¿Es segura Trust Wallet? Revocar aprobaciones en TRON

¿Es segura Trust Wallet ahora mismo?

A 15 de noviembre de 2026 no hay ningún fallo confirmado en la app Trust Wallet: Bitquery, que rastreó la reciente ola de robos de USDT en TRON, dice no haber encontrado pruebas de uno, aunque no puede descartarlo ^[1]. Su informe, con cifras verificadas el 12 de noviembre, cuenta al menos 5,42 millones de dólares en USDT sustraídos de 454 billeteras TRON entre el 5 de octubre y el 11 de noviembre ^[1].

El nombre de Trust Wallet está ligado al caso porque las víctimas dicen que la usaban y porque el kit de hackeo de iPhone vinculado a algunos robos la busca, explica Bitquery ^[1]. La blockchain muestra el dinero moviéndose entre direcciones, no el teléfono ni la app que hay detrás, por lo que Bitquery solo pudo vincular un robo con el relato publicado de un propietario de iPhone ^[1].

Los propios consejos de Trust Wallet apuntan al teléfono, no a la app. En una publicación del 6 de noviembre dijo que dos kits de explotación, Coruna y DarkSword, atacan iPhone con versiones antiguas de iOS, Coruna en iOS 13.0 a 17.2.1 y DarkSword en iOS 18.4 a 18.7, y que «los dispositivos con la última versión de iOS no se ven afectados» ^[2]. El 11 de noviembre añadió que sus usuarios de iOS no están afectados por otro exploit llamado worse_query y que nunca guarda frases de recuperación ni claves privadas en texto plano ^[8].

Así que la respuesta honesta es: no está demostrado que la app esté vulnerada, pero una billetera solo es tan segura como el dispositivo y la frase de recuperación que hay detrás. Para la cronología completa de los robos, consulta la guía de Pouyam Trust Wallet Hacked? How to Protect Your USDT on TRON. Esta guía aborda la siguiente pregunta de muchos lectores: si revocar aprobaciones de tokens los protege y cómo hacerlo.

¿Qué es una aprobación de token en TRON?

Una aprobación de token es un permiso que firmas para que un contrato inteligente pueda sacar de tu billetera un token TRC-20, como USDT, hasta un límite fijado, sin volver a preguntarte ^[4][6]. Técnicamente, tu billetera llama a approve(spender, amount) en el contrato del token; después, el contrato aprobado puede llamar a transferFrom para tomar tokens dentro de ese límite ^[4].

Las aprobaciones son normales. Los exchanges y las apps de intercambio y préstamo en TRON las piden para mover tus tokens cuando operas ^[5]. El riesgo es que siguen activas después de salir de la app. Trust Wallet señala que la mayoría de usuarios no sabe que las aprobaciones siguen vigentes indefinidamente y que, si un contrato «se vuelve malicioso más tarde», puede vaciar tokens «sin otra confirmación» ^[3].

Muchas apps piden una cantidad ilimitada para ahorrarte volver a aprobar. El centro de ayuda de TronLink advierte de que estas aprobaciones permiten a otras direcciones y contratos transferir activos «sin aviso previo», y aconseja comprobar si un producto es de código abierto y está auditado antes de aprobarlo ^[5]. TRON Guide describe la aprobación ilimitada como aquella en la que el límite se fija en el valor máximo posible, y llama a estas aprobaciones la mayor superficie de ataque en TRON ^[6].

Además, cada aprobación está ligada a un solo token. Revocar tu aprobación de USDT para una app no cancela la que diste a la misma app para otro token, así que cada una se revisa y se revoca por separado ^[10].

¿Causaron las aprobaciones de tokens los robos de USDT en TRON?

Ninguna prueba apunta a ello: Bitquery dice que los ladrones de la reciente ola en TRON ya tenían las claves de las billeteras, algo distinto de un sitio drainer que te engaña para ceder tus tokens con una firma ^[1]. Esa diferencia decide qué te protege.

Bitquery describe el patrón que usó para encontrar víctimas. Una billetera de comisiones, o un recolector financiado por ella, enviaba a la dirección de la víctima unos pocos TRX para pagar la comisión de red; segundos después salía todo el saldo de USDT en un solo pago, y luego se iba también el TRX restante ^[1]. En un caso del 25 de octubre llegaron 18 TRX y 18 segundos después salieron 519.093 USDT ^[1]. Bitquery interpreta esta secuencia como obra de alguien que ya tenía la clave privada o la frase de recuperación ^[1]. Coindaro, al informar sobre los primeros hallazgos de Bitquery, señala que Bitquery solo contaba una billetera como víctima cuando un único pago vaciaba todo su USDT, «el patrón de un vaciado por alguien que tiene la clave privada» ^[7].

Un robo por aprobación se ve distinto: el contrato del atacante retira los tokens con transferFrom y paga su propia comisión, así que la billetera de la víctima no necesita TRX ^[4]. El informe de Bitquery lo dice claramente: «Aquí, el ladrón ya tiene las claves» ^[1].

Bitquery también muestra por qué importa. Una billetera fue vaciada dos veces: perdió 19.069 USDT el 26 de octubre y, tras recibir dinero nuevo, otros 4.140 USDT el 10 de noviembre ^[1]. «Una billetera vaciada sigue abierta a los ladrones mientras su frase de recuperación» siga en uso, dice el informe ^[1]. Revocar aprobaciones no habría cerrado esa puerta. Sigue siendo una buena práctica, y la lista de seguridad de Trust Wallet incluye revocar aprobaciones desconocidas ^[9], pero es un segundo paso, no la cura para una clave robada.

¿Cómo revoco aprobaciones de tokens en Trust Wallet?

Abre la última versión de Trust Wallet, selecciona la pestaña Approvals en la sección de activos, revisa la lista y toca Revoke junto a cualquier app en la que ya no confíes ^[3]. Trust Wallet dice que la función registra las aprobaciones al concederlas, muestra a qué tokens puede acceder cada app y en qué cantidad, marca contratos vinculados a estafas conocidas y elimina la aprobación en la blockchain cuando la revocas ^[3].

1. Actualiza primero Trust Wallet desde App Store o Google Play; los pasos de Trust Wallet especifican la última versión ^[3].
2. En la pantalla de inicio, abre la pestaña Approvals en la sección de activos ^[3].
3. Revisa cada entrada: el token, la app o contrato y el límite. Presta más atención a USDT y a las aprobaciones ilimitadas.
4. Toca Revoke en todo lo que no reconozcas, ya no uses o la billetera marque como riesgoso, y confirma la transacción ^[3].
5. Guarda algo de TRX en la billetera: en TRON una revocación es una transacción que consume bandwidth y Energy ^[4].

Un límite: el anuncio de Trust Wallet no dice qué blockchains cubre la pestaña Approvals ^[3][10]. Si tus aprobaciones de TRON no aparecen ahí, o quieres una segunda opinión, usa TronScan, que lista todas las aprobaciones concedidas por una dirección, como se explica en la siguiente sección ^[4][6].

Revocar solo actúa sobre aprobaciones. No puede deshacer una transferencia ya hecha ni proteger una billetera cuya frase de recuperación conoce otra persona ^[10].

¿Cómo revoco aprobaciones TRC-20 en TronScan?

Busca tu dirección TRON en TronScan, abre la lista de aprobaciones en la página de la cuenta, cancela cada aprobación no deseada y firma la transacción en tu billetera; así el límite queda en cero ^[4][6]. TronScan añadió esta función de cancelación el 14 de mayo de 2021 y también muestra un historial de cambios de aprobación ^[4].

1. Escribe tú mismo tronscan.org en el navegador; no sigas un enlace de un chat o un anuncio ^[10].
2. Pega tu dirección, que empieza por T, en la barra de búsqueda ^[6].
3. En la página de la cuenta, abre la pestaña de aprobaciones, llamada Approval o List of Approval según el diseño ^[4][6].
4. En cada entrada, mira el token, el contrato que recibió la aprobación y la cantidad. Prioriza los contratos desconocidos o no verificados y las aprobaciones ilimitadas; TRON Guide aconseja revocar un contrato que no puedas identificar con seguridad ^[6].
5. Haz clic en Cancel o Revoke en la fila y conecta una billetera compatible, como TronLink, para esa dirección ^[6].
6. Lee la pantalla de firma: debe llamar a approve en el contrato del token con una cantidad de 0. Si pide otra cosa, detente ^[10].
7. Actualiza la lista tras la confirmación; en TRON suele tardar unos segundos ^[6].

Los usuarios de TronLink pueden hacer lo mismo dentro de la billetera: el centro de ayuda de TronLink indica Wallet Management y luego Approval Management para ver o cancelar aprobaciones ^[5]. Cada cancelación, y cualquier nueva aprobación posterior, consume bandwidth y Energy; sin Energy propia, la red quema TRX para pagarla ^[4].

¿Qué aprobaciones de tokens debo revocar?

Revoca cualquier aprobación que no sepas explicar, cualquier aprobación ilimitada a una app que ya no usas y todo lo concedido a un sitio de airdrop, de «verificación» o de alquiler de Energy ^[6][10]. Conserva solo las aprobaciones de servicios que usas y en los que confías, y vuelve a aprobar si regresas a alguno.

La tabla de abajo resume los casos habituales. Una prueba sencilla ayuda: si no sabes decir qué es una dirección autorizada, no debería poder gastar tu USDT ^[10].

Cuidado con los tokens de imitación. Las aprobaciones sobre un «USDT» falso que no es el contrato real de Tether no pueden tocar tu USDT real ^[10]. El contrato real de USDT en TRON es TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t; comprueba esa dirección en la página del token en TronScan antes de actuar.

Bitquery encontró un truco relacionado en los datos de los robos: más de la mitad de las direcciones que pagaron a un recolector eran bots que enviaban cantidades ínfimas y tokens falsos desde direcciones parecidas, un método llamado envenenamiento de direcciones, con la esperanza de que alguien copie después la dirección equivocada ^[1]. Copia siempre una dirección de destino de una fuente fiable, nunca de tu historial de transacciones.

¿Qué hago si mi frase de recuperación puede estar expuesta?

Trata la billetera como comprometida: crea una billetera nueva con una frase de recuperación nueva en un dispositivo actualizado y limpio, mueve lo que quede y deja de usar la antigua ^[1][10]. Bitquery dice que quien tiene la frase de recuperación tiene el dinero y no necesita contraseña ni acceso al teléfono ^[1].

1. Actualiza primero el teléfono. Trust Wallet pide a los usuarios de iPhone instalar la última versión de iOS disponible para su dispositivo y activar Lockdown Mode si no pueden actualizar de inmediato ^[2].
2. Crea la billetera nueva y escribe la nueva frase de recuperación en papel. No la guardes en fotos, capturas de pantalla ni notas, que los kits Coruna y DarkSword rastrean, según Trust Wallet ^[2].
3. Envía una pequeña cantidad de prueba a la nueva dirección y luego mueve el resto. Guarda suficiente TRX para las comisiones.
4. Deja vacía la billetera antigua. Si le llega dinero nuevo, los ladrones pueden volver a llevárselo, como le pasó a una billetera que rastreó Bitquery ^[1].
5. Si algo parece raro, contacta con el soporte de Trust Wallet con la dirección de la billetera y el hash de la transacción; Trust Wallet dice que nunca pedirá tu frase de recuperación y que nunca escribe primero ^[2].

Considera una billetera de hardware para saldos grandes, comprada directamente al fabricante. Si ya te robaron fondos, avisa rápido a Tether y a cualquier exchange al que haya llegado el dinero, porque Bitquery señala que el USDT solo se puede congelar antes de que vuelva a moverse ^[1]. Ignora a cualquiera que ofrezca servicios de recuperación de pago. Esto es una orientación general de seguridad, no asesoramiento financiero.

¿Cómo detecto un falso verificador de aprobaciones?

Usa solo TronScan, TronLink o la pestaña Approvals de tu propia billetera, escribiendo tú la dirección, porque los falsos sitios de «verificación de aprobaciones» son un truco de phishing conocido en el que el botón Revoke firma una aprobación nueva ^[10]. Una revocación real siempre pone la cantidad en cero.

• Ninguna herramienta real de revocación pide tu frase de recuperación ni tu clave privada. No las pegues nunca en un sitio de «revocar todo».
• Antes de firmar, lee la función y la cantidad: approve con 0 es una revocación; approve con un número grande, una transferencia o un cambio de permisos no lo es ^[10].
• Desconfía de los sitios de alquiler de «Energy barata» y de airdrops: según TronTransfer, algunos te piden autorizar un alquiler cuya firma es en realidad una aprobación ilimitada de USDT ^[10].
• Revisa también los permisos de la cuenta en TronScan: algunas estafas en TRON cambian quién controla una dirección, y revocar aprobaciones no lo deshace ^[10].
• Ignora los mensajes directos de quien diga ser soporte de Trust Wallet; Trust Wallet dice que nunca escribe primero ^[2].

Si perdiste dinero con un falso agente de soporte o un servicio de recuperación, denúncialo a la policía o a la unidad de ciberdelitos de tu país y guarda una copia. Para el contexto más amplio de la seguridad del iPhone, consulta What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer, que explica por qué la seguridad del teléfono protege ahora más de una cuenta.