¿Es segura Rabby Wallet?
Rabby es una billetera de autocustodia razonablemente segura: su código es público, ha sido auditada varias veces y muestra una simulación y advertencias de riesgo antes de que firmes. Aun así, es una hot wallet con algunos hallazgos de auditoría sin resolver y un exploit pasado de su contrato de swap (octubre de 2022), y la mayoría de los usuarios de Rabby que pierden dinero lo hacen por apps falsas de Rabby, phishing y aprobaciones peligrosas.
La respuesta corta
La Rabby Wallet auténtica, instalada desde las tiendas oficiales, es una opción sólida para el uso diario en EVM, y sus comprobaciones antes de firmar la hacen en la práctica más segura que muchas billeteras. Que sea "segura" depende más de cómo la uses que de la billetera: una descarga falsa, una frase semilla escrita en un sitio web o una aprobación ilimitada a un contrato drainer vaciarán cualquier billetera. Para montos grandes, combina Rabby con una billetera de hardware.
Cómo protege Rabby tus claves
- Autocustodia. Tu frase semilla y tus claves privadas se generan en tu dispositivo y se guardan cifradas con tu contraseña. Los servidores de Rabby no las tienen.
- Contraseña local. La contraseña solo desbloquea la billetera en ese dispositivo. No es la contraseña de una cuenta y no puede recuperar tus fondos en otro lugar. Si la olvidas, restauras con la frase semilla (consulta olvidé la contraseña de Rabby).
- Opción de billetera de hardware. Con un Ledger, Trezor, Keystone o dispositivo similar, las claves nunca tocan tu computadora ni tu teléfono; Rabby solo prepara las transacciones para que el dispositivo las firme. Consulta billeteras de hardware en Rabby.
- Comprobaciones antes de firmar. Rabby simula cada transacción y muestra los cambios de saldo esperados, y señala aprobaciones riesgosas, destinatarios desconocidos y contratos sospechosos. Consulta simulación de transacciones.
Código abierto
El código fuente de la extensión es público en GitHub bajo la licencia MIT, y el código de la app móvil es público en un repositorio aparte (sin archivo de licencia, según CryptoSlate, octubre de 2026). El código público permite a los investigadores comprobar cómo se guardan las claves. Por sí solo no prueba que la versión de la tienda coincida con el código, por eso también importan las auditorías y un largo historial.
Auditorías
Rabby guarda sus informes de auditoría en la carpeta audits de su repositorio de GitHub, y Least Authority publica sus informes en su propio sitio.
| Fecha | Auditor | Alcance | Notas |
|---|---|---|---|
| Junio de 2021 | Prueba de penetración | Extensión | Prueba temprana de la extensión de Chrome |
| Marzo de 2022, julio de 2023 | SlowMist | Extensión | Auditorías anteriores de la billetera |
| 18 de octubre de 2024 | Least Authority | App móvil | Derivación de clave débil (PBKDF2 con 5,000 iteraciones) y cifrado no autenticado sin resolver; Rabby dijo que su configuración coincidía con la de MetaMask y que podría reforzarse más adelante |
| 12 de diciembre de 2024 | Least Authority | Extensión (almacenamiento de claves, keyrings) | Fallo de bloqueo corregido; dos problemas de almacenamiento y protecciones de cadena de suministro en tiempo de ejecución quedaron abiertos; el mínimo de contraseña de 8 caracteres se señaló como débil |
| Diciembre de 2024, agosto de 2025 | SlowMist | Extensión | El resultado de agosto de 2025 se reportó como aprobado con hallazgos de nivel sugerencia (CryptoSlate) |
| 2 de septiembre de 2025 | Least Authority | Extensión, 2.ª revisión | Nuevas funciones, incluidas cuentas Safe, EIP-7702 limitado, restablecimiento de contraseña y sincronización móvil; un hallazgo medio sobre la sincronización por QR reportado sin resolver |
| 2 de septiembre de 2025 | Least Authority | App móvil, 2.ª revisión | Sincronización de cuentas y respaldo de la semilla en la nube; un hallazgo medio sobre configuración débil de derivación de claves sin resolver |
| 24 de agosto de 2026 | SlowMist | Extensión | Último informe de SlowMist en el repositorio |
| 9 de octubre de 2026 | Least Authority | Extensión | Último informe de Least Authority en el repositorio |
Fuentes: páginas de auditoría de Least Authority; carpeta de auditorías de Rabby en GitHub; reseña de CryptoSlate (actualizada el 24 de octubre de 2026). No hemos resumido los hallazgos de los informes de 2026 porque no pudimos leerlos completos. Una auditoría es una revisión del código en un momento dado, no una garantía. Que haya hallazgos sin resolver significa que los auditores vieron margen de mejora que Rabby aún no había adoptado cuando se publicó el informe; no significa que los fondos estuvieran en riesgo por un exploit conocido.
El exploit de Rabby Swap de octubre de 2022
Rabby Swap se lanzó el 14 de septiembre de 2022. El 11 de octubre de 2022 un atacante explotó una falla en el contrato de swap que le permitió mover tokens de los usuarios que lo habían aprobado, en varias cadenas (The Block, 11 de octubre de 2022). Las pérdidas reportadas fueron de unos 114 ETH y 179 BNB, aproximadamente 200 000 dólares estadounidenses en ese momento (Web3 Is Going Great; CryptoSlate). El contrato había sido auditado por PeckShield, que no detectó la falla.
Rabby pidió a todos los que habían usado Swap que revocaran todas las aprobaciones en todas las cadenas y dijo que las billeteras que nunca habían usado Swap no estaban afectadas. Las claves privadas no se vieron afectadas. Algunas reseñas posteriores dicen que se reembolsó a las víctimas, pero no pudimos encontrar la declaración original de Rabby al respecto. El contrato antiguo no se puede pausar, así que cualquier aprobación que todavía apunte a él sigue siendo riesgosa. La lección aplica a todas las billeteras: una aprobación a un contrato queda abierta hasta que la revoques. Revisa las tuyas con el explicador de aprobaciones y revoca las aprobaciones antiguas. Hay más eventos en el historial de seguridad de Rabby.
Fallo de firma silenciosa, agosto de 2026
En agosto de 2026 el investigador de seguridad V12 reveló una falla en la extensión: un sitio malicioso al que ya te habías conectado podía obtener una firma sin que la vieras, pero solo si tu bloqueo automático estaba configurado en 10 minutos. La corrección en el código de Rabby hizo que una solicitud de firma pendiente ya no pudiera aprobarse solo con desbloquear la billetera. La extensión corregida se publicó el 11 de agosto de 2026; la app móvil no estaba afectada y no se reportó explotación (TechFlow, 20 de agosto de 2026; GitHub de Rabby). Mantén Rabby actualizada.
En septiembre de 2025, durante un ataque generalizado a paquetes populares de JavaScript, Rabby dijo que su billetera no estaba afectada porque fija sus dependencias (Rabby en X, 9 de septiembre de 2025, según el resumen de IQ.wiki).
El riesgo mayor: billeteras Rabby falsas
La suplantación causa muchas más pérdidas relacionadas con Rabby que los fallos de software:
- App falsa en App Store (febrero de 2024). Una app llamada "Rabby Wallet & Crypto Solution" de un desarrollador llamado "Solution Development" robó frases semilla antes de que se publicara la app real de Rabby para iOS. Rabby advirtió a los usuarios el 16 de febrero de 2024 (ForkLog).
- Complementos falsos de Firefox (2025 y 2026). Investigadores de Socket encontraron 13 versiones modificadas de Rabby entre 40 complementos maliciosos de Firefox que enviaban datos de billeteras a atacantes (The Hacker News, 20 de agosto de 2026), y otros cuatro clones de Rabby en octubre de 2026. Rabby no tiene complemento oficial para Firefox.
- Sitios web falsos. Los resultados de búsqueda de Rabby están llenos de páginas de descarga parecidas en hosting gratuito, plataformas de cursos y sitios hackeados.
Detalles y pasos de recuperación: estafas con billeteras Rabby falsas.
Señales de alerta en la ventana de firma
La ventana de Rabby te da la información; aun así tienes que leerla. Detente y rechaza si ves cualquiera de estas señales:
- Salida de tokens que no esperabas, por ejemplo un "free mint" o un "claim" que muestra tu ETH o tus stablecoins saliendo.
- Una aprobación o un permit para un token que no estabas operando, sobre todo por una cantidad ilimitada o a un spender que Rabby marca como nuevo o riesgoso.
- Una solicitud de "set approval for all" para una colección de NFT en un sitio que no conoces. Entrega todos los NFT de esa colección.
- Una firma off-chain (permit) que no entiendes. Firmar un mensaje puede autorizar una transferencia sin que se gaste gas en ese momento.
- Un destinatario por primera vez en una dirección que creías haber usado antes. Es la señal clásica del address poisoning; compara la dirección completa con el verificador de direcciones.
- Un sitio que no es el que querías visitar. Revisa el dominio que aparece en la solicitud.
Límites honestos
- Es una hot wallet. Las claves viven en un dispositivo conectado a internet. El malware en tu computadora o teléfono, o una extensión de navegador maliciosa, todavía pueden robarlas.
- Riesgo del navegador. Cualquier otra extensión que instales puede leer y modificar páginas web, y algunas pueden caer en manos de atacantes. Ten pocas extensiones.
- Las advertencias se pueden ignorar. Rabby te deja firmar pese a sus advertencias, y la firma a ciegas sigue siendo posible en transacciones inusuales.
- La simulación tiene límites. Muestra lo que pasaría ahora; no puede predecir lo que hará después un contrato aprobado, y puede no funcionar en todas las redes personalizadas.
- Las contraseñas débiles debilitan el cifrado local. Usa una contraseña larga y única.
Cómo usar Rabby de forma segura
- Instala solo desde las tiendas oficiales. Escribe
rabby.iotú mismo o usa un marcador, y comprueba el ID de la extensiónacmacodkjbdgmoleebolmdjonilkdbchcon el verificador. - Escribe tu frase semilla en papel o metal y guárdala sin conexión. Consulta respaldo de la frase semilla.
- Nunca escribas tu frase semilla en un sitio web, chat o formulario. Rabby y DeBank nunca la piden, y el soporte real nunca te escribe primero por mensaje directo.
- Lee la vista previa de cambios de saldo en cada firma. Detente si muestra tokens saliendo que no esperabas.
- Evita las aprobaciones ilimitadas y revoca las antiguas con regularidad.
- Usa una billetera de hardware para tus ahorros y guarda solo el dinero para gastos en una cuenta caliente.
- Mantén actualizados tu navegador y Rabby, y elimina las extensiones que no necesites.
Preguntas frecuentes
¿Rabby puede ver o mover mis fondos?
No. Rabby es de autocustodia. Tus claves están cifradas en tu dispositivo, así que Rabby no puede mover tus fondos ni recuperarlos por ti.
¿Alguna vez han hackeado Rabby Wallet?
El contrato de swap de Rabby fue explotado el 11 de octubre de 2022, con pérdidas reportadas de unos 114 ETH y 179 BNB, y se pidió a los usuarios revocar aprobaciones. Un fallo de la extensión que podía filtrar una firma con ciertas configuraciones se corrigió en agosto de 2026 sin explotación conocida. No se ha reportado ninguna brecha en el almacenamiento de claves de la billetera.
¿Rabby es más segura que MetaMask?
Rabby muestra simulaciones de transacciones y advertencias de riesgo por defecto, lo que ayuda a evitar errores comunes. Ambas son hot wallets con un almacenamiento de claves similar, así que los factores de seguridad más importantes son dónde la descargas, cómo manejas tu frase semilla y tus aprobaciones.
¿Es segura la app móvil de Rabby?
Las apps oficiales para iOS y Android fueron auditadas por Least Authority en 2024 y 2025, con algunos hallazgos abiertos. Instala solo la app de la ficha oficial de la tienda y comprueba el nombre del desarrollador.
¿El soporte de Rabby me pedirá alguna vez mi frase semilla?
Nunca. Cualquiera que te pida tu frase semilla o clave privada, incluido alguien que diga ser del soporte de Rabby, es un estafador. El soporte real nunca te contacta primero por mensaje directo.
¿Debo usar Rabby con una billetera de hardware?
Para montos grandes, sí. Rabby admite Ledger, Trezor, Keystone y varios otros dispositivos, así que tus claves se quedan en el dispositivo mientras conservas la vista previa de transacciones de Rabby.