Airdrops cripto: qué son y cómo evitar las estafas

Un airdrop es el envío gratuito de un token o de un NFT (un activo digital único, como un certificado de propiedad) a muchas billeteras a la vez. Algunos proyectos lo usan para repartir sus monedas entre las personas que los conocen. Pero el nombre también se usa como gancho para estafas, así que recibir algo gratis en tu billetera no significa que sea seguro.

Qué es un airdrop, dicho simple

Imagina que un proyecto quiere que más personas usen su token. Puede enviar una cantidad pequeña a miles de billeteras. Quien recibe el token puede venderlo, guardarlo o usarlo dentro del proyecto.

Un NFT también puede enviarse de esta forma. Como describe ethereum.org, cualquier activo, sea token o NFT, puede llegar a tu billetera sin que lo pidas. Lo que cambia es la intención de quien lo envía, y esa intención no siempre es honesta.

Cómo funciona una estafa de airdrop

Según ethereum.org, el patrón suele ser el mismo. Recibes en tu billetera un activo que no pediste. Junto a él llega un enlace o un mensaje que te invita a reclamarlo en una web.

En esa web te piden algo de estos tipos:

• Iniciar sesión con tu frase de recuperación. Con ella, la persona que creó la web puede entrar a tu billetera.
• Confirmar una transacción. La firma puede enviar tus claves o tus fondos al estafador.
• Aprobar un gasto ilimitado. Un permiso amplio permite que un contrato retire todo lo que tengas de ese tipo de activo.

El airdrop es solo el anzuelo. La trampa está en la firma.

Por qué nunca debes dar tu frase semilla

La frase de recuperación es la llave maestra de tu billetera. Según ethereum.org, cualquiera que la tenga puede acceder a todas tus cuentas y vaciar cada activo. Las claves privadas funcionan igual para cada cuenta.

Ningún servicio legítimo, ningún agente de soporte y ningún sitio web te la pedirán. Tampoco debes tomarles una foto, porque una captura puede sincronizarse con la nube y quedar expuesta.

El soporte de una de las billeteras más usadas lo dice con claridad: la frase de recuperación solo se ingresa al crear la billetera o al restaurarla. Cualquier otro pedido es probablemente una estafa. Si una web te la pide, es una estafa.

Qué son los límites de gasto

Cuando usas un contrato inteligente, que es un programa que corre en la red, la billetera puede pedirte un permiso para que ese contrato use tus tokens. Ese permiso puede ser ilimitado. Según ethereum.org, un gasto ilimitado puede permitir que el contrato vacíe tu billetera.

Lo recomendable es fijar un límite que cubra solo la operación que necesitas. Muchas billeteras ofrecen protección de límites para evitar que alguien vacíe una cuenta. Antes de confirmar, revisa qué estás autorizando y cuánto.

Qué revisar antes de firmar

Antes de confirmar cualquier transacción, pregúntate:

• ¿Pedí yo esta acción, o llegó sin que la buscara?
• ¿La transacción muestra claramente a qué dirección envía y cuánto?
• ¿Estoy en el dominio correcto? Revisa la dirección exacta del sitio.
• ¿Me piden la frase de recuperación o una clave? Si la respuesta es sí, cierra todo.

Según el soporte de esa misma billetera, una ventana emergente que aparece sin que tú hayas iniciado una acción es probablemente una estafa. Su billetera legítima solo se abre cuando haces clic en un botón de una aplicación conectada.

Señales de alerta

Estas son algunas señales frecuentes:

• Un mensaje que dice que tu cuenta está en riesgo y te pide actuar en minutos.
• Alguien que se presenta como soporte y te escribe primero por mensaje privado.
• Un enlace que parece oficial pero tiene una letra cambiada en el dominio.
• Promesas de regalos o de reintegros, algo que ninguna fuente oficial da a cambio de una firma.

La guía sobre phishing cripto explica cómo reconocer los correos y sitios falsos. La guía sobre estafas cripto reúne otros patrones comunes.

Cómo se pierde dinero con un airdrop

Hay tres formas típicas:

1. Firmar para reclamar. La transacción autoriza el movimiento de tus fondos o envía tus claves.
2. Conectar la billetera a una web falsa. Basta con conectar para que el sitio intente pedir firmas.
3. Enviar fondos para “liberar” un premio. Esta variante pide que pagues una comisión o un depósito antes de recibir el supuesto airdrop. Nunca recibirás lo prometido.

En todos los casos, el dinero se va sin posibilidad de recuperarlo, porque las transacciones en Ethereum no se revierten.

Un ejemplo con números

Supón que recibes un token desconocido y una web te pide firmar para reclamar US$ 50 en tokens. Si tu billetera tiene US$ 300 y esa firma autoriza que se los lleven, pierdes los US$ 300 a cambio de un token que quizás no vale nada.

Este es un ejemplo inventado para ilustrar el riesgo. No indica cuánto vale ningún airdrop real.

Más a fondo

Para entender el riesgo técnico, conviene saber que una firma es una autorización. Cuando la firmas, le das permiso a un contrato o a una dirección para hacer algo con tu cuenta. Por eso la pregunta correcta nunca es “¿me sirve el regalo?”, sino “¿qué estoy autorizando?”.

Si quieres entender mejor la billetera que usas, revisa la guía sobre qué es una billetera cripto.

Si ya firmaste algo sospechoso o compartiste tu frase semilla, pasa lo antes posible tus fondos a una billetera nueva, con una frase nueva, como recomienda el soporte de esa misma billetera. Busca ayuda solo en los canales oficiales de tu billetera y no respondas a mensajes de terceros.