay una diferencia enorme entre haber firmado una aprobación (le diste permiso a un contrato para mover un token concreto) y haber entregado tu semilla (le diste el control total de la billetera). Si solo firmaste una aprobación, revocar te tapa el agujero. Si entregaste la semilla, revocar es como cambiar la cerradura cuando el ladrón ya tiene una copia de la llave: inútil. Lo desarrollamos más adelante.

3. Por qué te pasó: el airdrop de Telegram/WhatsApp que conecta tu MetaMask y te hace firmar

Hagamos memoria de cómo llegaste hasta acá, porque entenderlo te ahorra la próxima. El guion es casi siempre el mismo en LatAm: aparece un mensaje en Telegram o WhatsApp, a veces en un grupo de «señales» o un canal que parece oficial, anunciando un airdrop de un token nuevo o una «recompensa» por ser usuario activo. Hay un enlace, una cuenta atrás y una urgencia fabricada para que no pienses.

Entrás al sitio, le das «Conectar billetera», y hasta ahí no pasó nada grave: conectar solo deja que la web vea tu dirección. El problema viene en el paso siguiente, cuando te sale una ventana de MetaMask pidiéndote que firmes para «reclamar» el airdrop. Esa firma no reclama nada. Esa firma es una aprobación que le da permiso a un contrato malicioso para mover tus tokens.

Acá entra una variante más silenciosa: las firmas tipo Permit y Permit2. Son aprobaciones que se firman fuera de la cadena (off-chain), sin gastar gas y sin generar ninguna transacción visible. Por eso muchos cuentan que les vaciaron la billetera «sin haber visto ninguna operación sospechosa»: la autorización quedó en una firma que nunca apareció en el explorador. En 2025, el 38% de los robos por phishing de más de un millón de dólares salieron de firmas tipo Permit.

Los avisos oficiales de exchanges de la región, como Bitso, lo repiten: nunca te contactan por Telegram ni WhatsApp para ofrecerte airdrops, y jamás te piden la frase semilla. Si un mensaje rompe alguna de esas dos reglas, es falso.

4. Qué es realmente una aprobación (allowance): la firma que deja entrar al ladrón para siempre

Para defenderte tenés que saber qué firmaste de verdad. En los tokens estándar de Ethereum (ERC-20) hay tres piezas que conviven:

• approve: la función con la que vos autorizás a un contrato a gastar cierta cantidad de un token tuyo.
• allowance: el saldo de permiso que queda registrado. Cuánto puede moverte ese contrato.
• transferFrom: la función con la que el contrato, ya autorizado, retira tus tokens cuando se le antoja.

Lo clave, y lo que casi nadie te explica: esa autorización queda viva para siempre. No caduca sola, no se borra cuando cerrás la pestaña, no se va cuando te desconectás del sitio. Sigue activa hasta que vos la revocás a mano. Y si firmaste una «aprobación ilimitada» (unlimited), con una sola firma le diste permiso para vaciar ese token sin tope y sin fecha de vencimiento. El contrato puede esperar semanas y drenar el día que más saldo tengas.

Esto es legítimo cuando lo usás vos a propósito: cuando operás en un DEX real, le aprobás al contrato gastar tus tokens para poder hacer el swap. El mecanismo no es el problema. El problema es a quién se lo aprobaste y por cuánto.

5. Desconectar la dApp NO es revocar: el error que deja a tu USDT saliendo igual

Acá está el error que deja a la gente con la billetera goteando aunque crea que ya se protegió: confundir desconectar con revocar. No son lo mismo, ni de cerca.

Pensalo así: desconectarte solo le saca al sitio la posibilidad de mirar tu cuenta. Pero el permiso para mover tu dinero ya lo diste, y ese permiso vive en la blockchain, no en la conexión del navegador. El contrato malicioso no necesita que vos estés «conectado» para ejecutar el transferFrom que ya autorizaste. Por eso ves a gente que jura «pero si me desconecté» y aun así le siguen saliendo fondos. Desconectarse está bien como primer reflejo, pero no es la solución; es solo el paso cero.

6. Plan de emergencia paso a paso: revocar con Revoke.cash, explorador o desde la propia wallet

Ahora sí, el procedimiento. Hacelo en este orden y sin saltarte pasos.

Paso 1 — Desconectar y cortar el acceso visual

En MetaMask, andá a «Sitios conectados» y desconectá el sitio sospechoso. Esto no resuelve nada por sí solo, pero ordena el terreno.

Paso 2 — Revisar tus aprobaciones (primero en modo lectura)

La herramienta más usada es Revoke.cash: es gratuita, de código abierto, cubre más de 100 redes EVM además de Solana, y tiene un modo de solo lectura donde pegás tu dirección y ves todas tus aprobaciones sin firmar nada. Empezá ahí para diagnosticar antes de gastar gas.

Paso 3 — Encontrar la aprobación maliciosa

Ordená la lista de aprobaciones de más reciente a más antigua. La que firmaste sin querer suele ser de las últimas. Fijate sobre todo en las que dicen «Ilimitado» (Unlimited) y en cualquier contrato que no reconozcas. Esas son las prioritarias.

Paso 4 — Revocar

Hacé clic en «Revocar» en cada aprobación peligrosa. Cada revocación es una transacción on-chain y cuesta gas (en Ethereum pueden ser unos pocos dólares según la congestión). Empezá por las ilimitadas y por las del token con más saldo.

Paso 5 — Barrer lo que queda

Una vez cortado el permiso, mové tus activos restantes a una billetera con semilla nueva. Si el robo solo vino de una aprobación firmada, con revocar y barrer estás cubierto. Si sospechás de la semilla, este paso deja de ser opcional, como vemos enseguida.

7. Cuándo revocar ya no alcanza: si filtraste tu frase semilla, hay que mudarse de billetera

Acá viene la distinción que más cuesta entender en caliente y la que más fondos salva. Revocar sirve cuando el atacante solo tiene una aprobación. No sirve de nada cuando el atacante tiene tu frase semilla o tu clave privada.

Pensá la diferencia con un ejemplo. Una aprobación es como darle a un repartidor permiso para entrar a tu garaje y llevarse una caja concreta. Revocar el permiso le cierra el garaje. Pero la frase semilla es la llave maestra de toda la casa: si la entregaste, el ladrón entra por la puerta principal, abre cada habitación y se lleva todo, y cambiar el permiso del garaje no le impide nada.

Si estás en ese escenario, la única acción válida es mudarte de billetera: creá una billetera nueva, con una semilla nueva que nunca tocó esa web, y movés ahí todo lo que puedas rescatar lo más rápido posible. Y ojo: el atacante también está corriendo, a veces con bots que vacían en segundos. A veces se pierde la carrera. Pero es la única jugada que tiene sentido.

8. Mover lo que queda a un lugar seguro: nueva semilla o cuenta en exchange custodio

«¿Y a dónde muevo lo que rescato?» Tenés dos refugios válidos, y los dos son legítimos según tu caso.

Opción A — Billetera de autocustodia nueva. Generás una semilla limpia (idealmente en un dispositivo que no estuvo expuesto) y mandás ahí tus tokens. Mantenés el control total y seguís en DeFi. Es la opción si querés seguir operando on-chain.

Opción B — Cuenta en un exchange custodio. Esta es la parte que pocos explican con honestidad: un exchange centralizado guarda los fondos por vos en una cuenta custodia, y ahí no existe el concepto de aprobación de tokens. No hay allowance que firmar, así que el drenador que te atacó no tiene ninguna superficie para actuar sobre ese saldo. Mandar parte de lo rescatado a una cuenta de exchange lo pone, sencillamente, fuera de su alcance.

Si vas a abrir una cuenta para esto, elegí un exchange con buena reputación y verificación seria. Más abajo, en las preguntas frecuentes, dejé el paso a paso para registrarte y el código de referido si te sirve la rebaja de comisiones.

Divulgación de afiliados: algunos enlaces son de socios. Podemos ganar una comisión sin coste adicional para ti. Esto no es asesoramiento de inversión.

9. La hardware wallet no te salva de esto (y otras verdades incómodas)

Hay un mito que conviene desarmar: «yo tengo billetera de hardware, a mí no me pasa». La billetera de hardware (Ledger, Trezor) protege tus llaves: la clave privada nunca sale del dispositivo. Eso es excelente contra el robo de llaves. Pero no te protege de vos mismo.

Si conectás tu hardware a un sitio malicioso y le das «firmar» a una aprobación maliciosa, el dispositivo firma esa aprobación con total obediencia, porque para él vos sos el dueño y le diste la orden. La pantalla del aparato te muestra lo que vas a firmar, pero si confiaste en el sitio y aprobaste sin leer, el hardware no te salva. Te protege de que te roben las llaves; no de que autorices el robo.

Última cifra para calibrar el optimismo: en 2025 las pérdidas por drenadores de billetera cayeron a unos 83,85 millones de dólares, un 83% menos que los ~494 millones de 2024, con unas 106.000 víctimas (un 68% menos interanual). Suena alentador, pero el ecosistema sigue activo: drenadores viejos se retiran y aparecen nuevos. Que el número baje no significa que vos estés a salvo.

10. La segunda estafa: «servicios de recuperación» y clones falsos de Revoke.cash

Y ahora la trampa que en español pega más fuerte que en ningún otro idioma: la estafa de recuperación. Funciona así: justo después de que te vacían, aparece alguien (por Telegram, por WhatsApp, por un comentario en redes) ofreciéndote «recuperar» tus fondos. Te piden una comisión por adelantado, o peor, te piden la frase semilla «para desbloquear» tu billetera. Es el segundo golpe, y suele dolerte más que el primero porque ya estabas vulnerable.

Hay una segunda capa: los clones falsos de Revoke.cash. Los drenadores aprovechan tu pánico registrando dominios casi idénticos al verdadero y llenando las redes de publicaciones falsas de «seguridad» que gritan «revoca ahora». Incluso compran anuncios de Google y Bing que aparecen cuando buscás «MetaMask», «Coinbase» o «Ledger». Hacés clic creyendo que es la web oficial, conectás tu billetera, y caés de nuevo.

11. Si ya te vaciaron: rastreo on-chain, dónde denunciar en tu país y por qué no pagar recuperaciones

Si abriste el explorador y confirmaste que ya está todo vacío, este es tu camino. No es agradable, pero es el realista.

1) Aceptá la pérdida de lo que se fue. Lo drenado no vuelve por revocar; esa parte ya está cerrada. Concentrate en proteger lo que quede en otras billeteras y cuentas.

2) Rastreá on-chain. Con el explorador podés seguir a dónde fueron tus tokens. Anotá el hash de la transacción, la dirección del atacante y la del contrato malicioso. Esos datos sirven para la denuncia y para que las plataformas marquen esas direcciones.

3) Denunciá en el organismo que corresponda a tu país. En LatAm la cosa está fragmentada, así que apuntá al que te toque:

• México: Policía Cibernética (Guardia Nacional).
• Argentina: la UFECI (Unidad Fiscal Especializada en Ciberdelincuencia) o la fiscalía de tu jurisdicción.
• España: Policía Nacional o Guardia Civil (delitos telemáticos).
• Si hubo cruce con EE. UU. (por ejemplo, un exchange estadounidense de por medio): el FBI IC3 en ic3.gov.

En todos los casos, reportá también la URL de phishing y la dirección del contrato a la plataforma afectada.

Una nota de contexto regional: la autocustodia en buena parte de LatAm queda en un vacío regulatorio. En España rige MiCA, pero en gran parte de la región no hay un marco que te cubra cuando usás DeFi por tu cuenta. La responsabilidad, para bien y para mal, es tuya. Si tu cuenta de exchange quedó bloqueada por todo esto, mirá la guía de cuenta congelada.

12. Para que no vuelva a pasar: auditar aprobaciones, montos exactos y revocar tras cada dApp

Para que esto no se repita, tres hábitos que valen más que cualquier herramienta:

• Aprobá montos exactos, no ilimitado. Cuando un DEX legítimo te pida aprobar, muchas billeteras te dejan editar la cantidad. Aprobá solo lo que vas a usar en esa operación. Si te drenan, drenan ese monto, no todo tu saldo.
• Auditá tus aprobaciones cada tanto. Una vez al mes, pasá tu dirección por Revoke.cash en modo lectura y mirá qué permisos tenés vivos. Te vas a sorprender de cuántos siguen activos de dApps que ya ni usás.
• Revocá después de usar una dApp. Terminaste de operar en un protocolo, revocá el permiso. Cuesta un poco de gas, pero deja tu billetera limpia.

13. Tu mapa de seguridad: otros líos de envíos y el resto del cluster de billeteras

Esta vez fue una aprobación maliciosa, pero el mundo de los envíos y las cuentas tiene varios líos parecidos donde el pánico también te hace mal. Si te sirve, dejá guardada esta serie de seguridad:

• Mandé cripto a la red equivocada: ¿se puede recuperar?
• ¿Por qué mi retiro sigue «pendiente»?
• Envié cripto sin el memo o el tag: qué pasa ahora
• Mi depósito no se acredita: por qué y qué hacer
• Mi retiro está congelado y mi cuenta bloqueada
• Estafas de criptomonedas: cómo reconocerlas
• Los mejores exchanges de criptomonedas

Este artículo es además el primer pilar de una nueva serie sobre seguridad de la billetera. Después le siguen «expuse mi frase semilla, ¿qué hago?» y «me estafaron, ¿puedo recuperar mi dinero?». La idea es que, cuando algo salga mal, ya tengas el mapa antes de necesitarlo.

Preguntas frecuentes

Mirá la guía de seguridad y los mejores exchanges para empezar de cero