Aplicación de wallet DeFi

¿Qué es una aplicación de wallet DeFi?

Una aplicación de wallet DeFi es una aplicación de criptomonedas que permite gestionar cuentas blockchain e interactuar directamente con protocolos de finanzas descentralizadas.

Puede utilizarse para enviar y recibir criptomonedas, conectarse a aplicaciones descentralizadas, firmar transacciones, aprobar contratos inteligentes, aportar liquidez, tomar activos prestados, prestar tokens, poner criptomonedas en staking, votar en procesos de gobernanza y gestionar otras posiciones on-chain.

La mayoría de las aplicaciones de wallets DeFi están diseñadas para la autocustodia, lo que significa que el usuario controla las claves criptográficas que autorizan las transacciones.

Normalmente, el proveedor de la wallet no puede recuperar los fondos, revertir transferencias blockchain ni restablecer la cuenta si el usuario pierde toda la información de recuperación.

Por lo general, una aplicación de wallet DeFi no almacena criptomonedas dentro de la propia aplicación.

En su lugar, la blockchain registra los activos y los saldos, mientras que la wallet gestiona las claves y la interfaz necesarias para controlarlos.

La actual guía de wallets de Ethereum explica que una wallet es una interfaz para consultar una cuenta y realizar transacciones, no el lugar donde se almacena la cuenta blockchain.

Una aplicación de wallet DeFi puede presentarse como una aplicación móvil, una extensión de navegador, un programa de escritorio, una interfaz web, una smart account o una aplicación complementaria para un dispositivo de firma hardware.

¿Cómo funciona una aplicación de wallet DeFi?

Una aplicación de wallet DeFi crea, importa o conecta una cuenta blockchain.

La cuenta tiene una dirección pública que puede recibir criptomonedas y un mecanismo de firma privada que autoriza la actividad.

Cuando el usuario solicita una transacción, la wallet muestra información como la red, el destinatario, el token, la cantidad, el contrato inteligente y la comisión estimada.

A continuación, la wallet pide al usuario que apruebe o rechace la solicitud.

Tras la aprobación, la wallet firma la transacción con la clave privada de la cuenta u otro método de firma autorizado.

La transacción firmada se envía a un nodo de blockchain mediante una conexión de llamada a procedimiento remoto.

Los validadores u otros participantes de la red procesan la transacción conforme a las reglas de consenso de la blockchain.

La wallet supervisa la blockchain y actualiza su interfaz cuando la transacción se incluye y confirma.

La wallet no puede garantizar que una transacción tenga éxito, ya que las condiciones de los contratos inteligentes, los límites de gas, los ajustes de deslizamiento, los saldos de las cuentas y los cambios en el estado de la blockchain pueden hacer que falle.

Aplicación de wallet DeFi frente a cuenta blockchain

Una cuenta blockchain es la dirección y la estructura de autorización que reconoce una red blockchain.

Una aplicación de wallet DeFi es el software que se utiliza para consultar y controlar esa cuenta.

A menudo, la misma cuenta puede importarse en más de una interfaz de wallet compatible.

Eliminar una aplicación de wallet no elimina la cuenta ni retira sus criptomonedas de la blockchain.

Reinstalar la aplicación tampoco restaura automáticamente la cuenta, salvo que el usuario disponga del método de recuperación necesario.

Esta distinción es importante porque a veces los usuarios creen que sus activos están vinculados permanentemente a una sola aplicación.

Los activos siguen asociados a la cuenta blockchain mientras la red correspondiente continúe funcionando.

Aplicación de wallet DeFi frente a protocolo DeFi

Una aplicación de wallet DeFi gestiona cuentas y firma solicitudes.

Un protocolo DeFi es un conjunto de contratos inteligentes que ofrece un servicio financiero, como préstamos, intercambio de tokens, staking, provisión de liquidez o trading de derivados.

La wallet se comunica con el protocolo, pero no necesariamente lo gestiona ni lo controla.

Una wallet segura puede conectarse a un protocolo vulnerable o fraudulento.

También se puede acceder a un protocolo de confianza a través de un sitio web falso diseñado para solicitar firmas maliciosas.

Por tanto, los usuarios deben evaluar tanto la aplicación de wallet como cada aplicación descentralizada a la que se conecten.

Aplicaciones de wallets DeFi de autocustodia

Una wallet de autocustodia otorga al usuario el control de la autoridad de firma de la cuenta.

Por lo general, el desarrollador no puede mover los activos del usuario sin una firma válida o un permiso previo de contrato inteligente.

La autocustodia puede proporcionar acceso directo a aplicaciones blockchain sin que otra organización tenga que aprobar cada transacción.

También hace que el usuario sea responsable de las copias de seguridad, la seguridad de las claves, la revisión de transacciones y la prevención de estafas.

Es posible recuperar una contraseña olvidada si el usuario aún tiene una frase semilla, una clave de acceso, un sistema de guardianes u otro método de recuperación aprobado.

Si se pierden tanto la frase semilla como el dispositivo, una cuenta tradicional de autocustodia puede quedar inaccesible de forma permanente.

Aplicaciones de wallets con custodia

Una aplicación de wallet con custodia permite que otra organización controle o gestione las claves privadas asociadas a los saldos de sus clientes.

Normalmente, el usuario accede a la cuenta mediante una contraseña, un método de autenticación y un proceso de recuperación de cuenta.

Los servicios de custodia pueden facilitar la recuperación, los controles de transacciones, las comprobaciones y la atención al cliente.

También introducen riesgos de contraparte, acceso, insolvencia, privacidad, retirada y funcionamiento.

Una aplicación con custodia puede ofrecer acceso a determinados servicios DeFi, pero no brinda el mismo control directo de las claves que una wallet de autocustodia.

Los usuarios deben averiguar quién controla las claves de firma, en lugar de confiar únicamente en que el servicio se denomine wallet.

Aplicaciones de hot wallets

Una hot wallet está conectada a un dispositivo con acceso a Internet.

Las aplicaciones de wallets móviles, las extensiones de navegador y los programas de wallet de escritorio se utilizan habitualmente como hot wallets.

Son prácticas para realizar actividades DeFi frecuentes porque pueden firmar transacciones rápidamente.

Sus claves pueden quedar expuestas al malware del dispositivo, a extensiones de navegador maliciosas, a páginas de phishing, a ataques de pantalla compartida o al robo de datos de sesión.

Por lo general, una hot wallet solo debería contener la cantidad necesaria para la actividad prevista.

Separar las tenencias a largo plazo de la actividad DeFi experimental puede reducir el impacto de una aplicación o firma comprometida.

Aplicaciones de wallet conectadas a hardware

Una aplicación de wallet DeFi puede conectarse a un dispositivo de firma hardware que mantiene las claves privadas en un equipo específico.

La aplicación prepara la transacción y el dispositivo hardware la firma tras la aprobación del usuario.

Esta configuración puede impedir que el ordenador o el móvil accedan directamente a la clave privada.

No impide que el usuario apruebe una transacción perjudicial.

Siempre que el dispositivo permita una verificación clara, deben comprobarse en su pantalla de confianza la dirección, la cantidad, la red y los detalles del contrato inteligente.

Un dispositivo hardware protege las claves, pero no ofrece protección automática frente a todas las estafas DeFi.

Aplicaciones móviles de wallets DeFi

Una aplicación móvil de wallet DeFi funciona en un smartphone o una tableta.

Puede utilizar autenticación biométrica, cifrado del dispositivo, almacenamiento seguro, lectura de códigos QR, notificaciones push y enlaces profundos.

Las wallets móviles son prácticas para realizar pagos y conectarse a aplicaciones descentralizadas.

Si la protección de la aplicación es débil, un dispositivo robado y desbloqueado puede exponer la wallet.

Los usuarios deben activar un código de acceso seguro para el dispositivo, el bloqueo automático, las actualizaciones del sistema operativo y la autenticación específica de la wallet.

La información de recuperación no debe guardarse como una captura de pantalla normal en la galería del mismo móvil ni en una copia de seguridad en la nube.

Wallets de navegador mediante extensiones

Una wallet de extensión de navegador incorpora las funciones de una cuenta blockchain al navegador web.

Puede detectar aplicaciones descentralizadas y presentar solicitudes de conexión, transacción y firma.

El estándar de proveedor EIP-1193 define una interfaz común que las wallets pueden ofrecer a las aplicaciones de Ethereum para llamadas a procedimiento remoto y eventos de cambio de estado.

Las wallets de navegador son prácticas porque la aplicación descentralizada y la wallet funcionan en el mismo entorno de navegación.

También pueden quedar expuestas a extensiones maliciosas, sitios web falsos, páginas comprometidas, vulnerabilidades del navegador y ventanas emergentes engañosas.

Los usuarios solo deben instalar extensiones desde una fuente enlazada por el editor oficial de la wallet.

Varias extensiones de wallet

Instalar varias extensiones de wallet puede provocar conflictos si más de una intenta presentarse ante una aplicación descentralizada.

El estándar de descubrimiento multiproveedor EIP-6963 permite que los proveedores de wallets compatibles se anuncien por separado para que los usuarios puedan elegir la wallet deseada.

Esto reduce la dependencia de un único objeto compartido del navegador y mejora la interoperabilidad entre aplicaciones de wallets.

Aun así, el usuario debe verificar el nombre de la wallet y la cuenta antes de aprobar una solicitud.

Una extensión maliciosa puede imitar la apariencia de otra wallet o intentar interceptar la actividad de navegación.

Aplicaciones de wallets DeFi de escritorio

Una wallet de escritorio funciona como un programa en un ordenador personal.

Puede ofrecer herramientas detalladas de cartera, historial de transacciones, compatibilidad con dispositivos hardware, funciones de validador o configuración avanzada de redes.

Las wallets de escritorio pueden quedar expuestas a malware, herramientas de acceso remoto, instaladores de software infectados y navegación insegura en el mismo ordenador.

El instalador debe descargarse de una fuente oficial verificada.

Las firmas digitales o los hashes de archivos publicados pueden aportar una verificación adicional de la instalación cuando el desarrollador los proporcione.

Interfaces de wallet web

Una interfaz de wallet web funciona a través de un sitio web, aunque las claves de la cuenta pueden almacenarse en otro lugar.

El sitio web puede conectarse a una wallet de navegador, una wallet móvil, un dispositivo hardware, una smart account o un firmante remoto.

Una interfaz web es especialmente sensible a la suplantación de dominios y a que se comprometa su interfaz.

La presencia de tráfico HTTPS cifrado no demuestra que el sitio web sea legítimo.

Los usuarios deben verificar el dominio completo y evitar introducir frases semilla en páginas web normales.

Claves privadas

Una clave privada es información criptográfica secreta que se utiliza para autorizar transacciones desde una cuenta blockchain.

Quien obtenga la clave normalmente podrá firmar como propietario de la cuenta.

Una contraseña de wallet puede cifrar la clave en un dispositivo, pero cambiar esa contraseña no cambia la clave privada blockchain.

Si la clave queda expuesta, hay que trasladar los activos a una cuenta nueva creada con material de claves que no se haya visto comprometido.

Las claves privadas no deben pegarse en aplicaciones descentralizadas, chats de asistencia, formularios online ni páginas para reclamar tokens.

Frases semilla

Una frase semilla es una secuencia de palabras que muchas wallets utilizan para generar o recuperar varias cuentas blockchain.

También se denomina frase de recuperación o frase mnemotécnica.

Quien tenga la frase puede recrear la wallet y controlar sus cuentas.

La frase debe guardarse offline y protegerse contra robos, incendios, agua, eliminación accidental y fotografías no autorizadas.

Una aplicación descentralizada legítima no necesita la frase para conectarse a una wallet.

Quien afirme que la frase es necesaria para sincronizar, verificar, migrar o prestar asistencia está intentando comprometer la wallet.

Contraseñas de wallet

Una contraseña de wallet suele proteger el acceso a una aplicación o a un archivo de claves cifrado en un dispositivo determinado.

No es lo mismo que una frase de recuperación o una clave privada.

Un atacante con la frase semilla puede controlar la cuenta sin conocer la contraseña de la aplicación.

Un usuario que tenga la contraseña, pero no los datos de clave necesarios, puede no ser capaz de restaurar la wallet en otro dispositivo.

Las contraseñas de wallet deben ser largas, únicas y almacenarse de forma segura.

Direcciones públicas

Una dirección pública identifica una cuenta blockchain que puede recibir activos e interactuar con contratos inteligentes.

Compartir una dirección normalmente no da a otra persona el control de la cuenta.

La actividad blockchain asociada a la dirección puede ser visible públicamente.

El uso reiterado puede revelar saldos, patrones de transacciones, contrapartes, posiciones DeFi y relaciones entre cuentas.

Antes de vincular públicamente una identidad personal a una dirección de wallet con un saldo elevado, los usuarios deberían valorar su privacidad.

Selección de la red

Una wallet DeFi multicadena puede admitir varias redes blockchain.

Cada red puede tener distintas direcciones, activos nativos para las comisiones, contratos de tokens, aplicaciones y supuestos de seguridad.

Un token con el mismo nombre puede existir como activo independiente en varias redes.

La guía oficial sobre el uso de wallets advierte de que el remitente y el destinatario deben utilizar la misma red al transferir tokens.

Enviar un activo por una red no compatible puede dificultar o imposibilitar su recuperación.

Antes de cada transferencia, intercambio, operación con un bridge, aprobación o interacción con un contrato, debe confirmarse la red.

Conexiones RPC

Normalmente, una aplicación de wallet se comunica con una blockchain a través de un endpoint de llamada a procedimiento remoto, conocido como endpoint RPC.

El servicio RPC proporciona información como saldos, datos de transacciones, estado de contratos inteligentes, estimaciones de gas y estado de los bloques.

También transmite las transacciones firmadas a la red.

Un proveedor de RPC deshonesto o poco fiable puede ocultar transacciones, proporcionar información inexacta, rastrear la actividad del usuario o retrasar la difusión de transacciones.

Por lo general, el proveedor no puede firmar transacciones sin acceso a la autoridad de firma de la wallet.

Los usuarios avanzados pueden seleccionar endpoints RPC alternativos o ejecutar su propio nodo blockchain.

Conectar una wallet DeFi a una aplicación

Una aplicación descentralizada puede solicitar permiso para ver la dirección de wallet seleccionada y la red.

La wallet debe mostrar el dominio que realiza la solicitud y las cuentas que se compartirán.

Normalmente, una conexión básica no autoriza a la aplicación a transferir tokens.

Más adelante, la aplicación puede solicitar transacciones, aprobaciones y firmas que concedan autoridad adicional.

Desconectar una wallet pone fin a la sesión activa, pero puede no revocar los permisos ya registrados on-chain.

Los usuarios deben revisar por separado las sesiones antiguas y las aprobaciones de contratos inteligentes.

Sesiones de WalletConnect

Una aplicación de wallet puede utilizar un protocolo de conexión para comunicarse con aplicaciones descentralizadas desde distintos dispositivos y navegadores.

La documentación del WalletConnect Wallet SDK describe conexiones multicadena seguras que permiten a los usuarios de wallets aprobar solicitudes de aplicaciones y conservar el control de la gestión y la firma de claves.

Un código QR o un enlace profundo pueden establecer una sesión cifrada entre la wallet y la aplicación.

Escanear el código no demuestra que la aplicación sea segura.

Antes de aprobar la sesión, la wallet debe mostrar el dominio que realiza la solicitud, las redes, los métodos y los permisos de la cuenta.

Las sesiones que ya no se utilicen deben desconectarse para reducir la confusión y las solicitudes no deseadas.

Verificación de dominios

Las aplicaciones de wallet pueden utilizar sistemas de reputación o verificación para advertir a los usuarios sobre dominios sospechosos.

La función WalletConnect Verify está diseñada para ayudar a las wallets a identificar dominios de aplicaciones potencialmente sospechosos o maliciosos.

Una advertencia es útil, pero la ausencia de una alerta no demuestra que un sitio web sea seguro.

Es posible que los nuevos dominios de phishing todavía no aparezcan en los sistemas de reputación.

También puede comprometerse un dominio legítimo después de haber sido verificado.

Los usuarios aún deben examinar los detalles de las transacciones y los permisos de los contratos inteligentes.

Firmar transacciones de criptomonedas

La firma de una transacción demuestra que una cuenta autorizada aprobó una acción blockchain.

La acción puede transferir criptomonedas, llamar a un contrato inteligente, aprobar tokens, crear un préstamo, retirar garantías o ejecutar varias operaciones conjuntamente.

La wallet debe mostrar la transacción de forma comprensible para el usuario.

Una vez difundida y confirmada, normalmente resulta difícil revertir la transacción.

El usuario debe rechazar cualquier transacción que incluya un destinatario, token, cantidad, red, contrato o función inesperados.

Firma de mensajes

Una aplicación DeFi puede solicitar una firma criptográfica sin enviar inmediatamente una transacción a la blockchain.

La firma de mensajes puede demostrar el control de una dirección, autenticar a un usuario, crear una orden, aprobar el gasto de tokens o autorizar otra acción futura.

Una firma que no requiera gas también puede tener consecuencias financieras.

El usuario no debe suponer que todas las solicitudes de mensajes son inicios de sesión inofensivos.

Antes de firmar, debe revisar el dominio, el propósito, la fecha de expiración, la cuenta, la red y los permisos.

Firma de datos tipados

La firma de datos tipados organiza un mensaje en campos con nombre que una wallet puede mostrar con más claridad que una secuencia de bytes codificados sin procesar.

El estándar de datos tipados EIP-712 define un método para resumir y firmar información estructurada.

Los datos tipados pueden incluir asignaciones de tokens, condiciones de una orden, información de votación, fechas límite y direcciones de contratos.

La legibilidad mejora la transparencia, pero no convierte automáticamente en segura la acción solicitada.

El usuario debe comprender qué autoriza cada campo.

Firma clara

La firma clara consiste en presentar una transacción o un mensaje con un lenguaje que describa con precisión sus consecuencias antes de que el usuario lo apruebe.

Los datos hexadecimales sin procesar entrañan riesgos de firma ciega porque los usuarios no pueden determinar fácilmente qué están autorizando.

En mayo de 2026, el ecosistema Ethereum anunció una iniciativa coordinada de firma clara centrada en mejorar la legibilidad de las aprobaciones de transacciones.

Una wallet con buenas funciones de firma clara puede identificar movimientos de tokens, aprobaciones, acciones de contratos y advertencias importantes.

Ningún sistema de visualización puede proteger a un usuario que ignore la información o confíe en una aplicación fraudulenta sin verificarla.

Aprobaciones de tokens

Una aprobación de tokens permite que un contrato inteligente o una dirección gasten una cantidad especificada de los tokens del usuario.

Las aprobaciones suelen ser necesarias para intercambios, depósitos en protocolos de préstamo, provisión de liquidez, staking y otras actividades DeFi.

El estándar de tokens ERC-20 define un mecanismo de asignación que permite a un gastador aprobado transferir tokens en nombre del propietario.

Una aprobación puede seguir activa después de que se complete la transacción original.

Una aprobación ilimitada puede exponer tanto el saldo actual del token como los tokens recibidos posteriormente.

Cuando sea práctico, los usuarios deben elegir asignaciones limitadas y revocar los permisos que ya no necesiten.

Firmas de permit

Un permit permite autorizar determinadas aprobaciones de tokens mediante un mensaje firmado, en lugar de una transacción de aprobación independiente.

El estándar permit ERC-2612 amplía las asignaciones de tokens mediante datos estructurados firmados.

Un sitio malicioso puede describir el permit como una reclamación gratuita o un inicio de sesión.

La firma aún puede autorizar al gastador a transferir tokens valiosos.

La wallet debe mostrar claramente el token, el gastador, la cantidad, el nonce, la fecha límite y la red.

Simulación de transacciones

Una wallet puede simular una transacción antes de firmarla para estimar sus efectos.

La vista previa puede mostrar los activos que previsiblemente entrarán o saldrán de la cuenta, las aprobaciones que se crearán y posibles errores.

La simulación puede revelar comportamientos sospechosos que no resultan evidentes por el nombre de una función.

No es una garantía, ya que el estado de la blockchain puede cambiar entre la simulación y la ejecución.

Algunos contratos también producen resultados que dependen de transacciones posteriores, datos externos de precios o condiciones que la simulación no reproduce por completo.

Comisiones de gas

El gas es la unidad utilizada para medir el trabajo computacional en muchas redes de contratos inteligentes.

Normalmente, el usuario paga el activo nativo de la red para que se procese una transacción.

Una transacción fallida también puede consumir una comisión, ya que los validadores realizaron trabajo computacional antes de que se produjera el fallo.

La wallet estima el gas según las condiciones actuales de la red y la acción solicitada.

El coste final puede diferir de la estimación inicial.

Si una wallet ofrece transacciones patrocinadas, otra parte puede pagar la comisión, pero aun así es necesario revisar cuidadosamente la acción subyacente.

Intercambios dentro de una aplicación de wallet DeFi

Una aplicación de wallet DeFi puede incluir una interfaz para intercambiar tokens.

La wallet puede comparar rutas, solicitar cotizaciones, estimar el impacto en el precio y preparar las transacciones necesarias de contratos inteligentes.

El intercambio puede implicar uno o varios pools de liquidez y contratos inteligentes.

Los usuarios deben examinar el token de entrada, el token de salida, la cantidad mínima recibida, las comisiones, la ruta, la aprobación y la tolerancia al deslizamiento.

Una interfaz integrada no elimina los riesgos de liquidez, contratos inteligentes, tokens, oráculos o manipulación de precios.

Préstamos y endeudamiento

Una aplicación de wallet DeFi puede mostrar mercados de préstamo y permitir depositar garantías o pedir criptomonedas prestadas.

El suministro de un activo puede generar un token de recibo o una posición on-chain que represente el depósito.

Solicitar un préstamo genera deuda, que puede aumentar debido a los intereses.

Una caída del valor de la garantía puede provocar una liquidación.

La interfaz de la wallet no debe interpretarse como una garantía de solvencia o seguridad del protocolo de préstamo.

Los usuarios deben comprender los factores de colateralización, los cambios de los tipos de interés, los umbrales de liquidación, la dependencia de oráculos y el riesgo de los contratos inteligentes.

Staking

Una wallet puede ofrecer acceso a sistemas de staking nativo, delegado, agrupado o líquido.

El staking puede generar recompensas por ayudar a validar la blockchain o prestar servicios relacionados.

Entre los riesgos se encuentran el slashing, los periodos de bloqueo, los fallos de validadores, las vulnerabilidades de contratos inteligentes, los cambios en el precio de los tokens y los retrasos en las retiradas.

Una tasa anual mostrada no equivale a una rentabilidad garantizada en dólares.

Los usuarios deben averiguar si la wallet ofrece acceso directo al protocolo o dirige los activos a través de otro contrato inteligente.

Provisión de liquidez

Una aplicación de wallet puede ayudar a depositar pares de tokens u otros activos en un pool de liquidez.

El usuario puede recibir un token o una posición de cuenta que represente una parte del pool.

La rentabilidad puede proceder de las comisiones de trading, los incentivos o ambos.

Las pérdidas pueden deberse a la divergencia de precios, fallos de contratos inteligentes, poca liquidez, tokens manipulados o cambios en las tasas de recompensas.

La interfaz de la wallet puede simplificar la transacción sin explicar todos los riesgos económicos.

Gobernanza

Una aplicación de wallet DeFi puede mostrar propuestas de gobernanza y permitir que los usuarios firmen votos.

El poder de voto puede depender de los saldos de tokens, la delegación, el staking, las instantáneas u otro método específico del protocolo.

Una firma de gobernanza puede ser off-chain o enviarse como una transacción on-chain.

Los usuarios deben verificar el origen de la propuesta y comprender qué puede cambiar el voto.

Las propuestas maliciosas pueden intentar transferir activos de tesorería, cambiar administradores o modificar las reglas del protocolo.

Compatibilidad multicadena de las wallets

Una wallet multicadena gestiona cuentas y activos en varias redes blockchain.

Esta comodidad puede reducir la necesidad de instalar una aplicación distinta para cada red.

También puede facilitar errores, porque el usuario debe controlar distintos activos para comisiones, formatos de dirección, contratos de tokens y modelos de seguridad.

Que una wallet admita una red no significa que todos los tokens o aplicaciones descentralizadas de esa red sean de confianza.

Solo deben añadirse redes y tokens personalizados desde fuentes verificadas.

Bridges entre cadenas

Una aplicación de wallet DeFi puede conectar a los usuarios con bridges que trasladan o representan valor entre redes blockchain.

Un bridge puede bloquear un activo en una cadena y emitir una representación correspondiente en otra.

Otros bridges utilizan proveedores de liquidez, sistemas de mensajería o mecanismos de quema y acuñación.

Los usuarios de bridges se exponen a riesgos de contratos inteligentes, validadores, custodia, mensajería, liquidez y redes de destino.

La wallet puede preparar la transacción del bridge, pero no garantizar que todos los sistemas conectados sigan siendo seguros.

Detección de tokens

Las aplicaciones de wallet pueden detectar saldos de tokens leyendo datos de la blockchain y listas de tokens.

Es posible que los tokens desconocidos no aparezcan hasta que el usuario importe manualmente la dirección del contrato.

El nombre y el símbolo de un token no son identificadores únicos.

Los estafadores pueden crear tokens falsificados con nombres parecidos a los de activos legítimos.

Antes de importar, aprobar o intercambiar un activo, se deben verificar la dirección del contrato del token y la red blockchain.

Tokens y NFT spam

Los atacantes pueden enviar tokens u objetos digitales de colección sin valor a direcciones públicas de wallets.

El nombre o los metadatos del activo pueden dirigir al usuario a un sitio de phishing.

El propietario de la wallet no necesita reclamar, vender, desbloquear ni interactuar con un activo no solicitado.

Normalmente, es más seguro ocultar el activo en la interfaz que seguir sus instrucciones.

El precio mostrado puede ser falso por culpa de metadatos engañosos o liquidez manipulada.

Smart accounts

Una smart account utiliza lógica de contratos inteligentes para controlar activos y transacciones blockchain.

Puede ofrecer funciones difíciles de implementar con una cuenta básica controlada por una sola clave.

Entre las funciones posibles se encuentran agrupar transacciones, establecer límites de gasto, utilizar varios firmantes, recuperar la cuenta con demora, configurar permisos de sesión, patrocinar comisiones y aplicar políticas automatizadas.

El estándar de abstracción de cuentas ERC-4337 define un sistema paralelo de transacciones para cuentas de contratos inteligentes mediante operaciones de usuario y un contrato de punto de entrada.

Las smart accounts aportan flexibilidad, pero añaden riesgos relacionados con contratos, implementaciones, actualizaciones, relayers y recuperación.

Funciones de wallet EIP-7702

La EIP-7702 permite que una cuenta tradicional de propiedad externa de Ethereum autorice código de contrato inteligente para gestionar el comportamiento de la cuenta.

Esto puede permitir agrupar transacciones, patrocinar comisiones, programar medidas de seguridad y añadir otras funciones de smart account sin cambiar la dirección existente.

Una autorización maliciosa también puede conceder poderes peligrosos a código no fiable.

Las recomendaciones de seguridad de Ethereum para EIP-7702 destacan que los usuarios deben comprender el código al que delegan funciones de la cuenta.

Se debe rechazar una solicitud descrita como actualización o activación de wallet si no se puede verificar el destino de la delegación.

Transacciones agrupadas

Una smart wallet puede combinar varias acciones en un único lote aprobado por el usuario.

Un lote puede incluir la aprobación de un token, su intercambio y el depósito del resultado en un protocolo de préstamo.

Agrupar acciones puede ahorrar tiempo y reducir los pasos de la transacción.

También puede hacer más difícil comprender una solicitud de firma.

La wallet debe mostrar todas las acciones del lote, en lugar de limitarse a indicar el resultado final previsto.

Transacciones patrocinadas

Una transacción patrocinada permite que otra parte pague una parte o la totalidad de la comisión de la blockchain.

Esto puede facilitar el uso de aplicaciones DeFi cuando el usuario no tiene el activo nativo de la red necesario para pagar las comisiones.

El patrocinador puede establecer límites, cobrar otra comisión, restringir las acciones admitidas o exigir una autorización adicional.

Que una transacción no tenga coste de gas no significa que sea segura.

Las firmas off-chain utilizadas para actividades patrocinadas también pueden autorizar transferencias y permisos.

Recuperación social

La recuperación social permite que determinados guardianes o mecanismos de recuperación ayuden a restablecer el control de una smart account.

Los guardianes pueden ser personas de confianza, dispositivos, instituciones u otras cuentas.

Un umbral de recuperación puede impedir que un solo guardián tome el control por su cuenta.

El sistema introduce nuevos riesgos relacionados con la colusión, los guardianes comprometidos, los retrasos poco claros y los contactos de recuperación obsoletos.

Los usuarios deben comprender quién puede iniciar la recuperación, cuánto tarda y cómo puede detenerse una recuperación fraudulenta.

Claves de acceso

Una clave de acceso utiliza autenticación de clave pública vinculada al dispositivo del usuario, al ecosistema de su cuenta o a una llave de seguridad.

Una smart wallet puede utilizar claves de acceso como parte de su sistema de firma o recuperación.

Las claves de acceso pueden reducir la dependencia de las contraseñas y resistir muchos ataques de phishing tradicionales.

Aun así, la implementación de la wallet debe contemplar la pérdida del dispositivo, la sincronización en la nube, la recuperación de la cuenta, la compatibilidad con la blockchain y la seguridad de las copias de respaldo.

Una wallet basada en claves de acceso debe explicar si el usuario puede migrar la cuenta sin depender del proveedor de la wallet.

Claves de sesión y permisos limitados

Una smart wallet puede autorizar una clave temporal para realizar un conjunto limitado de acciones.

Una clave de sesión puede reducir las solicitudes de aprobación repetidas durante actividades de videojuegos, trading o DeFi automatizadas.

El permiso debe limitar el contrato permitido, la cantidad de tokens, el tipo de acción, la red y la fecha de expiración.

Una clave de sesión con autoridad amplia o permanente puede ser casi tan peligrosa como la clave principal.

Los usuarios deben poder revisar y revocar fácilmente las sesiones activas.

Recuperación de wallets

Las wallets tradicionales suelen recuperarse mediante la frase semilla.

Una smart account puede utilizar guardianes, claves de acceso, varios dispositivos, recuperación con demora u otro proceso programable.

El método de recuperación debe probarse antes de depositar cantidades importantes.

Una copia de seguridad que nunca se ha verificado puede contener un error ortográfico, una frase incompleta, una ruta de cuenta incorrecta o una credencial de dispositivo inutilizable.

Las pruebas deben realizarse con cuidado y sin exponer el secreto de recuperación activo a un dispositivo inseguro.

¿Qué ocurre si se pierde un dispositivo?

Perder un dispositivo no significa automáticamente perder las criptomonedas.

Normalmente, se puede restaurar la cuenta si el usuario conserva el método de recuperación correcto.

El dispositivo perdido aún puede suponer un riesgo si estaba desbloqueado o no tenía suficiente protección.

Si es posible que se haya producido un acceso no autorizado, el usuario debe revocar las sesiones de las aplicaciones, cambiar las contraseñas relacionadas y trasladar los activos.

Una smart account puede permitir eliminar al firmante perdido mediante su proceso de recuperación.

¿Qué ocurre si se expone una frase semilla?

Una frase semilla expuesta debe considerarse un compromiso total de la wallet.

El usuario debe crear una wallet nueva con información de recuperación nueva en un dispositivo limpio.

Los activos restantes deben trasladarse a la nueva wallet con cuidado y lo antes posible.

No basta con cambiar la contraseña de la aplicación de wallet.

Revocar las aprobaciones de tokens tampoco es suficiente, ya que el atacante puede firmar directamente nuevas transacciones.

Aplicaciones de wallet DeFi falsas

Una aplicación de wallet falsa puede copiar el nombre, el logotipo, las capturas de pantalla y la interfaz de un producto legítimo.

Puede robar frases de recuperación durante la configuración o modificar los detalles de las transacciones antes de firmarlas.

Los usuarios deben obtener la aplicación mediante un enlace publicado por el desarrollador verificado.

Hay que examinar cuidadosamente el nombre del editor, los permisos, el historial de versiones, el sitio web y las reseñas.

Una puntuación alta y un diseño profesional no demuestran que la aplicación sea auténtica.

Protección contra el phishing

El phishing intenta engañar a los usuarios para que visiten sitios web falsos, revelen información secreta o autoricen acciones maliciosas.

La guía de CISA sobre phishing recomienda tratar con cautela los enlaces urgentes, los archivos adjuntos y las solicitudes de información confidencial.

Los usuarios de wallets deben abrir las aplicaciones DeFi desde marcadores guardados o desde documentación oficial verificada.

Los mensajes que afirman que es necesario trasladar los fondos de inmediato deben confirmarse a través de otro canal independiente.

Ningún empleado de asistencia legítimo necesita la frase de recuperación ni la clave privada de una wallet.

Riesgo de envenenamiento de direcciones

El envenenamiento de direcciones introduce en el historial de transacciones del usuario una dirección controlada por un atacante.

El atacante crea una dirección parecida a un destino que se utiliza con frecuencia.

Más adelante, la víctima puede copiar del historial la dirección parecida y enviar criptomonedas al atacante.

Antes de cada transferencia importante, debe verificarse la dirección completa.

Una agenda de direcciones o una lista de permitidos puede reducir los errores si la entrada original se añadió de forma segura.

Riesgo de malware

El malware puede buscar archivos de wallets, frases semilla, contraseñas, capturas de pantalla, datos del portapapeles, sesiones del navegador y claves privadas.

También puede sustituir direcciones copiadas o modificar la información que aparece en un dispositivo infectado.

Los usuarios de wallets deben mantener actualizados los sistemas operativos y las aplicaciones.

Se deben evitar las extensiones de navegador desconocidas, el software pirateado, los programas para reclamar tokens y los archivos adjuntos no solicitados.

Una aplicación de wallet limpia no puede proteger una clave privada expuesta por el dispositivo que la rodea.

Gestión de aprobaciones

Los usuarios deben revisar qué contratos inteligentes tienen permiso para gastar sus tokens.

Los permisos antiguos pueden seguir activos durante meses o años.

Revocar una aprobación normalmente requiere una transacción blockchain y una comisión de red.

La revocación reduce el riesgo de que se utilice la asignación en el futuro, pero no revierte las transferencias ya completadas.

Tampoco protege una wallet cuya clave privada o frase de recuperación haya sido robada.

Privacidad

Una aplicación de wallet puede recopilar direcciones IP, identificadores de dispositivos, uso de la aplicación, solicitudes RPC, informes de fallos y direcciones de cuentas.

La propia blockchain puede revelar públicamente el historial de transacciones.

Los usuarios deben revisar la política de privacidad de la aplicación y sus ajustes de telemetría.

Conectar varias cuentas a través de una misma aplicación o servicio de red puede facilitar su asociación.

Las afirmaciones sobre privacidad deben evaluarse según los flujos de datos reales y no solo por el lenguaje promocional.

Cómo elegir una aplicación de wallet DeFi

Determina si la wallet es de autocustodia, con custodia o una combinación de ambas.

Revisa las redes, los tokens, las smart accounts, los dispositivos hardware y los métodos de conexión a aplicaciones descentralizadas que admite.

Comprueba si el código fuente es público y si existen revisiones de seguridad independientes.

Examina las funciones de simulación de transacciones, firma clara, control de aprobaciones, verificación de direcciones y advertencias de phishing.

Comprende el proceso de recuperación antes de depositar activos valiosos.

Revisa el historial de actualizaciones, los procedimientos de divulgación de vulnerabilidades, las prácticas de privacidad y las dependencias de administradores.

La elección de una wallet debe basarse en la seguridad y la idoneidad, no solo en las recompensas promocionales.

Comisiones de las aplicaciones de wallets DeFi

Una aplicación de wallet puede descargarse gratis y, aun así, cobrar comisiones o recibir ingresos de los servicios integrados.

Entre los posibles costes se encuentran el gas de la blockchain, las comisiones de intercambio, las comisiones de bridges, las comisiones de staking, los cargos por enrutamiento y las comisiones de los servicios de compra.

La aplicación debe indicar qué cargos corresponden a la blockchain y cuáles retienen los proveedores de servicios.

Que la estimación de gas sea más alta no significa necesariamente que el desarrollador de la wallet reciba la diferencia.

Los usuarios deben comparar la cantidad final de activos recibida, en lugar de fijarse en una sola comisión mostrada.

Impuestos y registro de operaciones

El uso de una aplicación de wallet DeFi puede generar muchas transacciones de criptomonedas que deban declararse.

Los intercambios, las recompensas, los ingresos de préstamos, las liquidaciones, las operaciones con bridges, el staking, los incentivos de gobernanza y la venta de tokens pueden tener consecuencias fiscales.

La guía del IRS sobre activos digitales indica que, en Estados Unidos, puede ser necesario declarar los ingresos y las transacciones con activos digitales.

La lista de transacciones de una wallet puede no identificar la finalidad económica ni el tratamiento fiscal de todas las interacciones con contratos inteligentes.

Los usuarios deben conservar marcas de tiempo, hashes de transacciones, cantidades de activos, valores de mercado, comisiones, direcciones de wallets y registros de protocolos.

Ventajas de una aplicación de wallet DeFi

Una aplicación de wallet DeFi puede proporcionar acceso directo a activos blockchain y protocolos financieros.

La autocustodia puede reducir la dependencia de una organización para aprobar las transacciones.

Los usuarios pueden pasar de una aplicación compatible a otra sin abrir una cuenta distinta para cada protocolo.

Los registros públicos de la blockchain permiten consultar de forma independiente las transacciones y posiciones.

Las smart accounts pueden añadir recuperación programable, controles de gasto, agrupación de transacciones y comisiones patrocinadas.

Las aplicaciones de wallet también pueden reunir en una sola interfaz la gestión de activos, el acceso a DeFi, la gobernanza y el historial de transacciones.

Limitaciones de una aplicación de wallet DeFi

Una wallet no puede revertir una transacción blockchain irreversible.

La autocustodia puede provocar pérdidas permanentes si se pierden las claves y los métodos de recuperación.

Una wallet no puede garantizar la seguridad de los protocolos, bridges, tokens o contratos inteligentes conectados.

La información de las transacciones puede ser incompleta o difícil de entender.

Los usuarios siguen expuestos al phishing, el malware, las aprobaciones maliciosas, la delegación de cuentas, el envenenamiento de direcciones y la ingeniería social.

Las comisiones de red, la congestión, las transacciones fallidas y la complejidad de los registros fiscales pueden dificultar la gestión de DeFi.

Las funciones de automatización y recuperación de smart accounts introducen código y supuestos de confianza adicionales.

Preguntas frecuentes

¿Qué es una aplicación de wallet DeFi, explicado de forma sencilla?

Es una aplicación que gestiona una cuenta de criptomonedas y permite al usuario interactuar con protocolos de finanzas descentralizadas.

¿Una aplicación de wallet DeFi almacena criptomonedas?

La blockchain registra las criptomonedas, mientras que la aplicación de wallet gestiona las claves y la interfaz que se utilizan para controlarlas.

¿Una aplicación de wallet DeFi es lo mismo que una cuenta blockchain?

No. La cuenta existe en la blockchain y la aplicación es una de las herramientas para acceder a ella.

¿Una aplicación de wallet DeFi es de autocustodia?

Muchas son de autocustodia, pero los usuarios deben comprobar quién controla las claves privadas.

¿Qué es la autocustodia?

La autocustodia significa que el usuario controla la autoridad de firma necesaria para mover activos e interactuar con contratos inteligentes.

¿Qué es una clave privada?

Una clave privada es información criptográfica secreta que se utiliza para autorizar transacciones desde una cuenta blockchain.

¿Qué es una frase semilla?

Una frase semilla es una secuencia de palabras que permite recuperar cuentas y debe protegerse como los propios activos.

¿El servicio de asistencia de la wallet puede recuperar mi frase semilla?

Un proveedor legítimo de una wallet de autocustodia normalmente no puede recuperar una frase perdida, salvo que la wallet utilice otro sistema de recuperación.

¿Debo facilitar mi frase semilla al equipo de asistencia?

No. El personal de asistencia legítimo no necesita la frase semilla ni la clave privada.

¿Qué ocurre si elimino la aplicación de wallet?

La cuenta blockchain permanece, pero el usuario necesita el método de recuperación correcto para volver a acceder a ella.

¿Puedo utilizar la misma cuenta en otra aplicación de wallet?

A menudo es posible si ambas aplicaciones son compatibles con la misma cuenta y el mismo formato de recuperación.

¿Qué es una hot wallet?

Es una wallet conectada a un dispositivo con acceso a Internet, diseñada para firmar transacciones de forma práctica.

¿Qué es una hardware wallet?

Es un dispositivo específico que protege las claves privadas y firma transacciones tras la aprobación del usuario.

¿Una hardware wallet puede impedir las aprobaciones maliciosas?

No. Puede firmar una aprobación perjudicial si el usuario la confirma sin revisar los detalles.

¿Qué ocurre al conectar una wallet?

Normalmente, se comparte una dirección pública seleccionada y se permite que la aplicación solicite firmas y transacciones.

¿Puede un sitio web retirar tokens inmediatamente después de la conexión?

Una conexión básica normalmente no concede autoridad de gasto, pero las aprobaciones o firmas posteriores pueden hacerlo.

¿Desconectar una wallet revoca las aprobaciones de tokens?

No. Las aprobaciones on-chain permanecen hasta que caducan, se utilizan o se revocan.

¿Qué es una aprobación de tokens?

Es un permiso que permite a un contrato inteligente o una dirección gastar una cantidad especificada de tokens.

¿Qué es una aprobación ilimitada?

Permite al gastador aprobado utilizar todo el saldo actual y futuro de ese token en la wallet.

¿Qué es una firma de permit?

Es un mensaje firmado que puede crear o modificar una asignación de tokens sin una transacción de aprobación independiente.

¿Puede ser peligrosa una firma sin gas?

Sí. Puede autorizar el gasto de tokens, órdenes, delegaciones de cuentas u otras acciones con consecuencias financieras.

¿Qué es la firma clara?

La firma clara muestra las consecuencias de una transacción en un lenguaje comprensible antes de aprobarla.

¿Qué es la simulación de transacciones?

Estima qué puede hacer una transacción propuesta antes de que el usuario la firme.

¿La simulación garantiza la seguridad?

No. El estado de la blockchain y el comportamiento de los contratos pueden cambiar después de la simulación.

¿Qué es un endpoint RPC?

Es un servicio mediante el cual la wallet consulta datos de la blockchain y difunde transacciones firmadas.

¿Qué es una smart account?

Es una cuenta blockchain controlada mediante lógica programable de contratos inteligentes.

¿Qué es la abstracción de cuentas?

La abstracción de cuentas permite que las wallets utilicen funciones programables como agrupar transacciones, recuperar cuentas, emplear varios firmantes y patrocinar comisiones.

¿Qué es EIP-7702?

Permite que una cuenta tradicional de Ethereum autorice código de contrato inteligente para gestionar funciones avanzadas de la cuenta.

¿Puede ser peligrosa una autorización EIP-7702?

Sí. Delegar el comportamiento de una cuenta a código malicioso puede dar un control amplio sobre los activos y las transacciones.

¿Qué es la recuperación social?

Es un método de recuperación en el que determinados guardianes o mecanismos ayudan a recuperar el acceso a una smart account.

¿Qué es una wallet con clave de acceso?

Es una wallet que utiliza autenticación de clave pública en un dispositivo como parte de la firma o la recuperación de la cuenta.

¿Una wallet DeFi puede intercambiar tokens?

Muchas aplicaciones de wallet pueden preparar intercambios a través de protocolos de liquidez conectados.

¿Una wallet DeFi puede ofrecer staking?

Muchas aplicaciones de wallet conectan a los usuarios con sistemas de staking nativo o mediante contratos inteligentes.

¿Puedo pedir criptomonedas prestadas a través de una wallet?

Una wallet puede conectarse a protocolos de préstamo que permiten pedir activos prestados utilizando garantías admitidas.

¿Una wallet puede evitar la liquidación?

No. La liquidación depende del valor de las garantías, la deuda, los precios de los oráculos y las reglas del protocolo.

¿Puedo utilizar una wallet en varias blockchains?

Una wallet multicadena puede admitir varias redes, pero cada red y activo debe verificarse por separado.

¿Qué ocurre si utilizo la red equivocada?

La transferencia o interacción con el contrato puede fallar, o puede resultar difícil recuperar los activos.

¿Son seguros los tokens desconocidos de mi wallet?

Los tokens desconocidos pueden ser spam o herramientas de phishing; no se debe confiar en ellos solo porque aparezcan en la wallet.

¿Cómo puedo reconocer una aplicación de wallet falsa?

Comprueba el enlace del editor oficial, la identidad del desarrollador, los permisos, el historial de la aplicación, el dominio y la información de seguridad independiente.

¿Qué debo hacer si se expone mi frase semilla?

Crea una wallet nueva en un dispositivo limpio y traslada los activos restantes a cuentas generadas con un nuevo secreto de recuperación.

¿Qué debo hacer si he firmado una aprobación maliciosa?

Revoca el permiso mediante una interfaz de confianza y traslada los activos valiosos si no está claro el alcance del riesgo para el resto de la cuenta.

¿Cómo debo elegir una aplicación de wallet DeFi?

Evalúa la custodia, la recuperación, las redes admitidas, la claridad de las transacciones, la compatibilidad con hardware, la privacidad, el historial de seguridad y los permisos de los contratos inteligentes.

Conclusión

Una aplicación de wallet DeFi es una interfaz para gestionar cuentas blockchain e interactuar con protocolos de finanzas descentralizadas.

Puede facilitar transferencias, intercambios de tokens, préstamos, endeudamiento, staking, provisión de liquidez, gobernanza, bridges y otras actividades on-chain.

La mayoría de las aplicaciones de wallets DeFi utilizan autocustodia, lo que significa que los usuarios controlan la autoridad de firma y son responsables de protegerla.

Las criptomonedas siguen registradas en la blockchain, en lugar de almacenarse físicamente dentro de la aplicación.

Las wallets se comunican con aplicaciones descentralizadas mediante estándares de proveedores, protocolos de conexión, servicios RPC, transacciones y mensajes firmados.

Las smart accounts modernas pueden añadir agrupación de transacciones, transacciones patrocinadas, claves de acceso, guardianes, límites de gasto y recuperación programable.

Estas funciones pueden mejorar la facilidad de uso, pero también introducen riesgos adicionales relacionados con los contratos inteligentes y la delegación.

Los usuarios deben distinguir las conexiones de cuenta inocuas de las aprobaciones de tokens, las firmas de permit, las transacciones y las autorizaciones a nivel de cuenta.

La firma clara y la simulación de transacciones pueden ayudar a tomar decisiones, pero no garantizan la seguridad.

Las frases semilla y las claves privadas nunca deben compartirse con aplicaciones descentralizadas, cuentas de asistencia ni servicios de recuperación.

Para proteger una wallet, es necesario utilizar software verificado, copias de seguridad protegidas, aprobaciones limitadas, comprobaciones completas de direcciones, dispositivos actualizados y una revisión cuidadosa de cada solicitud.

Una aplicación de wallet DeFi ofrece acceso directo a los mercados abiertos de criptomonedas, pero ese acceso es más seguro cuando el usuario comprende tanto la tecnología como las consecuencias de cada firma.