Un contrato puede funcionar exactamente como fue programado y seguir siendo una estafa
Blockchain puede hacer que una operación sea transparente, automática e irreversible. Ninguna de esas tres características demuestra que el modelo sea legítimo.
Un estafador puede utilizar smart contracts para bloquear ventas, retirar liquidez, concederse privilegios administrativos, automatizar un Ponzi o conseguir que el propio usuario autorice el movimiento de sus tokens.
Si todavía no tienes claro qué es un contrato inteligente, antes de continuar te recomiendo esta guía: Smart Contracts: qué son, cómo funcionan, tipos, ejemplos y riesgos.
¿Qué es realmente una estafa con smart contracts?
No toda pérdida relacionada con un smart contract es una estafa.
La distinción es importante. Un protocolo hackeado no es automáticamente un fraude, y un contrato que no contiene ningún “bug” puede estar diseñado desde el primer día para beneficiar al creador a costa del usuario.
Rug pull: cuando te quitan la alfombra bajo los pies
El término rug pull —literalmente, “tirón de alfombra”— describe situaciones en las que los promotores atraen capital hacia un proyecto y posteriormente retiran liquidez, fondos o soporte dejando a los participantes con activos sin valor o prácticamente imposibles de vender.
Chainalysis estimó que los rug pulls representaron alrededor de 2.800 millones de dólares en fondos sustraídos durante 2021. El fenómeno creció especialmente en DeFi porque crear un token y conseguir liquidez inicial puede ser relativamente sencillo. Fuente: Chainalysis.
La puerta trasera no tiene por qué parecer una puerta trasera
Una “backdoor” puede ser una función explícita o, de forma más sutil, una combinación de permisos que permita a un administrador:
- !Retirar fondos del protocolo.
- !Cambiar el contrato que ejecuta la lógica.
- !Modificar comisiones hasta niveles abusivos.
- !Acuñar una cantidad ilimitada de tokens.
- !Bloquear wallets mediante blacklist.
- !Pausar ventas o transferencias.
- !Cambiar balances o reglas de transferencia.
- !Actualizar un proxy hacia código diferente.
Ninguna de estas funciones es necesariamente fraudulenta por sí sola. Algunos proyectos legítimos necesitan controles administrativos o mecanismos de emergencia. El riesgo aparece cuando el poder está concentrado, no está claramente explicado o puede utilizarse contra los usuarios.
Caso real: Compounder Finance
CoinDesk documentó un supuesto rug pull en Compounder Finance en el que unos 10,8 millones de dólares fueron drenados. Según la información publicada, los desarrolladores tenían capacidad para sustituir estrategias del protocolo y terminaron introduciendo contratos maliciosos que permitían retirar fondos.
Lo más instructivo del caso es que el proyecto había sido auditado. La auditoría había señalado el riesgo derivado del control centralizado y del mecanismo de actualización, pero el mercado siguió depositando capital.
Honeypot: puedes comprar, pero no puedes vender
Una de las trampas más simples y efectivas consiste en crear un token que permite comprar con normalidad pero impide, limita o encarece de manera extrema la venta.
CertiK denomina honeypot a estos contratos: el gráfico puede mostrar una subida espectacular porque continúan entrando compradores, mientras las víctimas descubren demasiado tarde que no pueden salir. Fuente: CertiK.
¿Cómo puede bloquearse una venta?
Sin entrar en código operativo, existen mecanismos detectados en contratos fraudulentos como:
- !Blacklists que bloquean automáticamente al comprador.
- !Un mínimo de venta imposible de alcanzar.
- !Restricciones especiales cuando el destinatario es un DEX.
- !Comisiones de venta cercanas al 100 %.
- !Modificación artificial del balance del usuario.
- !Whitelists donde únicamente ciertas wallets pueden vender.
Caso real: SQUID Token
El token inspirado en la serie Squid Game se disparó miles de puntos porcentuales en pocos días. CoinDesk informó entonces de advertencias de CoinMarketCap porque usuarios no conseguían vender el token en PancakeSwap.
Pocos días después, el precio colapsó prácticamente a cero, los desarrolladores anunciaron que abandonaban el proyecto y Binance confirmó que lo consideraba una estafa e inició una investigación.
La estafa más peligrosa: cuando tú mismo autorizas el robo
Esta parte es fundamental porque mucha gente cree que para robar una wallet es necesario conocer la seed phrase.
No siempre.
En redes compatibles con Ethereum existen mecanismos de token approvals mediante los que autorizas a un smart contract o dirección a gastar determinados tokens en tu nombre. Son necesarios para usar muchos DEX y aplicaciones DeFi legítimas.
El problema es que esa misma funcionalidad puede utilizarse para robar.
MetaMask explica que una aprobación permite a una dApp acceder y mover tokens en nombre del usuario, y advierte de que los approvals ilimitados pueden dejar activos expuestos si el contrato es malicioso o posteriormente resulta comprometido. Fuente: MetaMask.
Desconectar la wallet NO revoca los permisos
Permit y Permit2: una firma puede ser suficiente
Algunos sistemas permiten conceder autorizaciones mediante una firma, incluso sin pagar gas en el momento de firmarla. Esto mejora la experiencia de usuario, pero también crea oportunidades para el phishing.
Uniswap advierte expresamente de que las firmas Permit2 requieren comprobar cuidadosamente qué se está autorizando, ya que una firma maliciosa puede dar capacidad para gastar tokens que previamente fueron aprobados al sistema Permit2. Fuente: Uniswap Labs.
Revoke.cash también advierte de que una firma Permit puede parecer una simple autenticación cuando en realidad está concediendo permisos. Fuente: Revoke.cash.
Wallet drainers
Los crypto drainers son herramientas de phishing diseñadas específicamente para conseguir que la víctima conecte su wallet y apruebe una transacción o firma que permita sacar activos.
Chainalysis estimó en 2024 que el approval phishing había provocado pérdidas superiores a 2.700 millones de dólares desde mayo de 2021 tras ampliar el conjunto de direcciones ilícitas identificadas. Fuente: Operation Spincaster.
Me ha aparecido un token extraño en la wallet: ¿me pueden robar?
Aquí conviene ser muy preciso.
MetaMask ha documentado campañas en las que los estafadores envían NFT no solicitados cuya imagen o descripción dirige a páginas maliciosas. El objetivo es conseguir la seed phrase o una firma capaz de transferir activos. Fuente: MetaMask.
También existen tokens enviados gratuitamente que contienen mecanismos que hacen fallar las transacciones cuando el usuario intenta moverlos. El siguiente paso suele ser inducir a la víctima a visitar una web falsa buscando una “solución”. Más información.
Regla práctica
- ✓No visites URLs escritas en el nombre, símbolo o metadata del token/NFT.
- ✓No intentes “desbloquear”, “reclamar” o “activar” recompensas inesperadas.
- ✓No firmes mensajes para “verificar la propiedad” sin entender exactamente qué autorizas.
- ✓No envíes la seed phrase a ninguna web, soporte técnico o bot.
Cuando el smart contract automatiza un Ponzi
Quizá sea una de las ideas más importantes de todo el artículo:
Que los pagos sean automáticos, que el contrato sea público y que nadie pueda detenerlo no crea una actividad económica real.
Un modelo puede estar completamente on-chain y limitarse a hacer esto:
Cómo detectar la estructura económica
No te preguntes primero cuánto paga. Pregúntate:
- ✓¿Qué actividad externa genera el rendimiento?
- ✓¿Existe un cliente que paga por un producto o servicio real?
- ✓¿El yield procede de trading, lending, comisiones o ingresos verificables?
- ✓¿O el dinero de salida procede esencialmente de nuevas entradas?
- ✓¿Necesitas reclutar para recuperar o multiplicar tu aportación?
- ✓¿La rentabilidad sería sostenible si mañana dejara de entrar gente?
Caso real: Forsage
Forsage se promocionaba como un sistema descentralizado basado en network marketing y smart contracts. El Departamento de Justicia de Estados Unidos sostiene en una causa penal todavía pendiente que el sistema era un esquema Ponzi y piramidal que captó aproximadamente 340 millones de dólares.
Según documentos judiciales, los smart contracts desviaban automáticamente el dinero de nuevos participantes hacia participantes anteriores. El DOJ afirma además que más del 80 % de los participantes del programa Ethereum recibieron menos ETH del que aportaron y más de la mitad no recibió ningún pago.
El caso demuestra por qué “está en un smart contract” no equivale a “existe un negocio sostenible”.
Caso Forsage — U.S. Department of Justice · Acción de la SEC
Tres lecciones de tres casos reales
| Caso | Qué ocurrió | Lección |
|---|---|---|
| Compounder Finance | Según CoinDesk, desarrolladores pudieron sustituir contratos de estrategia e introducir lógica maliciosa; se drenaron unos 10,8 M$. | Una auditoría no elimina el riesgo de privilegios administrativos o upgradeability. |
| SQUID Token | Usuarios reportaron que podían comprar pero no vender; el precio terminó colapsando y Binance lo consideró una estafa. | Una gráfica que solo sube puede ser precisamente una señal de que nadie puede salir. |
| Forsage | El DOJ acusa a sus promotores de haber automatizado mediante smart contracts un esquema Ponzi/piramidal. | Automatización y transparencia on-chain no crean actividad económica real. |
Señales de alarma antes de tocar un smart contract
Cómo protegerte: una rutina sencilla que evita muchos desastres
1. Separa almacenamiento e interacción
No utilices la misma wallet para guardar patrimonio importante y para experimentar con dApps desconocidas.
Chainalysis y MetaMask recomiendan precisamente separar activos valiosos y utilizar wallets temporales o de interacción cuando se entra en sitios desconocidos.
2. Comprueba la URL desde una fuente oficial
No entres a una dApp desde un anuncio, un DM de Telegram, un enlace en Discord o una respuesta en X.
3. Lee lo que la wallet te pide firmar
Especial atención a:
- !Approve — autoriza gasto de tokens.
- !SetApprovalForAll — puede autorizar la gestión de toda una colección NFT.
- !Permit / Permit2 — determinadas firmas pueden conceder permisos sin una transacción inicial convencional.
- !Blind signing — firmar datos que no puedes interpretar aumenta enormemente el riesgo.
4. Reduce los approvals
Si una aplicación necesita gastar 100 USDC, no existe una buena razón práctica para conceder acceso ilimitado cuando tu wallet permite limitarlo.
5. Revisa y revoca permisos antiguos
MetaMask dispone de gestión de allowances y también puedes consultar los approval checkers de exploradores como Etherscan o herramientas especializadas como Revoke.cash.
6. Comprueba el contrato, no solo la web
Busca en el explorador:
- ✓Código verificado.
- ✓Dirección del owner.
- ✓Proxy e implementación real.
- ✓Funciones de mint.
- ✓Blacklist o whitelist.
- ✓Comisiones modificables.
- ✓Capacidad de pause.
- ✓Concentración de tokens y liquidez.
7. Comprueba que realmente se puede vender
No te fíes únicamente del precio o del gráfico. Los honeypots existen precisamente porque el mercado aparenta actividad mientras determinados usuarios no pueden vender.
8. Una auditoría es un dato, no una garantía
Comprueba quién auditó, qué versión, cuándo y qué riesgos quedaron abiertos. Compounder Finance es un ejemplo histórico de por qué hay que leer también los hallazgos y los privilegios administrativos.
9. Hardware wallet no te salva de una mala firma
Una hardware wallet protege las claves privadas, pero si tú confirmas conscientemente una operación maliciosa en el dispositivo, la blockchain puede ejecutarla.
He firmado algo sospechoso: ¿qué hago?
La prioridad depende de lo que hayas firmado y de si todavía controlas la wallet.
- ✓Deja de interactuar con la web inmediatamente.
- ✓Comprueba approvals y allowances activos.
- ✓Revoca permisos sospechosos cuanto antes.
- ✓Si existe riesgo sobre la clave o seed, mueve los activos restantes a una wallet nueva y segura.
- ✓Revisa también otras redes donde uses la misma dirección.
- ✓Guarda hashes de transacción, direcciones y capturas para una posible denuncia.
Preguntas frecuentes sobre estafas con smart contracts
¿Pueden robarme solo por recibir un token en mi wallet?
En condiciones normales, recibir un token o NFT desconocido no entrega al remitente control sobre tu wallet. El riesgo surge si interactúas con él, visitas enlaces asociados, firmas una autorización o revelas tus claves.
¿Conectar la wallet a una web permite que me roben?
La conexión por sí sola normalmente permite a la web conocer tu dirección y proponerte operaciones. El peligro real aparece cuando firmas transacciones, approvals o mensajes maliciosos.
¿Desconectar una dApp elimina sus permisos?
No necesariamente. Una autorización on-chain puede seguir activa después de desconectar la web. Hay que revisar y, si procede, revocar el allowance.
¿Un smart contract inmutable puede ser un Ponzi?
Sí. La inmutabilidad solo significa que determinadas reglas no pueden modificarse. Si esas reglas redistribuyen el dinero de nuevos participantes entre participantes anteriores, automatizan el modelo; no lo convierten en sostenible.
¿Un contrato auditado puede contener riesgos?
Sí. Las auditorías tienen alcance, fecha y versión. Además, pueden existir riesgos económicos, administrativos o de actualización que no son un simple bug de código.
¿Cómo sé si un token es un honeypot?
No existe una única prueba infalible. Hay que revisar la lógica de transferencias, privilegios, impuestos, blacklists, simulaciones de venta, liquidez y análisis de herramientas especializadas. Una advertencia automática ayuda, pero no sustituye una revisión completa.
¿Cómo reconozco un Ponzi basado en smart contracts?
La señal fundamental es económica: si los pagos dependen principalmente del capital aportado por nuevos participantes y no existe una fuente externa sostenible de ingresos, el smart contract no cambia la naturaleza del modelo.
En Web3, desconfiar no significa vivir con miedo. Significa verificar antes de firmar.
La mayoría de estas estafas necesitan algo de la víctima: que compre, que conecte una wallet, que firme, que conceda un approval, que siga un enlace o que crea que “descentralizado” significa “sin riesgo”.
El segundo que tardas en leer una firma, revisar un contrato o preguntar de dónde sale realmente la rentabilidad puede ser la diferencia entre participar conscientemente y entregar voluntariamente el control de tus activos.