币安紧急撤销SignalPlus API密钥，新手要看懂交易所授权风险

11月5日，币安和Deribit做了一个动作，很多平时使用自动交易工具的人可能都要留意一下。

两家交易平台主动撤销了所有与SignalPlus关联的API密钥。

原因是SignalPlus报告了潜在的安全问题。

这里先说清楚，目前公开消息并没有说币安自己的系统被这次事件攻破了。Reuters报道里，币安表示自己的系统没有受到影响，用户资金安全；Deribit也表示，调查没有发现自己的系统或数据受到影响。

但这件事有一个很实际的问题：

你平时用第三方软件看行情、做自动交易，甚至让它帮你下单的时候，到底给了它多少权限？

这个东西叫API密钥。

我用最简单的话解释。

假设你在交易所里面有一个账户，平时你自己登录网页或者APP，输入密码、验证身份，然后买币卖币。

现在你想用一个第三方软件，帮你自动盯盘，或者按照你设置的条件自动下单。

这个软件怎么知道你是谁？又怎么获得你账户里的交易数据？

通常就需要通过API接口连接。

API你可以理解成两个软件之间的通道。

API密钥则像一张授权通行证，让第三方软件按照你给的权限，访问交易所的部分功能。

注意啊，它不是普通的登录密码，但也绝对不能随便给别人。

因为有些API密钥，不只是能看数据，还能执行交易操作。

这就涉及到最关键的地方：权限。

一般来说，API权限可以分成几类，具体名称会根据交易所和接口设计有所不同。

只读权限。

这个最容易理解，就是允许第三方软件读取账户信息、余额、订单或者行情数据，但不能替你下单。

交易权限。

这种权限就更大了，第三方软件可以按照授权范围帮你创建订单、取消订单，或者执行其他交易操作。

提现权限。

这个风险就更高了。如果接口允许提现，并且密钥又被别人拿到，就可能产生资产转出的风险。

所以这里有个非常重要的原则：

一个软件只需要看行情，就不要给它交易权限；只需要帮你下单，就不要额外给它提现权限。

说白了就是，别人只需要一把开门的钥匙，你没必要把整个房子的钥匙串都交出去。

这个原则在网络安全里面叫最小权限原则。

就是只给对方完成工作所需要的最低权限。

币安自己的API安全说明也专门讲了密钥权限、访问限制和安全管理。它建议用户根据实际用途设置权限，而不是把所有权限都打开。

再回到SignalPlus这件事。

为什么币安要主动把相关API密钥撤销？

因为第三方平台出现潜在安全问题时，交易所不能只等着用户自己处理。

如果某个第三方软件之前获得了用户的API授权，那么在风险没有排除之前，先切断这条连接，是一种保护措施。

这就像你把家门钥匙交给了一个维修公司，后来发现这家公司内部可能出现安全问题。

你肯定会先把钥匙换掉，而不是继续让它随便进出。

不过，这里也要注意一个细节。

撤销API密钥，不等于用户的交易所账户被注销，也不等于资产自动消失。

它主要是切断原来第三方软件通过这把密钥访问账户的通道。

但如果你正在运行自动交易策略，密钥被撤销以后，机器人可能就无法继续正常下单、读取订单或者更新数据。

所以不能只想着撤销就完事了。

还要自己登录交易所，检查当前持仓和未成交订单。

这也是币安当时提醒SignalPlus用户要直接登录账户检查仓位和挂单的原因。

那普通新人平时有没有必要创建API密钥？

说实话，如果你只是买一点现货，偶尔看看行情，自己手动下单，根本不需要为了显得专业，专门去申请API密钥。

很多人刚接触币圈，看到别人使用量化软件、自动交易机器人，就觉得自己也得弄一个。

其实没必要。

你连现货交易、限价单、市价单都还没弄明白，就急着把账户接到第三方工具上，反而增加了不必要的风险。

如果以后确实需要用到，也别急着授权。

我建议你记住几个细节。

第一，先确认软件到底是谁开发的。

不要只看宣传页面做得漂亮，也不要因为某个群里有人推荐，就直接把API密钥交出去。

最好从项目官方渠道核实软件来源，确认官网域名，别通过陌生人发来的安装包或者链接下载。

第二，权限能少就少。

只需要读取账户数据，就只开读取权限。

需要交易功能，也只开交易所要求的必要权限。

如果一个工具明明只是看行情，却要求你开放交易和提现权限，那就要多问一句为什么。

第三，尽量开启IP白名单。

这个词听起来有点技术，其实很好理解。

IP白名单就是规定，只有你认可的某些网络地址，才能使用这把API密钥。

比如你自己的服务器IP是一个固定地址，就可以把它加入允许名单。

别人即使拿到了密钥，如果从不在白名单里的IP发起请求，也会受到限制。

当然，前提是交易所支持这个功能，而且你的使用环境有固定IP。

币安的API说明提到，部分高风险权限需要设置IP访问限制；Deribit的账户安全说明也介绍了IP白名单的作用。

第四，不用了就撤销。

很多人以前为了试一个量化软件，创建了一把API密钥。

后来软件不用了，账户也不再连接了。

但密钥还一直留在那里。

这个习惯不太好。

你可以定期检查自己的API密钥列表，把不认识的、已经不用的、来源不清楚的授权撤销掉。

如果发现异常，先从交易所官方账户页面处理，不要通过第三方软件提供的所谓客服入口操作。

还有一点，API Secret，也就是密钥里的秘密部分，千万别截图发群里，更不要放到公开代码仓库、网盘共享文件或者陌生网站上。

它跟普通的API Key标识不是一回事。

尤其是Secret，必须按密码一样保护。

这次SignalPlus事件，其实给普通用户提了个醒。

以前大家总觉得，只要交易所账户密码没泄露，资产就没问题。

但现在很多人会连接行情软件、量化工具、自动交易程序，账户和第三方服务之间多了一层授权关系。

你账户本身可能没被别人登录，可是你授权出去的那把API密钥，可能已经成为新的风险入口。

所以啊，别为了省几分钟操作，把账户权限全部交给一个自己都不太了解的软件。

如果你目前只是刚开始接触交易，先把充值、提现、现货买卖和订单管理弄明白就可以了。

等你真的知道自己为什么需要自动交易，再去研究API也不迟。

账户里有多少钱是一回事。

你到底授权了谁，可以替你做什么，又是另一回事。