Pagar con cripto sin conectar la billetera

Quieres pagar una compra y pulsas «Conectar billetera». En una página de phishing, enseguida aparece una firma que supuestamente confirma el pago. Lo que firmas puede autorizar a otra dirección a gastar tus tokens o delegar tu cuenta a un código. El importe de la compra deja de marcar el alcance de la pérdida.

Para pagar productos o servicios, elige una transferencia desde tu billetera. Usa los datos de la factura sin conectarla al sitio. Antes de firmar el envío, comprueba destinatario, activo, red e importe. La página no necesita un permiso adicional para gastar lo que quede en tu saldo.

¿Qué cambia cuando pagas con los datos de la factura?

Confirmas un envío concreto en tu propia billetera. Ese paso exige una firma: pagar por dirección no elimina la confirmación de la transferencia. Evita que este pago necesite un permiso separado para que el sitio disponga de los fondos restantes.

Comprueba también el origen de la factura. Una dirección copiada de una página falsa sigue siendo una dirección falsa. El método de envío no autentica al vendedor ni borra permisos que concediste antes.

¿Por qué Paymos muestra una dirección y un QR?

Paymos eligió una página de pago sin conexión de la billetera al sitio. Muestra los datos de la factura y un QR; no admite WalletConnect. Tú envías los fondos desde tu billetera.

En una computadora, el QR puede contener la dirección o el enlace de pago de la billetera seleccionada. Si esa billetera admite el enlace para la red elegida, ayuda a rellenar activo, red e importe. En un dispositivo móvil, el QR contiene solo la dirección. Revisa los datos finales aunque hayas escaneado el código.

¿Conectar la billetera permite sacar fondos?

La conexión por sí sola no concede un permiso para gastar tokens ni delega tu cuenta. Normalmente comparte las direcciones públicas y redes que seleccionaste y deja que el sitio proponga otras solicitudes. MetaMask permite revisar las cuentas y redes conectadas en sus permisos de sitios.

Hay servicios legítimos que necesitan conectar una billetera. En el caso del phishing, el peligro está en aceptar la solicitud posterior sin entenderla. El botón Connect no explica qué permite la siguiente firma. Si el sitio y la billetera describen acciones distintas, detente antes de confirmar.

¿Qué estás autorizando con approve o allowance?

Concedes a una dirección el derecho a gastar un token concreto hasta cierto límite. Ese permiso puede superar el importe de la compra y seguir vigente después. MetaMask explica los permisos de tokens y cómo revocarlos.

Un permiso amplio puede ahorrar pasos en operaciones repetidas, pero también amplía lo que una dirección maliciosa puede gastar. Para una factura que ibas a pagar por transferencia, una solicitud de permiso exige una explicación propia. No la aceptes solo porque apareció durante el pago.

¿Una firma sin comisión puede dar permisos?

Sí. No pagar gas al firmar no limita los derechos que concedes. En tokens compatibles con ERC-2612, una firma permit puede establecer un permiso de gasto cuando otra persona la envía a la red.

Revisa quién podrá gastar y hasta qué importe. La fecha límite del mensaje marca hasta cuándo se puede presentar la firma. No significa que un permiso ya concedido caduque ese día. Una etiqueta como «iniciar sesión» o «confirmar compra» en la página no cambia los datos que estás firmando.

¿Por qué EIP-7702 puede afectar a varias redes?

EIP-7702 permite ejecutar un código elegido en el contexto de tu cuenta EVM. Un código malicioso puede controlar sus fondos. Ethereum advierte de este phishing en su guía sobre EIP-7702.

Una autorización con chain_id=0 no queda ligada a una sola red. Puede servir en varias redes EVM que admitan EIP-7702, si en cada una se cumplen las condiciones de autorización, incluido el contador nonce, y las de ejecución. La especificación fija ese alcance. No describe cualquier firma ni todas las cadenas de bloques.

Para enviar el importe de una factura, delegar el código de la cuenta concede más de lo que exige ese envío.

¿Qué reviso antes de confirmar?

Abre la factura desde una fuente conocida y revisa el dominio. Compara destinatario, activo, red e importe con lo que muestra la billetera. Hazlo también después de escanear un QR. Si aparece un permiso o una delegación que no esperabas, aclara el motivo antes de firmar.

Las alertas ayudan a detectar amenazas. MetaMask reconoce que sus alertas de seguridad no las detectan todas. La ausencia de una advertencia tampoco sustituye tu revisión.