Binance ha revocado todas las claves de interfaz de programación de aplicaciones (API) conectadas a la plataforma de trading de terceros SignalPlus después de que SignalPlus reportara un posible problema de seguridad en su propia infraestructura. El exchange anunció la medida el 5 de noviembre y la describió como una medida de precaución inmediata, señalando que sus sistemas internos no se vieron afectados y que los fondos de los usuarios permanecen seguros. La revocación cortó la conexión externa mediante la cual los usuarios de SignalPlus habían vinculado sus cuentas del exchange. Dado que cada usuario crea y posee sus propias credenciales API, la medida de precaución abarcó todas las claves vinculadas de la base de usuarios de la integración.

Binance no reveló si las cuentas conectadas a través de la integración experimentaron operaciones, retiros o pérdidas no autorizadas, ni identificó el número de cuentas afectadas. El exchange tampoco explicó la naturaleza de la vulnerabilidad, no nombró el componente afectado ni indicó cuándo podría restablecerse la conexión con SignalPlus.

Se les ha indicado a los traders que utilizaron la integración que inicien sesión directamente en Binance y revisen sus posiciones y órdenes abiertas. El exchange aconsejó esperar a que SignalPlus confirme una resolución completa antes de reconectar cualquier credencial, y recomendó la lista blanca de IP para restringir el acceso de la API a direcciones de internet aprobadas.

Following a potential security issue reported by third-party platform SignalPlus, we have proactively removed all API keys linked to SignalPlus as an immediate precautionary measure. Binance's own systems are unaffected. User funds remain safe. If you used SignalPlus, please… pic.twitter.com/0HYYkTAW2p

— Binance (@binance) November 5, 2026

(Fuente: Binance on X)

Las claves revocadas cortan el acceso de trading de SignalPlus

La eliminación de las claves API cortó el acceso de SignalPlus a las cuentas de Binance a través de las credenciales revocadas. Las claves API permiten que software externo aprobado lea información de la cuenta o ejecute operaciones, con capacidades determinadas por los permisos que cada cliente selecciona al crearlas. Por lo tanto, revocar las credenciales bloquea la integración por completo, incluso cuando un trader había autorizado previamente el acceso de trading.

SignalPlus opera un panel de opciones cripto que ofrece precios, análisis y herramientas de trading automatizado. Su guía de configuración de Binance describe conexiones separadas para trading y datos de cuenta, y permite a los usuarios seleccionar permisos que cubren trading spot y marginal, futuros y opciones. La guía también instruye a los usuarios a desactivar el permiso de retiro, una configuración que limita lo que el software conectado puede hacer si sus credenciales se ven comprometidas. Dado que el panel depende de esas conexiones API para sus datos y la ejecución de órdenes, la revocación desactivó efectivamente sus funciones de trading para los usuarios de Binance.

Los usuarios que tenían claves API de Binance a través de la integración deben tratar la conexión revocada como inactiva. No deben confiar en SignalPlus para mostrar la exposición actual o el estado de las órdenes. La instrucción de Binance de verificar directamente en el exchange ubica la verificación de la cuenta dentro de la propia interfaz de Binance en lugar del panel desconectado.

Binance guía a los usuarios a través de la revisión de seguridad

Binance indicó a los traders afectados que abrieran el exchange directamente y revisaran tanto sus posiciones como sus órdenes abiertas. Dicha verificación puede revelar si alguna orden permanece activa y si la exposición actual coincide con lo esperado. A partir de ahí, los traders pueden cancelar órdenes o ajustar posiciones en el propio Binance, sin depender de la plataforma desconectada. Ambas verificaciones pueden completarse sin pasar por SignalPlus.

El exchange no ha confirmado ninguna actividad no autorizada vinculada a SignalPlus, y tampoco ha declarado si algún cliente sufrió una pérdida. Estas omisiones dejan el problema de seguridad reportado sin resolver en las divulgaciones públicas. SignalPlus debe confirmar que sus sistemas son seguros antes de que los usuarios consideren reconectar sus claves API de Binance.

Las claves API no otorgan automáticamente todos los privilegios de la cuenta. Al crear las credenciales, los usuarios pueden elegir permisos de solo lectura, trading o retiro, y cuanto más limitado sea el conjunto de permisos, menos acciones puede realizar un servicio externo. El consejo de Binance de desactivar los retiros refleja ese principio, aunque los usuarios aún necesitan revocar credenciales desconocidas y revisar la actividad de la cuenta cada vez que aparezca una advertencia de seguridad.

La lista blanca de IP ofrece una capa adicional de protección al permitir solicitudes de API solo desde direcciones de internet específicas. Este control puede reducir la exposición cuando los usuarios conectan una cuenta de exchange a software externo, aunque no reemplaza una configuración cuidadosa de permisos ni verificaciones directas de la cuenta.

Advertencia más amplia a las plataformas integradas

El incidente también llevó a Binance a dirigirse a otras plataformas integradas con su exchange. La compañía les instó a revisar sus controles de seguridad, monitorear actividad inusual y reportar inquietudes sin demora. Esa advertencia más amplia subraya los riesgos que se crean cuando los traders otorgan acceso a sus cuentas de exchange a servicios externos. El episodio también ilustra cómo las integraciones de exchange concentran la dependencia en la capa del proveedor, donde un solo informe de seguridad de un tercero puede desencadenar una respuesta de todo el exchange que alcanza al mismo tiempo todas las cuentas vinculadas a través de ese proveedor.

Los usuarios de SignalPlus deben monitorear las notificaciones de la cuenta y los registros de transacciones mientras continúa la investigación, y confirmar que no permanezcan activas órdenes o permisos desconocidos. Binance no ha proporcionado un cronograma para una resolución más amplia, dejando a los usuarios dependientes de nuevas actualizaciones de ambas compañías.

Fuente: Blockonomi