Antes de firmar, identifica la red, la dirección del contrato y la acción que te solicita la wallet. Esta guía propone una ficha de comprobación para usuarios; no es una auditoría de código ni permite certificar que una aplicación sea segura.
Qué significa que un contrato esté verificado
En Ethereum, verificar el código fuente consiste en comprobar su correspondencia con el código desplegado. No significa que las reglas sean convenientes para ti ni que el programa esté libre de fallos. Ethereum.org explica la verificación de contratos y la distingue de otras formas de evaluación técnica.
Por eso, una marca de “código verificado” es información útil para examinar el contrato, pero no sustituye una evaluación de sus riesgos. Tampoco basta con buscar palabras como transfer o approve: su nombre aislado no demuestra un comportamiento malicioso.
Tu ficha antes de firmar
1. Contexto. ¿Qué quieres hacer y desde qué sitio has llegado? Escríbelo en una frase. Si solo puedes responder “reclamar algo gratis”, todavía falta información sobre la operación.
2. Red y dirección. Anota ambas. Contrasta la dirección con la documentación del proyecto obtenida por una ruta independiente del mensaje que recibiste. Un nombre, símbolo o logotipo se puede imitar; no identifica por sí solo un contrato.
3. Solicitud concreta. ¿La wallet pide conectar, firmar un mensaje, enviar una transacción o conceder una autorización de tokens? Son acciones diferentes. No agrupes cualquier ventana bajo la palabra “permiso”.
4. Alcance. Si hay una autorización de gasto, identifica el token, quién podrá utilizarla y el límite solicitado. Una autorización amplia merece una explicación concreta; no la aceptes por costumbre.
5. Evidencia. Guarda los enlaces a la documentación y, si existe, a la evaluación de seguridad. Comprueba su fecha, versión y alcance. Un informe sobre otro despliegue no demuestra que cubra la dirección que tienes delante.
6. Dudas pendientes. Escribe qué no puedes explicar. La ficha está incompleta si desconoces la acción, el destinatario o el alcance. La respuesta a una duda puede ser cancelar, sin intentar resolverla firmando una prueba.
Conectar, firmar y autorizar no son lo mismo
Conectar una DApp permite la interacción entre la web y la wallet; no equivale por sí solo a conceder gasto sobre todos tus activos. Una firma o una transacción posterior puede tener efectos distintos. Lee cada solicitud por separado y no deduzcas que es inocua porque no muestra una transferencia inmediata.
En redes compatibles con las autorizaciones de tokens descritas por MetaMask, desconectar el sitio no elimina una autorización previa. Consulta su documentación sobre revisión y revocación. Revocar no revierte una operación ya ejecutada.
Ejemplo ficticio: una web de intercambio y un premio
Imagina que entras para consultar el precio de un token, pero aparece una autorización de gasto para una dirección que no reconoces. La pregunta no es si el botón tiene buen aspecto: es por qué una consulta de precio necesita esa autorización. Cancela y busca una explicación verificable. Si después decides utilizar una función distinta, vuelve a evaluar esa nueva solicitud desde el principio.
Este ejercicio no declara fraudulento ningún contrato real. Muestra cómo comparar la acción que tú esperabas con la que te piden aceptar.
Límites de estas comprobaciones
Leer una ficha, ver operaciones previas o encontrar reseñas no sustituye una auditoría profesional. Una prueba pequeña tampoco demuestra que futuras operaciones sean seguras. Si no entiendes una solicitud, no uses fondos para experimentar con ella.
Si ya aceptaste una acción sospechosa, consulta cómo ordenar un incidente y qué evidencias conservar. No compartas claves ni frases semilla para que alguien “verifique” tu contrato.
Revisión editorial: 12 de octubre de 2026. Se han corregido confusiones entre conexión, firma, transferencia y autorización, y aclarado los límites de la verificación del código. Fuentes oficiales enlazadas: Ethereum.org y MetaMask.