Binance因安全警报撤销SignalPlus全部API密钥

Binance撤销全部SignalPlus密钥

Binance于11月5日(星期四)撤销了与SignalPlus关联的全部API密钥。此前,这家第三方交易基础设施供应商报告称其自身存在潜在安全漏洞。交易所在X平台发布的官方声明中表示,此举是保护用户的即时预防性措施,其自身系统未受影响,客户资金安全无虞。

@binance · X 帖子

官方声明.

在 X 上查看

公告同时明确了受影响客户的操作事项。任何使用过SignalPlus的用户被要求直接登录自己的Binance账户,核查未平仓头寸和未结订单,并在SignalPlus确认问题彻底解决之前暂缓重新绑定任何API密钥。Binance还建议启用IP白名单,该设置使密钥仅能从预先批准的地址运行,即便凭证泄露也能限制损失范围。声明不止针对个人用户:与该交易所对接的第三方平台同样被敦促审查自身安全控制措施,监控异常活动,发现疑点立即上报。

目前仍有大量细节缺失。安全问题的具体性质尚未说明,受影响用户数量不明,也没有任何攻击者访问客户账户或造成资金损失的情况得到确认。Binance的措辞将此事定性为潜在风险敞口,而非已证实的入侵。交易所一贯的安全指引要求用户在凭证可能泄露时立即撤销,并将API权限限制在所需的最小功能范围,周四的行动正是照此执行的。对SignalPlus用户而言,恢复自动化功能需要等待集成被判定安全后再生成新的凭证。

SignalPlus与API权限链条

SignalPlus为加密货币衍生品市场提供交易基础设施和分析工具,交易者通过API集成即可在一个界面内跨多家交易所管理头寸、运行策略。该平台覆盖期权分析、风险管理和自动化执行,因此其用户群体与活跃的合约交易席位高度重合。这类连接使外部应用能够直接操作交易所账户,客户无需将资产转出平台。

这种便利取决于权限范围。API密钥可以被限定为只读账户数据、执行不同订单类型的交易,或管理头寸;用户授予的权限有多大,密钥一旦泄露或被滥用,账户面临的未授权交易风险就有多大。这个区别很关键:与最终决定资金归属的私钥不同,API密钥授予的是有限且可撤销的访问权,但在其权限范围内,它依然可以在未经持有人同意的情况下改动头寸。

因此,这次撤销对SignalPlus用户是一把双刃剑。Binance一侧经由该集成的未授权访问风险下降了,但所有依赖这条连接的自动化策略,包括AI交易机器人配置和系统性期权对冲,都已停止管理相应账户。头寸仍留在交易所,却不再响应第三方应用的逻辑,对冲账本可能在交易者手动介入之前偏离原定状态。第三方工具的API安全事件并不新鲜:2022年,交易平台3Commas的凭证泄露曾在多家交易所引发安全警告和大规模密钥撤销潮。

预防措施,而非已证实的入侵

此事的一手记录就是Binance自己的公告,而这份公告措辞审慎:交易所没有确认任何入侵、损失或账户访问,只提到SignalPlus报告的一个潜在问题。把这次行动解读为一场已证实的攻击,超出了文件本身所陈述的内容。就实操而言,结论是操作层面的,而非取证层面的。在这种架构下,资金从未面临直接的托管风险,但活跃的自动化策略将面临中断,中断时长完全取决于SignalPlus何时、以及是否公布技术调查结果。经该平台路由、持有未平仓衍生品头寸的交易者,在集成被确认安全之前应以人工核查为默认操作;任何重新绑定密钥的用户,应先启用IP白名单再重新连接。