Rubén Planes LlinaresPerito judicial informático
ESCAEN

Drainers: cómo se demuestra qué firmaste

Publicado por , perito judicial informático (AEPEJU nº 1556), el .

Muchas wallets no se vacían porque alguien robe la clave, sino porque la víctima firma algo sin saber qué es. Te explico qué tipos de firma usan los drainers, qué rastro deja cada una y cómo se prueba ante un juzgado o una aseguradora.

Consulta gratis (30 min) Escríbeme por WhatsApp
Desliza

¿Qué es un drainer?

Un drainer es un kit de phishing que engaña a la víctima para que firme una autorización con su wallet. Con esa autorización, el atacante mueve los tokens o los NFT de la víctima sin necesidad de conocer su clave privada ni su frase semilla.

Suele llegar como una web que imita a un proyecto conocido, un falso airdrop, un enlace en redes o un mensaje de soporte falso. La víctima conecta su wallet, ve una ventana de firma que no entiende del todo y la acepta. Minutos u horas después, los fondos salen.

Por qué la ventana de firma engaña tanto

Porque muchas firmas no se muestran en un lenguaje que una persona pueda entender. Una aprobación ilimitada o un permit aparecen como un bloque de datos técnicos, y la web falsa se encarga de presentarlos como un paso normal: reclamar un airdrop, verificar la wallet o conectarse a un servicio.

Este contexto importa en el informe. Documentar cómo se presentaba la firma, desde qué web y con qué mensaje, ayuda a explicar que la víctima no pudo comprender razonablemente lo que autorizaba.

Los cuatro tipos de firma que usan los drainers

No todas las firmas dejan el mismo rastro. Saber cuál se usó es lo primero, porque determina qué se puede probar y dónde buscarlo.

  • approve: una transacción en la cadena que autoriza a otra dirección a gastar un token tuyo, a menudo por una cantidad ilimitada. Queda registrada con un evento Approval.
  • permit (EIP-2612) y Permit2: una firma fuera de la cadena que concede ese mismo permiso. Tú no pagas gas y no se ve nada en la cadena hasta que el atacante usa tu firma; entonces aparecen su llamada a permit y las transferencias.
  • setApprovalForAll: autoriza a otra dirección a mover todos tus NFT de una colección. Queda registrada con un evento ApprovalForAll.
  • Otras firmas fuera de la cadena: órdenes de venta de mercados de NFT por precio cero, mensajes firmados sin formato legible o, en Ethereum reciente, delegaciones EIP-7702 que ponen tu cuenta en manos de un contrato del atacante.

Qué rastro queda en la cadena

Casi siempre queda rastro, aunque la firma se hiciera fuera de la cadena. Lo que se ve es el uso del permiso: quién lo ejecutó, cuándo, desde qué contrato y hacia dónde fueron los fondos.

Con esos datos se reconstruye la secuencia completa y se distingue un drainer de otros escenarios, como una clave robada, en la que no hace falta ninguna autorización previa.

  • La transacción de aprobación o la ejecución del permit, con la dirección autorizada (spender u operator) y la cantidad.
  • Las transferencias posteriores desde tu wallet hacia el atacante, a menudo en el mismo bloque o pocos bloques después.
  • Quién pagó el gas: si lo pagó el atacante, es un indicio fuerte de que usó una firma tuya hecha fuera de la cadena.
  • El contrato del drainer y sus otras víctimas: los mismos contratos y direcciones suelen repetirse en muchos casos, lo que refuerza la conclusión.
  • El recorrido posterior de los fondos, que se rastrea igual que en cualquier robo.

Qué rastro queda en tu dispositivo

La cadena dice qué pasó; el dispositivo ayuda a explicar cómo. Por eso analizo juntos la wallet y el móvil u ordenador desde el que se firmó, siempre con acceso legítimo y con tu autorización.

Esto es lo que más pesa cuando hay que demostrar que fuiste engañado y no actuaste con negligencia grave, por ejemplo ante una aseguradora o frente a un servicio que te reclama.

  • Historial del navegador y la web falsa que visitaste, con su dirección exacta.
  • Mensajes, correos o publicaciones que te llevaron hasta allí.
  • Extensiones instaladas y aplicaciones de wallet, con sus sitios conectados y su historial de actividad.
  • Capturas o grabaciones que hicieras de la ventana de firma.
  • Preservación de todo con hash SHA-256 y sello de tiempo RFC 3161.

Cómo se presenta en un informe

El informe une las dos partes: qué firmaste, por qué parecía legítimo y qué hizo después el atacante con esa firma. Cada afirmación lleva su fuente, sea una transacción con su hash o un archivo del dispositivo con su huella.

Igual que en cualquier rastreo, separo lo que es un hecho registrado de lo que es una inferencia, y digo hasta dónde llegan los fondos. Si acaban en un exchange que verifica a sus clientes, tu abogado puede pedir al juzgado la identificación del titular y el bloqueo.

Qué hacer en las primeras horas

Actúa rápido, pero sin borrar nada. Lo que hagas en las primeras horas puede proteger lo que queda y conservar la prueba de lo que ya se perdió.

  • Revoca las aprobaciones activas de esa wallet desde una herramienta de revocación de confianza y mueve lo que quede a una wallet nueva.
  • No borres el historial, los mensajes ni la extensión; si puedes, haz capturas de todo.
  • Apunta la web, la hora aproximada y qué firmaste.
  • Desconfía de quien te escriba ofreciendo recuperar los fondos: suele ser una segunda estafa. Lo explico en falsas empresas de recuperación.
  • Denuncia y guarda los hashes de las transacciones. Con eso ya se puede empezar el análisis.

Preguntas frecuentes

Respuestas cortas a las dudas habituales.

¿Se puede probar que no di mi frase semilla?

Muchas veces sí. Si el robo se hizo mediante una aprobación o un permit, la propia cadena muestra que el atacante necesitó tu firma y no tu clave, lo que encaja con un engaño y no con una filtración de la semilla.

¿Una firma fuera de la cadena deja rastro?

Deja rastro cuando se usa. Antes de usarse solo existe en manos del atacante; cuando la ejecuta, la cadena registra la llamada y las transferencias.

¿Me sirve el informe frente a una aseguradora o un servicio custodio?

Sí. Explica qué pasó con pruebas verificables y ayuda a discutir si hubo negligencia por tu parte o un fallo de terceros.

¿Cuánto cuesta analizar un drainer?

Un caso típico combina el análisis del dispositivo y el rastreo en la cadena. Tienes los precios orientativos de ambos en precios.

Servicios relacionados

Si tu caso encaja, este es el peritaje que hago.

Artículos relacionados

Cuéntame tu caso

Consulta gratuita de 30 minutos y presupuesto gratis en 24 h laborables.

Escríbeme por WhatsApp info@peritojudicialinformatico.org

No incluyas datos sensibles. Los detalles del caso se piden después por un canal seguro.

Responsable: Rubén Planes Llinares. Finalidad: responder a tu consulta. Base jurídica: medidas precontractuales. Sin cesiones a terceros; Cloudflare y Proton tratan los datos como proveedores técnicos. Puedes ejercer tus derechos en info@peritojudicialinformatico.org. Más en privacidad.

Consulta gratis WhatsApp