Firmaste luego consentiste: quién responde cuando un permiso te vacía la cartera

📌 En 30 segundos: Cuando un permiso firmado por ti vacía tu cartera, no hay ventanilla de reclamación: la firma es tuya y el sistema la considera consentimiento válido. Pero el expediente tiene un matiz importante — durante años se te ha pedido consentir textos ilegibles, y eso empezó a corregirse en 2026: la Fundación Ethereum lanzó en mayo un estándar oficial para que las firmas se muestren en lenguaje claro. Hoy: quién responde de qué, qué está cambiando y qué puedes exigir tú. Confía, pero verifica.

El Inspector al habla. Mi compañero el Centinela documentó esta semana cómo revocar permisos. Yo vengo a la pregunta que él no cubre y que a mí me toca por oficio: si sale mal, ¿quién responde? Abramos el expediente.

Pieza 1: el reparto de responsabilidades, sin adornos

Anotemos la asimetría, que es la clave de todo el caso:

• Tu banco opera bajo normas de servicios de pago con mecanismos de reclamación y, en determinados supuestos de operación no autorizada, procedimientos de devolución. Hay una entidad, un supervisor y un procedimiento.
• Una firma en tu cartera autocustodiada es una instrucción que tú autorizas y la red ejecuta. No hay intermediario que la revise, no hay entidad que la deshaga, no hay procedimiento de reversión. Firmaste, luego consentiste.

Que quede claro en el acta: esto no es un fallo del sistema, es su diseño — es la misma propiedad que hace que nadie pueda congelarte los fondos. Pero conviene saberlo antes, no después. Y hay un detalle que el usuario suele descubrir tarde: la protección regulatoria europea cubre a los proveedores de servicios autorizados; una cartera que custodias tú no entra en ese perímetro. Las autoridades europeas lo repiten en sus advertencias al consumidor: revisa con qué entidad exactamente estás tratando, porque de ahí depende qué protecciones tienes.

Pieza 2: el atenuante — llevabas años firmando a ciegas

Aquí es donde este inspector deja de repartir responsabilidad solo hacia el usuario. Durante años, el sector ha pedido consentimiento informado mostrando cadenas hexadecimales incomprensibles o estructuras que ningún usuario normal puede evaluar. Un consentimiento que no se entiende es, en cualquier otro sector regulado, un consentimiento cuestionable.

La industria lo ha reconocido. En mayo de 2026, la Fundación Ethereum lanzó oficialmente el estándar de "firma clara" (Clear Signing), con tres piezas documentadas públicamente: un formato para que los contratos describan en lenguaje llano lo que hace cada operación (ERC-7730), un registro público de esas descripciones, y un marco para que auditores certifiquen criptográficamente que esas descripciones son exactas (ERC-8176). Fabricantes de carteras conocidos figuran entre los primeros adheridos.

Traducción del expediente: se pasa de "firma esto y confía" a "firma esto, que además dice lo que hace y alguien responde de que lo diga bien". La cadena de responsabilidad empieza a existir. Tarde, pero existe.

Pieza 3: qué puedes exigir tú, hoy

No te pido que desconfíes de todo. Te pido que exijas — que es distinto, y es tu derecho como usuario:

• ① Exige que tu cartera te explique lo que firmas. Si tu aplicación te muestra un jeroglífico y un botón, tienes derecho a elegir otra que no lo haga. Es el criterio de compra más importante de 2026 y casi nadie lo usa.
• ② Exige simulación previa — que te enseñe qué saldría de tu cartera antes de firmar. Con una salvedad documentada: las firmas de servicios de seguridad reconocen que existen técnicas para engañar a la simulación. Es cinturón, no blindaje.
• ③ Exige claridad sobre el alcance. ¿El permiso es por una cantidad o es ilimitado? ¿Caduca? ¿Sobre qué activos? Si la interfaz no lo dice, la interfaz está incompleta.
• ④ Distingue qué estás usando. Lo que hagas dentro de una plataforma autorizada tiene un régimen; lo que firmes desde tu cartera propia, otro. El mismo grupo empresarial puede ofrecerte ambos. Pregunta siempre: en esta operación concreta, ¿quién custodia y ante quién reclamo?

Pieza 4: lo que NO existe (y conviene decirlo)

Para cerrar el expediente con honestidad, tres ausencias documentadas:

• No existe reversión. Una operación firmada y ejecutada no se deshace. Quien te ofrezca "recuperar" fondos robados a cambio de un pago está montando la segunda estafa sobre la primera — está documentado como patrón.
• No existe un seguro estándar para el usuario particular frente a firmas maliciosas. Hay iniciativas y programas puntuales, no un sistema.
• No existen datos públicos sobre cuánta gente revisa sus permisos. Busqué el dato para este artículo y no lo hay. No voy a inventarlo: simplemente, nadie lo ha medido.

🔍 Cierre del Inspector: El expediente se cierra así: en cripto, la firma es la prueba y tú eres quien firma — con todo lo que eso te da y todo lo que te exige. La novedad de 2026 es que por primera vez hay un estándar oficial para que ese consentimiento sea informado de verdad, con auditores certificando que lo que lees es lo que ocurre. Mi consejo profesional no es que temas firmar: es que elijas herramientas que te dejen leer. Que conste en el expediente. Y dígame, lector: ¿su cartera le explica lo que firma en un idioma que entiende, o sigue enseñándole el jeroglífico? Con nombres o sin ellos, me interesa el dato. Confía, pero verifica.

📰 Datos reales: anuncio oficial del estándar Clear Signing de la Ethereum Foundation (mayo de 2026) y especificaciones públicas ERC-7730 y ERC-8176; soporte oficial de MetaMask; documentación educativa de Revoke.cash; advertencias al consumidor de las autoridades europeas de supervisión. Sin señalar entidades concretas. Información, no consejo financiero ni legal — para su caso particular, consulte con un profesional.