Respuesta rápida
¿Qué es un drenador de carteras cripto?
Un drenador de carteras cripto es un kit de phishing, normalmente alquilado como servicio, que muestra un sitio falso o uno real secuestrado, pide al visitante conectar una cartera y firmar, y después saca los activos. ScamSniffer contabilizó 83.85M$ robados a 106,106 víctimas en 2025. Wardmint registra los nombres parecidos que un proyecto puede perder frente a los atacantes si no los registra antes.
Pérdidas por phishing de drenadores en cadenas EVM, de 2023 a 2025
| Año | Losses | Victims | Casos de $1M o más |
|---|---|---|---|
| 2023 | $295M | 324,000 | 13 |
| 2024 | $494M | 332,000 | 30 |
| 2025 | $83.85M | 106,106 | 11 |
Tipos de firma que piden los drenadores
| Signature type | Lo que el usuario permite realmente | Reported in 2025 |
|---|---|---|
| approve | Una dirección nombrada puede gastar una cantidad fijada de un token | Figura como tipo habitual |
| permit / Permit2 | La misma autorización, concedida mediante una firma fuera de la cadena sin transacción en cadena del usuario | 38% de las pérdidas en casos de 1M$ o más (8.72M$, 3 casos); el mayor robo de 2025, 6.5M$ en septiembre, usó una firma Permit |
| setApprovalForAll | Una dirección nombrada puede mover todos los NFT de una colección | Figura como tipo habitual |
| increaseApproval, Transfer | Una autorización mayor o una transferencia directa de tokens | Figura como tipos en uso |
| EIP-7702 batch | Código de cuenta delegada que ejecuta varias acciones a la vez | Apareció tras la actualización Pectra; 2 casos grandes en agosto, 2.54M$ |
¿Cómo funciona un drenador de carteras?
Funciona en tres pasos: señuelo, conexión, firma. El señuelo es un enlace en un mensaje, un anuncio o un perfil social que apunta a una página que copia un proyecto real. La página pide al visitante conectar una cartera, lo que revela la dirección y los tokens que contiene. El kit construye después una o varias solicitudes de firma que parecen rutinarias, como un reclamo, una acuñación o una verificación. Cuando la víctima firma, el operador usa la aprobación o la transferencia para llevarse los activos, normalmente en cuestión de momentos.
ScamSniffer define un drenador de carteras como infraestructura de phishing en sitios maliciosos que induce a los usuarios a firmar transacciones dañinas, lo que permite una extracción rápida. El kit no necesita una frase semilla. El usuario concede la autoridad voluntariamente, por eso la página que la pide debe parecer creíble, y por eso importa tanto el dominio en el que está.
¿De dónde sacan los drenadores sus dominios?
Usan dominios parecidos registrados para la campaña y, cada vez más, el dominio propio del proyecto tras un secuestro. La vía parecida es la sencilla: examplecoin-claim.xyz o examplecoin-airdrop.com, una copia de la página del proyecto y un botón de conexión. Las variantes de este tipo se describen en qué tipos de dominios parecidos registran los phishers, y el patrón de airdrop se explica en cómo funcionan las falsas páginas de reclamo de airdrop y los dominios de phishing.
La vía del secuestro se salta el dominio parecido por completo. Blockaid atribuyó los cinco compromisos de frontends de entre el 16 y el 23 de febrero de 2026 al servicio de drenadores AngelFerno, antes conocido como Inferno, con nuevos certificados SSL emitidos el mismo día que el cambio DNS. The Block informó de que una docena de sitios DeFi registrados en Name.com fueron redirigidos la tarde del 30 de octubre de 2026 y cargados con Step Drainer, un kit de herramientas como servicio de malware, con unos $138,000 rastreados hasta tres carteras EVM. En ambos casos el visitante escribió la dirección real.
¿Cuánto roban los drenadores y está bajando?
ScamSniffer informa de que las pérdidas por drenadores bajaron un 83% en 2025, hasta 83.85M$, mientras el panorama general de estafas creció. El total de 2025 es una fracción de los 494M$ de 2024, y las víctimas bajaron un 68%. El informe contó 11 casos de 1M$ o más frente a 30 en 2024. También halló que las firmas Permit y Permit2 representaron el 38% de las pérdidas en casos grandes, y que el mes pico fue agosto de 2025, con 12.17M$ y 15,230 víctimas.
Un total en descenso no significa una base de usuarios segura. Chainalysis, en su informe del 13 de enero de 2026, situó las estafas y fraudes con cripto en no menos de 14,000 millones de dólares recibidos en cadena en 2025, con estafas de suplantación que subieron más de un 1,400% respecto a 2024 y un pago medio de estafa que pasó de 782 a 2,764 dólares. Los drenadores son una herramienta dentro de ese panorama, y el texto de Chainalysis informa de que las estafas con kits de phishing fueron mucho más eficaces en dólares que las ordinarias. La advertencia propia de ScamSniffer también se aplica: su cifra cuenta solo drenadores de sitios de phishing.
¿Qué puede hacer un proyecto para que los drenadores no usen su nombre?
Tome los nombres evidentes, refuerce el real y haga rápida la denuncia. Según la encuesta de Wardmint del 12 de noviembre de 2026, 40 de los 50 mayores proyectos cripto no tenían ningún nombre -claim .com registrado y 39 de 50 ningún nombre -airdrop .com registrado en RDAP, así que las palabras exactas que necesita un señuelo de reclamo estaban abiertas a cualquiera. Los resultados completos, con las 171 de 578 variantes (29.6%) que estaban libres, están en la página auditoría de dominios defensivos de proyectos cripto 2026.
Un proyecto puede actuar de cuatro maneras. Registre sus propias variantes y rediríjalas al sitio oficial; el conjunto de nombres de phishing (.xyz, .pro, .info, .shop, .online, .icu, .click, .live, .support) cuesta $212.41 al año. Refuerce la cuenta del registrador y el DNS con la lista de comprobación de seguridad de dominios para un proyecto cripto. Encuentre las imitaciones existentes con las herramientas gratuitas de cómo encontrar dominios parecidos a su marca. Y denuncie cualquiera activa siguiendo cómo denunciar un dominio de phishing. Wardmint vende solo registros, no monitorización ni retirada, y registra las variantes del propio proyecto, nunca las de otra marca.
¿Qué puede hacer un usuario antes de firmar?
Lea lo que dice la cartera que va a hacer y trate como hostil cualquier solicitud que usted no inició. Una solicitud de conexión en una página a la que se llega desde un anuncio o un mensaje es el punto en el que hay que parar. Abra el proyecto desde un marcador o desde sus canales verificados, compruebe que la dirección es exactamente la que el proyecto anunció y lea la solicitud de firma. Una solicitud para aprobar el gasto de un token, para aprobar una colección de NFT completa o para firmar un Permit por un reclamo es el patrón de la tabla de arriba. Guarde los fondos a largo plazo en una cartera que no use para conectarse a sitios nuevos.
Los proyectos pueden ayudar a sus usuarios anunciando una única dirección oficial antes de cada evento. Una regla citable: un reclamo legítimo nunca necesita una frase semilla, y una firma que concede una autorización no es un reclamo.
Drenadores de carteras: preguntas
¿Es un drenador de carteras un malware en mi ordenador?
Normalmente no. Los drenadores de estos informes se ejecutan como scripts en una página de phishing y actúan a través de la cartera que usted conecta. El riesgo viene de la firma que usted da, no de un programa instalado en su dispositivo.
¿Por qué un drenador no necesita mi frase semilla?
Una aprobación firmada o un Permit da al atacante el derecho a mover sus tokens sin ninguna clave. La autoridad la concede la firma, y sigue vigente hasta que se revoque o se use.
¿Bajaron de verdad las pérdidas por drenadores en 2025?
Sí, según los datos de ScamSniffer bajaron un 83% hasta 83.85M$ en 106,106 víctimas, desde 494M$ en 2024. El informe cubre solo drenadores de sitios de phishing y es un mínimo.
¿Puede registrar dominios detener a los drenadores?
Quita los nombres que un operador de drenadores probaría primero, como el nombre de un proyecto con claim o airdrop añadido. No detiene ataques con otras palabras, subdominios en plataformas de alojamiento ni un secuestro del dominio real.
¿Qué debe hacer un proyecto tras encontrar un sitio drenador?
Denunciar el dominio ante su registrador y su host, añadirlo a las listas de bloqueo, avisar a los usuarios por todos los canales verificados y guardar capturas de pantalla para cualquier disputa posterior. El orden de denuncia está en la guía de Wardmint sobre cómo denunciar un dominio de phishing.
En resumen
- Un drenador de carteras es un kit de phishing que obtiene una firma y mueve activos, sin necesidad de frase semilla.
- ScamSniffer: 83.85M$ y 106,106 víctimas en 2025, frente a 494M$ y 332,000 en 2024.
- Permit y Permit2 representaron el 38% de las pérdidas en casos de 1M$ o más; el mayor fue de 6.5M$ en septiembre de 2025.
- Los drenadores funcionan con dominios parecidos y con dominios reales secuestrados (informes de febrero y octubre de 2026).
- Chainalysis (13 de enero de 2026): al menos 14,000 millones de dólares en estafas con cripto recibidos en cadena en 2025.
- 40 de 50 nombres -claim .com y 39 de 50 nombres -airdrop .com de los 50 proyectos principales estaban libres el 12 de noviembre de 2026.
- Wardmint vende registros, no monitorización ni retirada; nueve terminaciones de phishing cuestan $212.41 al año.
Fuentes (4)
- Scam Sniffer: las pérdidas por phishing cripto de 2025 caen un 83% hasta $84 million — ScamSniffer, 3 January 2026 (consultado 2026-11-12)
- 2026 Crypto Scams report — Chainalysis, 13 January 2026 (consultado 2026-11-12)
- Secuestro de front ends y la superficie de ataque Web2 que amenaza a los protocolos Web3 — Blockaid, 19 March 2026 (consultado 2026-11-12)
- Hackers secuestran una docena de sitios web DeFi registrados con Name.com — The Block, 31 October 2026 (consultado 2026-11-12)