¿Recibir un token fraudulento le da acceso a tu billetera?
Precios y funciones verificados 3 de septiembre de 2026.
Actualización de rent verificada el 3 de septiembre de 2026: Todas las cifras fijas de rent o pago por cuenta que aparecen en este artículo anterior son ejemplos históricos basados en la configuración heredada de 6,960 lamports por byte, no una cotización actual. El tamaño de la cuenta, la fase de rent activa, los retiros anteriores, las comisiones de la operación y los costes de red pueden cambiar el resultado. Lee Reducción de rent de Solana en 2026 y utiliza la vista previa de la transacción en tiempo real para tu wallet.
Un token aleatorio puede aparecer sin aviso en una billetera pública de Solana. Su símbolo puede imitar un proyecto conocido y una imagen NFT puede afirmar que ganaste un airdrop. La llegada es molesta, pero no es el momento en que el remitente obtiene control de tu billetera.
El ataque típico depende de convencerte para dar el siguiente paso.
¿Puede un token fraudulento vaciar tu billetera solo por llegar?
No. Recibir un token de Solana no solicitado no revela tu clave privada, conecta una web ni concede al remitente autoridad sobre otros activos. El riesgo común es el enlace o reclamación adjuntos: visitarlos y aprobar un mensaje o transacción maliciosos puede crear acceso real o transferencias.
Las direcciones y holdings de Solana son públicos. Un remitente puede crear o usar la cuenta receptora y transferir un activo sin obtener tu firma. Eso no hace que el activo ejecute código en tu billetera.
Recibirlo por sí solo no:
- expone tu frase de recuperación o clave privada;
- conecta tu billetera con la web del remitente;
- aprueba un delegado en cuentas no relacionadas;
- firma un mensaje o transacción por ti; ni
- transfiere SOL o tokens existentes fuera de tu billetera.
Es mejor entender el token como un anuncio. Su nombre, imagen o metadatos apuntan a una página falsa, soporte falso o aviso urgente. La web maliciosa te pide conectar y aprobar algo.
Nunca visites una URL anunciada por un token o NFT no solicitado ni introduzcas una frase de recuperación en una web. El soporte legítimo no necesita tu frase. Si ya la expusiste, crea una billetera nueva con una frase nueva y mueve los activos de confianza restantes.
¿Qué puede ocurrir tras interactuar con la web del token?
Una conexión normal comparte tu dirección pública y permite a la web solicitar firmas; no expone la clave privada. El peligro aumenta si firmas un mensaje desconocido, apruebas una transacción o introduces un secreto. Una transacción puede transferir activos o cambiar permisos en varias instrucciones atómicas.
Trata cada suceso por separado:
| Suceso | Qué permite | Respuesta |
|---|---|---|
| Token recibido | El activo aparece en tu dirección pública | Ignora sus enlaces e identifícalo de forma independiente |
| Sitio conectado | Ve la dirección pública y puede solicitar firmas | Desconéctalo y rechaza los avisos |
| Mensaje firmado | Puede autenticarte fuera de cadena | Guarda el mensaje y vigila el servicio |
| Transacción firmada | Puede ejecutar transferencias o cambios de autoridad | Inspecciona la firma, revoca permisos y considera migrar |
| Frase de recuperación introducida | El atacante puede firmar como tu billetera | Mueve activos a una frase nueva de inmediato |
Una transacción de Solana puede contener varias instrucciones. Que no veas una transferencia de SOL no demuestra que sea inocua, y un análisis de delegados no demuestra que no cambió otra autoridad específica de un protocolo. Abre la firma confirmada en un explorador.
¿Puede un token no solicitado crear una aprobación?
No. Un delegado a nivel de cuenta es un campo separado de una cuenta SPL Token o Token-2022. El propietario autoriza una instrucción Approve que nombra al delegado y la asignación. Una instrucción Revoke borra el delegado actual y el importe restante.
Una transacción maliciosa puede incluir una aprobación si la firmas, por eso es peligrosa la página de reclamación. Tras una interacción sospechosa, desconecta la web y usa Revocar aprobaciones. Son acciones separadas: desconectar no borra un delegado en cadena.
El análisis cubre delegados revocables a nivel de cuenta, no todas las autoridades. No puede eliminar un PermanentDelegate de Token-2022 almacenado en un mint, cambiar una clave expuesta, revertir una transferencia ni inspeccionar toda posición DeFi. Lee Desconectar una dApp frente a revocar aprobaciones.
¿Debes ocultar, quemar o ignorar un token fraudulento?
Si puedes ignorarlo con seguridad, no hacer nada es válido. Ocultarlo quita el señuelo de la interfaz pero no cambia la cadena. Quemar destruye permanentemente el saldo seleccionado y puede cerrar una cuenta ordinaria, liberando aproximadamente 0.00204 SOL de renta; Sol Incinerator paga al usuario 0.002 SOL por cada cierre compatible después de su comisión.
Los NFT comprimidos no tienen cuentas individuales ni renta, por lo que quemar un cNFT devuelve 0 SOL. Aun así elimina el señuelo visual.
Antes de quemar, confirma que el activo es spam. Un token desconocido podría ser un recibo LP, de staking, de gobernanza u otra posición. Si no sabes qué es, no lo quemes.
Usa la guía completa para limpiar tokens fraudulentos y spam cuando hayas identificado el activo.
¿Qué ocurre si ya firmaste algo?
Cierra el sitio, rechaza avisos pendientes y desconéctalo de la lista. Revisa la actividad y la transacción confirmada. Analiza delegados de las cuentas y revoca solo las aprobaciones sospechosas después de identificarlas.
Mueve los activos de confianza a una billetera nueva si expusiste la frase o clave, sospechas malware o no puedes limitar los efectos. Crear otra cuenta bajo una frase expuesta no basta; debe ser una billetera con una frase nueva.
Conserva firmas, direcciones sospechosas, URL exacta, capturas, fechas, mensajes e importes. Desconfía de cualquiera que ofrezca una recuperación pagada.
Sol Incinerator
Inspecciona activos no deseados de Solana, cierra cuentas vacías seguras y elimina tokens fraudulentos identificados sin seguir enlaces de sus metadatos.
Lecturas relacionadas
Preguntas frecuentes
¿Puede un token fraudulento vaciar tu billetera con solo llegar?
No. Un token de Solana no solicitado puede aparecer sin tu firma, pero recibirlo no revela tu clave privada, conecta una web ni aprueba al remitente como delegado de tus demás activos. El peligro habitual comienza cuando sigues su enlace y firmas un mensaje o transacción maliciosos.
¿Qué debes hacer con un token aleatorio en Phantom?
No abras enlaces en su nombre, imagen o metadatos. Verifica el mint de forma independiente, déjalo si no estás seguro o usa una herramienta de confianza tras revisarlo. Si ya visitaste su web o firmaste algo, desconecta la aplicación, inspecciona la actividad y analiza las aprobaciones.
¿Ocultar un token fraudulento lo elimina de Solana?
No. Ocultarlo es una opción local de visualización. El token y su cuenta permanecen en cadena y una cuenta ordinaria puede conservar su renta reembolsable. Quemar es permanente y debe revisarse; los NFT comprimidos no tienen renta de una cuenta individual y devuelven cero SOL al quemarse.
¿Puede un token crear una aprobación de delegado sin tu firma?
Recibir un token no aprueba automáticamente al remitente como delegado de otras cuentas. Una aprobación es una instrucción separada autorizada por el propietario. Sin embargo, una transacción maliciosa firmada puede incluir varias instrucciones, así que inspecciona una firma sospechosa confirmada y no dependas solo de un análisis de delegados.