¿Se pueden revocar los permisos de tokens en MetaMask?

Se puede eliminar cualquier permiso que una cuenta de MetaMask haya concedido. El método depende del tipo de permiso.

El centro de ayuda de MetaMask distingue entre desconectar un sitio y revocar una aprobación. Desconectar impide que un sitio web vea tu dirección y tus saldos. Cualquier aprobación de token que hayas firmado allí sigue activa on-chain y aún puede mover tus tokens.

Dos permisos más recientes también pueden dar a una dapp acceso continuo a tokens. Desde la actualización Pectra de Ethereum, MetaMask puede usar EIP-7702 para vincular una cuenta ordinaria a su propio contrato inteligente. Este estado de cuenta inteligente está activado por defecto para los usuarios nuevos.

Los permisos avanzados ERC-7715, que MetaMask también ha empezado a admitir, permiten que una dApp gaste una cantidad limitada de un token de forma programada sin solicitar una firma cada vez. Ambos tipos de permisos se pueden desactivar desde el wallet.

Los cuatro tipos de permisos y qué controla cada uno

Cada permiso se almacena de forma distinta, lo que determina dónde debes revocarlo.

• Conexión con sitios: permite que un sitio web vea tu dirección pública, los saldos de tokens y la actividad, y envíe solicitudes de transacción para que las apruebes. No puede mover fondos por sí mismo. Las conexiones se almacenan localmente en MetaMask y eliminarlas no cuesta nada.
• Límite de gasto de tokens (aprobación o allowance): Un registro onchain en un contrato de token que autoriza a un gastador concreto, la dirección del contrato que aprobaste, a mover hasta una cantidad determinada de ese token desde tu wallet. Las dapps suelen solicitar límites ilimitados. MetaMask advierte de que los límites de gasto ilimitados son peligrosos porque una dapp hackeada o fraudulenta puede vaciar todo tu saldo de ese token. Los marketplaces de NFT usan un permiso relacionado, setApprovalForAll, que abarca todos los tokens de una colección.
• Firmas Permit y Permit2: firmas sin gas que conceden un límite de gasto cuando un contrato las envía más tarde. EIP-2612 Permit funciona con tokens que tienen la función integrada. El contrato Permit2 de Uniswap amplía este enfoque a cualquier token ERC-20 una vez que apruebas Permit2 en sí. Ninguna de las dos firmas aparece on-chain antes de su envío.
• Delegación de cuenta inteligente y permisos avanzados: una delegación EIP-7702 apunta tu cuenta al contrato Delegator de MetaMask, lo que permite agrupar transacciones y gas patrocinado. Los permisos avanzados ERC-7715 se apoyan en esa cuenta inteligente para conceder a una dapp acceso limitado y por tiempo determinado a tokens, como 10 USDC al día para una suscripción. Cada uno requiere pasos de revocación independientes.

Cómo revocar los permisos de tokens en MetaMask

Cuatro métodos cubren todos los tipos de permisos. Usamos el primero después de cada sesión y el segundo o el tercero para cualquier operación que implique fondos.

1. Desconectar sitios en MetaMask

Desconectar basta si un sitio web solo se conectó a tu wallet y nunca solicitó la aprobación de un token. También es el primer paso tras visitar una página en la que no confías.

Elimina la conexión de un sitio desde el wallet:

1. Abre las conexiones de dapps: en la extensión de MetaMask, haz clic en el menú de la parte superior derecha de la vista de la cuenta y elige Conexiones de dapps. En el móvil, abre el sitio en el navegador integrado de la aplicación y toca el icono de la cuenta en la parte superior derecha.
2. Elige el sitio: selecciona el sitio web y pulsa Disconnect en Extension o Disconnect all en el móvil para eliminar tus cuentas de él.
3. Borra todo de una vez: Ve a Ajustes, luego a Seguridad y privacidad, y después a Borrar datos de privacidad. Esto elimina todas las conexiones de sitios de la cuenta seleccionada en ese momento con un solo toque.

Desconectarse es gratis e instantáneo porque no escribe nada en la blockchain. Tampoco revoca nada onchain. Si firmaste una aprobación en el sitio, continúa con el siguiente paso.

2. Revoca los límites de gasto en MetaMask Portfolio

MetaMask Portfolio es un panel web independiente que incluye el gestor de aprobaciones de MetaMask. Muestra y revoca los límites de gasto en Ethereum Mainnet, Polygon, BNB Chain, Optimism y Base.

Revoca una autorización desde MetaMask Portfolio:

1. Abre Portfolio: Ve a portfolio.metamask.io, conecta MetaMask y permanece en la pestaña Overview.
2. Cambia a Límites de gasto: Haz clic en la pestaña Límites de gasto para ver las autorizaciones activas de las cuentas conectadas, ordenadas por token y por gastador.
3. Revoca y confirma: pulsa Revoke junto a la autorización y luego confirma en MetaMask. Cada revocación requiere una transacción onchain y una comisión de gas de la red para procesarla.

Portfolio es adecuado para quienes quieren quedarse dentro de MetaMask y usar solo sus cinco redes compatibles. Para Arbitrum, Avalanche, Linea o cadenas más pequeñas, elige una de las dos opciones siguientes.

3. Revoca las aprobaciones con Revoke.cash

El centro de ayuda de MetaMask enumera Revoke.cash en primer lugar entre las herramientas de terceros. Lo usamos para direcciones activas en varias cadenas. Junto con los límites de gasto ERC-20, el panel muestra aprobaciones de NFT, permisos Permit2 y delegaciones EIP-7702. Un verificador de exploits compara tus aprobaciones con una lista de contratos hackeados.

Audita y revoca en más de 100 redes:

1. Carga tu dirección: abre Revoke.cash y conecta MetaMask, o pega tu dirección o tu nombre ENS en la barra de búsqueda. Un nombre ENS es un nombre legible que termina en .eth. Selecciona la red que quieres revisar.
2. Ordena y filtra: ordena por más reciente para encontrar una aprobación maliciosa nueva o filtra por permisos ilimitados. Si una alerta de seguridad identifica un contrato, busca por spender.
3. Revocar o revocar por lotes: haz clic en Revocar junto a una aprobación y confirma en MetaMask. Para eliminar varias, selecciónalas y usa la revocación por lotes. Esto utiliza una cuenta inteligente EIP-7702 para combinar decenas de revocaciones en una sola transacción.

El panel principal es gratuito y las revocaciones individuales solo cuestan gas. En el plan gratuito, Revoke.cash cobra 1,50 $ por lote. Premium cuesta 99 $ al año, elimina las comisiones por lote y añade una vista multicadena. Ultimate, a 199 $ al año, supervisa continuamente las aprobaciones y revoca automáticamente las de riesgo, con un pequeño presupuesto de gas incluido.

Su extensión gratuita para el navegador es compatible con todas las redes EVM y te avisa antes de que firmes una aprobación o un Permit sospechosos.

4. Usa el verificador de aprobaciones de tokens del explorador de bloques

La mayoría de los exploradores EVM importantes tienen un verificador de aprobaciones. MetaMask dirige a los usuarios a Etherscan, BscScan y Polygonscan, donde puedes verificar el contrato de un spender en el mismo sitio que usas para consultar transacciones.

Revocar desde un explorador:

1. Conecta a Web3: abre el verificador de aprobaciones de tokens de tu explorador de red, haz clic en Connect to Web3 y elige MetaMask.
2. Revisa los spenders: el verificador muestra las aprobaciones ERC-20, ERC-721 y ERC-1155, incluido el nombre del contrato del spender cuando está verificado. Abre la página del contrato de cualquier spender que no reconozcas.
3. Revoca y paga el gas: pulsa Revoke junto a la entrada. Comprueba el token y el spender en la ventana de confirmación de MetaMask y confirma la transacción.

Cada verificador de explorador cubre una sola cadena. Por tanto, auditar un wallet utilizado en seis redes requiere seis visitas distintas, así que recurrimos por defecto a una herramienta multicadena para una revisión completa.

Cómo revocar delegaciones de cuentas inteligentes y permisos avanzados

Las cuentas inteligentes están activadas por defecto para los nuevos usuarios de MetaMask, por lo que muchos ya tienen una delegación EIP-7702 sin haberla configurado ellos mismos. Una delegación al contrato Delegator auditado de MetaMask es segura. Sin embargo, el procesamiento por lotes permite que una transacción mueva varios activos a la vez, lo que aumenta lo que un sitio de phishing puede hacer con una sola firma.

En los meses posteriores a Pectra, Scam Sniffer registró dos grandes casos de phishing por lotes con EIP-7702 con pérdidas combinadas de 2,54 millones de dólares.

Cambia una cuenta inteligente de nuevo a una cuenta estándar:

1. Abrir los detalles de la cuenta: haz clic en el selector de cuentas de la parte superior de MetaMask, pulsa los tres puntos junto a la cuenta y elige Detalles de la cuenta y, después, Cuenta inteligente.
2. Desactiva cada red: desactiva el estado de cuenta inteligente en cada red que quieras revertir. El ajuste es específico de cada red, y cada desactivación requiere una transacción con una pequeña comisión de gas.
3. Confirma la reversión: revisa y confirma en MetaMask. Tu dirección, tus fondos y tu Frase Secreta de Recuperación siguen siendo los mismos porque la cuenta sigue siendo una EOA, una cuenta ordinaria controlada por clave, en todo momento.

Revoke.cash muestra las delegaciones activas en su pestaña Delegations, pero no puede cancelarlas. MetaMask no permite que dapps externas establezcan ni revoquen delegaciones EIP-7702, por lo que el interruptor del wallet es el único método para eliminarlas.

Para cancelar los permisos avanzados ERC-7715, abre Dapp connections en MetaMask y revoca el permiso activo. Muchos tienen fecha de caducidad y terminan automáticamente.

Si has desactivado tu cuenta inteligente, MetaMask te pide que la vuelvas a activar antes de que una dapp pueda solicitar un permiso avanzado. Ese aviso indica que la dapp quiere un acceso continuado.

Qué hacer con las firmas Permit y Permit2

Ningún panel puede mostrar qué firmas Permit has firmado, porque solo aparecen onchain cuando el destinatario las envía. Los drainers de wallets aprovechan este punto ciego. El informe anual más reciente de Scam Sniffer atribuyó el 38 por ciento de las pérdidas de los casos grandes a firmas Permit y Permit2, incluido el mayor robo del año, 6,5 millones de dólares en stETH y Bitcoin envuelto.

Si sospechas que firmaste un Permit en un sitio de phishing, primero usa Revoke.cash o Portfolio para revocar tu aprobación vigente al contrato de Permit2. Revoca también las aprobaciones a contratos de marketplaces de NFT como OpenSea o Blur.

A continuación, abre la pestaña Signatures en tu página de cuenta de Revoke.cash para cancelar posibles firmas Permit de los tokens que tengas. Revoke.cash indica que esta página solo puede mostrar los tokens en los que podría existir una firma. Gasta gas en una cancelación únicamente si estás seguro de haber firmado algo.

Si los fondos ya están saliendo y cada recarga de ETH desaparece en cuestión de segundos, te han robado la seed phrase. Revocar permisos no servirá. Mueve lo que quede a una wallet nueva y abandona la anterior.

Al aprobar Permit2, sustituye el límite ilimitado predeterminado por un tope de gasto. MetaMask te permite editar el tope en la pantalla de confirmación antes de firmar, limitando cuánto puede drenar una firma posterior.

Cómo revocar los permisos de tokens en Solana

Las herramientas de revocación de EVM no funcionan en Solana porque sus permisos operan de forma distinta. Cada token reside en su propia cuenta de token, cuyo propietario puede designar a un único delegado para transferir hasta un importe determinado. Solo el propietario de la cuenta de token puede firmar la instrucción Revoke del Token Program, que elimina al delegado y restablece a cero el importe delegado.

La mayoría de las acciones de DeFi en Solana no crean un delegado duradero. En cambio, los drainers usan páginas de reclamación falsas que aprueban uno discretamente.

Las cuentas de Solana de MetaMask no tienen una pantalla específica de delegaciones, así que debes conectarte a una herramienta de revocación de Solana. El centro de ayuda de Phantom recomienda Famous Fox Federation Revoker. La herramienta de revocación de Sol Incinerator también analiza cuentas SPL Token y Token-2022.

Elimina los delegados de Solana con una herramienta de revocación:

1. Conecta una wallet de Solana: abre el revocador y conecta Phantom, Solflare u otra wallet de Solana compatible. Deja que analice tus cuentas de token en busca de delegados activos.
2. Comprueba la dirección aprobada: revisa el nombre de cada token, la dirección de acuñación (mint) y el delegado. Mantén cualquier delegado que exija un listado abierto en un marketplace o una posición de préstamos.
3. Revoca y firma: selecciona los delegados que quieres eliminar y firma la transacción. Tus tokens permanecen en tu wallet y solo pagas la comisión estándar de la red Solana.

Desconectar una aplicación de Solana en Phantom o MetaMask detiene las nuevas solicitudes de firma, pero deja intactos los delegados onchain. La misma distinción se aplica en Ethereum. Nuestra comparativa de MetaMask y Phantom explica cómo gestionan ambas wallets Solana.

Por qué sigue siendo importante revocar permisos

El phishing de aprobaciones y firmas se redujo notablemente el año pasado, pero las pérdidas siguen concentradas en los permisos tratados aquí. Scam Sniffer contabilizó 83,85 millones de dólares robados a 106.106 víctimas mediante wallet drainers en 2025. Fue 83 por ciento menos que los 494 millones de dólares del año anterior.

Las pérdidas siguieron a la actividad del mercado y alcanzaron 31 millones de dólares en el tercer trimestre, durante el mayor repunte del año de Ethereum. Los once casos que superaron 1 millón de dólares implicaron una firma aprobada por la víctima. Entre ellos hubo Permits, llamadas a approve o increaseApproval, permisos setApprovalForAll sobre NFTs de posición de Uniswap V3 y lotes EIP-7702.

Las aprobaciones a protocolos legítimos también conllevan un riesgo duradero. Una autorización concedida hace dos años sigue siendo válida si el protocolo es explotado más tarde o su front end se ve comprometido. Un atacante puede usar esa autorización sin tus claves. Como explica Revoke.cash, una hardware wallet no ofrece ninguna protección en este caso porque la aprobación firmada ya autoriza el gasto. La revocación periódica es la única defensa que funciona a posteriori.

Tratamos las aprobaciones a exchanges descentralizados, bridges y marketplaces de NFT como temporales. Tras usar cualquiera de los principales exchanges descentralizados o un bridge cross-chain, revocamos la autorización en la misma sesión. La próxima vez que la necesitemos, aprobamos solo el importe exacto.

Problemas habituales al revocar permisos en MetaMask y cómo solucionarlos

La mayoría de las revocaciones fallidas o confusas se deben a tres causas. Compruébalas por orden antes de suponer que el wallet es el culpable.

1. La aprobación no aparece

Comprueba primero el tipo de permiso y la red:

1. Confirma qué has concedido: una conexión con un sitio no aparece en la lista de límites de gasto. Consulta en su lugar las conexiones de Dapps. Si activaste una cuenta inteligente, mira en la pestaña Delegaciones.
2. Elige la red correcta: las aprobaciones se registran por separado en cada cadena. Para una aprobación firmada en Arbitrum, cambia tanto MetaMask como la herramienta de revocación a Arbitrum. Si falta la red, sigue nuestra guía para añadir redes a MetaMask.
3. Prueba una segunda herramienta: Portfolio solo indexa cinco redes, mientras que cada explorador indexa las suyas. Si la autorización no aparece en ninguno de los dos, carga tu dirección en Revoke.cash y comprueba la misma cadena.

2. Falla la transacción de revocación

Descarta problemas de gas y transacciones pendientes:

1. Aporta fondos en el token nativo: las revocaciones onchain requieren la moneda nativa de la red para pagar el gas, como ETH, POL, BNB o SOL. Antes de iniciar un lote largo, consulta el coste actual en nuestro rastreador de gas de Ethereum.
2. Elimina las transacciones atascadas: una transacción pendiente con un nonce más bajo bloquea las posteriores. El nonce es el número de secuencia que MetaMask asigna a cada transacción. Acelera o cancela la transacción pendiente en la pestaña Actividad antes de volver a intentarlo. Si la ventana de confirmación devuelve un error, consulta nuestra solución para el error interno de JSON-RPC en MetaMask.
3. Espera a que se resuelva el RPC: los endpoints RPC públicos son los servidores que MetaMask usa para conectarse a una cadena. Durante la congestión, pueden rechazar solicitudes en redes más pequeñas. Vuelve a intentarlo pasados unos minutos o cambia a otro RPC de esa red.

3. El permiso sigue pareciendo activo

Distingue los datos obsoletos de un problema real:

1. Actualiza la fuente: las herramientas de revocación almacenan resultados en caché. Cuando se confirme la revocación, recarga y vuelve a escanear; después comprueba el hash de la transacción en el explorador para verificar que se completó.
2. Comprueba si hay una nueva aprobación: algunas dapps solicitan automáticamente otra aprobación cuando vuelves. Si reaparece una autorización, significa que el sitio la solicitó de nuevo y tú la firmaste.
3. Busca un bot sweeper: si el ETH depositado para gas desaparece de inmediato, tu private key está comprometida y la revocación no será efectiva. Traslada todo lo que puedas a un wallet nuevo sin reutilizar la seed phrase.

Conclusiones

Ahora se puede eliminar cualquier permiso de una cuenta de MetaMask. Portfolio gestiona los límites de gasto en cinco redes, mientras que Revoke.cash cubre el resto de tipos de permisos, incluidos Permit2 y las delegaciones. Las delegaciones de cuentas inteligentes y los permisos ERC-7715 se desactivan dentro del wallet.

Programa un recordatorio mensual para revisar Revoke.cash o Portfolio y eliminar las autorizaciones que no uses. En las aprobaciones que mantengas, elige un límite de gasto en lugar de un acceso ilimitado. En conjunto, estos hábitos eliminan la mayor parte de la exposición de la que dependen los wallet drainers.