Ves un anuncio de airdrop: un token nuevo regala monedas a los que usaron tal red, o hay recompensas «sin reclamar» a tu nombre. El enlace está en una respuesta en X, en un grupo de Telegram o en un token raro que apareció solo en tu billetera.
Entras, conectas la billetera, firmas lo que te pide. No te cobra ni gas. Unos minutos después tus monedas ya no están.
Qué es un drainer
Un drainer es un programa montado en una página falsa. No necesita tus doce palabras: le alcanza con que tú mismo firmes un permiso para mover tus monedas. Con ese permiso las saca cuando quiere, sin volver a preguntarte.
Las firmas que usan tienen nombres técnicos que la billetera a veces muestra: approve, permit, setApprovalForAll. Todas dicen lo mismo en el fondo: «autorizo a esta dirección a gastar mis tokens». La más traicionera es permit: es un mensaje firmado, no una transacción, así que no cuesta gas y parece inofensiva.
Qué tan grande es
La firma de seguridad Scam Sniffer, que rastrea estos robos, contó 494 millones de dólares robados por drainers en 2024. En 2025 la cifra bajó a 83,85 millones, de 106.106 víctimas, y ellos mismos aclaran que es un piso, no el total. El robo más grande de 2025, 6,5 millones de dólares, fue con una sola firma de tipo permit.
Bajó, pero no desapareció: sube cada vez que el mercado se anima y llega gente nueva.
Cómo reconocerlo
- Airdrops que te llegan por mensaje, respuesta o anuncio, y no desde el canal oficial del proyecto.
- Tokens que aparecen solos en tu billetera con el nombre de una página web. Son anzuelos: no los toques ni visites esa web.
- Apuro: «solo quedan 2 horas», «últimos cupos».
- La página pide una firma que no entiendes, o tu billetera te avisa que el sitio es sospechoso.
- La dirección de la página se parece a la del proyecto real pero tiene una letra de más o un dominio raro.
Las reglas
- Lee qué firmas. Si dice approve, permit o setApprovalForAll para un sitio que no conoces, rechaza.
- Usa una billetera aparte para probar cosas nuevas, con poco dinero. Lo grande, en otra billetera que nunca conectas a sitios desconocidos.
- Entra a los proyectos escribiendo la dirección tú mismo o desde su cuenta oficial, nunca desde un enlace que te pasaron.
- Una billetera física ayuda, pero firma lo que tú apruebas: si apruebas un permiso malo, también se lo da.
Si ya firmaste
- Revoca los permisos ahora. Herramientas como revoke.cash muestran qué direcciones pueden gastar tus tokens y te dejan quitarlas. Escribe la dirección tú mismo.
- Pasa lo que te quede a una billetera nueva. Si además escribiste tus doce palabras en algún sitio, esa billetera está perdida entera: no la uses más.
- Guarda el enlace de la página, la dirección que recibió tus fondos y los hashes, y haz la denuncia.
- No pagues a nadie que prometa recuperarlo.
Lo que el drainer ya movió casi nunca vuelve. Revocar sirve para que no se lleve lo que queda.
Fuente: Scam Sniffer, informe anual de phishing cripto 2025 (drops.scamsniffer.io). Verificado el 12 de octubre de 2026.