Qué significa firmar un mensaje en la wallet: transacción y firma

Qué significa firmar un mensaje en la wallet es una de las preguntas de seguridad más importantes para quien participa en airdrops, porque muchas ventanas de confirmación parecen inofensivas y no cuestan gas, pero sus consecuencias pueden ser las mismas que las de enviar fondos. Este artículo explica en qué se diferencia una firma de una transacción, qué tipos de firma existen y qué revisar antes de pulsar el botón.

Este material es educativo y no constituye asesoramiento financiero ni jurídico. No garantiza protección frente a pérdidas: la atención reduce el riesgo, pero no lo elimina.

Transacción y firma: cuál es la diferencia

Una wallet hace dos cosas muy distintas. Es fácil confundirlas porque ambas abren una ventana con un botón «Confirmar».

Una transacción es una operación enviada a la red que modifica el estado de la blockchain y requiere una comisión (gas). Una transferencia, un swap, una aprobación, un claim: todo son transacciones. El resultado se ve en el historial de la wallet y en un explorador de bloques.
La firma de un mensaje es una prueba criptográfica de que controlas una dirección y aceptas un texto o conjunto de datos concreto. Por sí sola no envía nada a la red y no cuesta gas.

La ausencia de gas da una falsa sensación de seguridad. Una firma no es una acción sino un consentimiento, y ese consentimiento puede presentarse más tarde. Si los datos firmados significan «permito que esta dirección gaste mis tokens», cualquiera que tenga la firma puede enviarla a la red y pagar el gas por su cuenta. Los tokens salen de tu dirección aunque nunca hayas pagado una comisión ni hayas visto una transacción en tu historial.

Los tipos de firma más habituales

personal_sign. Firma de texto plano. Así funciona iniciar sesión en un sitio con la wallet: te muestran un mensaje legible, por ejemplo con el nombre del sitio y un código de un solo uso. Suele ser seguro mientras el texto sea claro y no hable de permisos, transferencias o cesión de derechos.
Datos estructurados (EIP-712). La wallet muestra no una línea sino un conjunto de campos: quién, qué, cuánto, hasta cuándo. Es la forma estándar de firmar órdenes en plataformas de trading y permisos de gasto. Estas ventanas son más difíciles de leer, pero el significado está justo en esos campos.
Permit. Una firma según el estándar EIP-2612 permite autorizar a una dirección a gastar tu token sin una transacción de aprobación aparte. No todos los tokens lo admiten. Campos a revisar: spender (a quién), value (cuánto) y deadline (hasta cuándo).
Permit2. Un contrato común de permisos que usan algunas aplicaciones. Le das una aprobación una vez y después los límites concretos se fijan con firmas. Es cómodo, pero implica que una firma con parámetros amplios funciona como una aprobación completa.
setApprovalForAll. No es una firma sino una transacción, aunque a menudo se muestra en una ventana parecida. Da a la dirección indicada el derecho de mover todos los NFT de la colección elegida, no solo uno. No tiene caducidad ni límite hasta que tú mismo la revoques.
Firma ciega. Situación en la que la wallet no muestra campos descifrados sino una cadena hexadecimal larga o un hash. No se puede leer el significado y aceptas sin saber a qué.

Cómo leer la ventana de firma

Antes de confirmar, repasa una lista corta. Lleva medio minuto y cierra la mayoría de las trampas típicas.

De dónde viene la solicitud. La wallet muestra el dominio del sitio. Debe coincidir con el que querías visitar. Si llegaste por un enlace de un chat o un anuncio, lee primero el artículo sobre cómo detectar sitios de claim falsos.
Qué acción es. ¿Un inicio de sesión, una orden, un permiso sobre un token, un permiso sobre NFT? Si la ventana no nombra la acción con palabras claras, es motivo para parar.
Quién es el destinatario. El campo spender, operator o to. Una dirección desconocida sin explicación de para qué sirve es mala señal.
Cuánto. ¿Una cantidad concreta o «ilimitado»? En un token, un valor ilimitado significa que la dirección podrá tomar todo el saldo de ese token ahora y después. Para NFT el equivalente es «todos los tokens de la colección».
Por cuánto tiempo. El campo deadline o expiration. Un permiso sin caducidad, o con una fecha muy lejana, sigue siendo peligroso durante más tiempo.
Si se puede leer. Si en lugar de campos se muestra un conjunto de bytes, no firmes. Muchas wallets hardware desactivan por defecto estas firmas, y no conviene activar esa opción sin necesidad real.

Una regla más: ninguna firma legítima te pide introducir o mostrar la frase semilla. Eso no es una firma sino un robo. Cómo guardar la frase y las claves se explica en el artículo sobre cómo guardar la frase semilla.

Si ya firmaste, y qué hacer de antemano

Una aprobación por transacción sigue vigente hasta que la revoques, y se puede ver en la lista de permisos de la wallet o en un servicio específico. Cómo ver y revocar esos permisos se describe en el artículo sobre revocar aprobaciones de tokens. Con las firmas es más complicado: un permit firmado no es visible en la blockchain hasta que alguien lo usa, y su validez la fija el campo deadline. Por eso la mejor defensa es no firmar nada de más.

Hábitos prácticos que reducen el riesgo:

usa una wallet aparte con poco saldo para probar proyectos nuevos, como se explica en el artículo sobre configurar la wallet para airdrops;
no abras enlaces de claim recibidos por mensaje privado, comentarios o anuncios; entra tú mismo al sitio del proyecto;
si dudas, rechaza la solicitud: negarse no cuesta nada y puedes volver a firmar cuando quieras;
revisa periódicamente la lista de permisos activos y revoca los que ya no uses.

En el catálogo de CoinDropster cada proyecto tiene una página con su estado y datos clave, y se hace seguimiento de los cambios de estado (Potential, Confirmed, Snapshot, Verification, Reward available o Distributed). Esto ayuda a ver en qué etapa está un proyecto y si cabe esperar una solicitud de claim: si el estado no implica una distribución, una exigencia de «verificar urgentemente tu wallet» despierta dudas. Las listas de tareas de la aplicación mantienen los plazos a mano para no actuar con prisa. Ver airdrops en seguimiento →