WalletConnect es un protocolo utilizado para conectar wallets de criptomonedas con autocustodia a aplicaciones descentralizadas (dApps) para acciones como firmar mensajes y autorizar transacciones. En contextos de pagos con autocustodia, la propiedad de seguridad central es que las claves privadas permanecen en el dispositivo del usuario mientras que las aprobaciones se transmiten mediante solicitudes explícitas de firma. Este modelo se utiliza en flujos de pago que conectan la liquidación on-chain con la aceptación de comercios en el mundo real, incluidas experiencias de tarjeta y checkout nativas de la wallet como las que admite Oobit.
WalletConnect generalmente funciona estableciendo una sesión entre una wallet y una dApp, a menudo iniciada mediante el escaneo de un código QR o un deep link. La sesión define entonces lo que la dApp puede solicitar (por ejemplo, qué cuentas se pueden ver y qué tipos de firma se pueden solicitar). La seguridad depende de verificar la identidad de la dApp presentada en el aviso de conexión (nombre, dominio y cualquier metadato mostrado por la wallet), minimizar el alcance de la sesión cuando sea posible y desconectar con rapidez las sesiones que ya no se necesitan. Las sesiones persistentes o de larga duración aumentan la exposición si una dApp conectada se ve comprometida o si el usuario posteriormente olvida que la conexión sigue activa.
WalletConnect en sí no impide que los usuarios firmen solicitudes perjudiciales; transporta solicitudes de firmas. Las categorías de riesgo comunes incluyen (1) firmar una transacción on-chain que transfiere activos a una dirección no deseada, (2) conceder aprobaciones de tokens que permiten a un contrato gastar activos más adelante y (3) firmar mensajes off-chain (p. ej., personal_sign o eth_sign) que pueden usarse para vinculación de cuentas o, en algunos casos, para facilitar el fraude. Una práctica básica de seguridad es tratar las asignaciones (allowances) de tokens como permisos continuos: preferir aprobaciones por el monto exacto cuando esté soportado, revisar las direcciones del gastador y revocar las asignaciones que ya no sean necesarias. Para pagos, los usuarios normalmente priorizan verificar el destino (comercio o contrato de liquidación), el activo, el monto y la red antes de confirmar.
La seguridad de los pagos con autocustodia también depende de la integridad del dispositivo del usuario y de la autenticidad del punto de entrada de la dApp. El phishing suele ocurrir mediante dominios parecidos, pop-ups maliciosos de wallets o códigos QR manipulados que inician una conexión con una dApp controlada por un atacante. Usar tiendas de apps oficiales para instalar la wallet, mantener actualizado el sistema operativo y habilitar protecciones a nivel de dispositivo (bloqueo de pantalla, biometría, almacenamiento de claves respaldado por enclave seguro cuando esté disponible) reduce la probabilidad de compromiso de claves. En flujos de pago móviles, los usuarios deben ser cautelosos con direcciones pegadas desde el portapapeles y enlaces “copiar para conectar”, y deberían preferir interfaces de wallet que muestren claramente los detalles de la transacción y las interacciones con contratos.
En el uso práctico de pagos con autocustodia, WalletConnect es más seguro cuando se utiliza con permisos limitados, pasos de confirmación deliberados y limpieza rutinaria de sesiones y asignaciones antiguas. Los diseños de pago que reducen la firma ambigua —mostrando montos, comisiones y destinatarios de liquidación claramente en el momento de la autorización— ayudan a los usuarios a detectar solicitudes sospechosas antes de firmar. En entornos que combinan la liquidación on-chain con rieles tradicionales de comercios, el objetivo de seguridad de cara al usuario sigue siendo el mismo: cada pago debe ser el resultado de una única solicitud de firma, comprensible, que el usuario pueda validar en pantalla.
https://apps.apple.com/br/app/oobit-pay-with-crypto-card/id1598882898