Binance a révoqué toutes les clés d'interface de programmation d'applications (API) connectées à la plateforme de trading tierce SignalPlus après que SignalPlus a signalé un problème de sécurité potentiel sur sa propre infrastructure. L'échange a annoncé cette mesure le 5 novembre, la décrivant comme une précaution immédiate, et a indiqué que ses systèmes internes n'étaient pas affectés et que les fonds des utilisateurs restaient en sécurité. La révocation a coupé la connexion externe par laquelle les utilisateurs de SignalPlus avaient lié leurs comptes d'échange. Comme chaque utilisateur crée et détient ses propres identifiants API, cette mesure de précaution a couvert toutes les clés liées de la base d'utilisateurs de l'intégration.

Binance n'a pas révélé si les comptes connectés via l'intégration avaient subi des trades, des retraits ou des pertes non autorisés, et n'a pas identifié le nombre de comptes concernés. L'échange n'a pas non plus expliqué la nature de la vulnérabilité, nommé le composant affecté, ni indiqué quand la connexion avec SignalPlus pourrait être rétablie.

Les traders ayant utilisé l'intégration ont été invités à se connecter directement à Binance et à vérifier leurs positions et ordres ouverts. L'échange a conseillé d'attendre que SignalPlus confirme une résolution complète avant de reconnecter des identifiants, et a recommandé la liste blanche IP pour restreindre l'accès API aux adresses internet approuvées.

Following a potential security issue reported by third-party platform SignalPlus, we have proactively removed all API keys linked to SignalPlus as an immediate precautionary measure. Binance's own systems are unaffected. User funds remain safe. If you used SignalPlus, please… pic.twitter.com/0HYYkTAW2p

— Binance (@binance) November 5, 2026

(Source : Binance on X)

La révocation des clés coupe l'accès de trading de SignalPlus

La suppression des clés API a coupé l'accès de SignalPlus aux comptes Binance via les identifiants révoqués. Les clés API permettent aux logiciels externes approuvés de lire des informations de compte ou d'exécuter des trades, leurs capacités étant déterminées par les permissions que chaque client sélectionne lors de leur création. La révocation des identifiants bloque donc entièrement l'intégration, même lorsqu'un trader avait précédemment autorisé l'accès au trading.

SignalPlus exploite un tableau de bord d'options crypto offrant des outils de tarification, d'analyse et de trading automatisé. Son guide de configuration Binance décrit des connexions séparées pour le trading et les données de compte, et permet aux utilisateurs de sélectionner des permissions couvrant le trading au comptant et sur marge, les futures et les options. Le guide demande également aux utilisateurs de désactiver la permission de retrait — un paramètre qui limite ce que les logiciels connectés peuvent faire si leurs identifiants sont compromis. Le tableau de bord s'appuyant sur ces connexions API pour ses données et l'exécution des ordres, la révocation a de fait désactivé ses fonctions de trading pour les utilisateurs Binance.

Les utilisateurs détenant des clés API Binance via l'intégration doivent considérer la connexion révoquée comme inactive. Ils ne doivent pas se fier à SignalPlus pour afficher leur exposition actuelle ou le statut de leurs ordres. La consigne de Binance de vérifier directement l'échange place la vérification du compte dans l'interface propre de Binance plutôt que dans le tableau de bord déconnecté.

Binance accompagne les utilisateurs dans la vérification de sécurité

Binance a demandé aux traders concernés d'ouvrir directement l'échange et de vérifier leurs positions ainsi que leurs ordres ouverts. Cette vérification peut révéler si des ordres restent actifs et si l'exposition actuelle correspond aux attentes. Les traders peuvent ensuite annuler des ordres ou ajuster leurs positions sur Binance lui-même, sans dépendre de la plateforme déconnectée. Les deux vérifications peuvent être effectuées sans passer par SignalPlus.

L'échange n'a confirmé aucune activité non autorisée liée à SignalPlus, et n'a pas indiqué si un client avait subi une perte. Ces omissions laissent le problème de sécurité signalé non résolu dans les divulgations publiques. SignalPlus doit confirmer que ses systèmes sont sécurisés avant que les utilisateurs envisagent de reconnecter leurs clés API Binance.

Les clés API n'accordent pas automatiquement tous les privilèges d'un compte. Lors de la création des identifiants, les utilisateurs peuvent choisir des permissions en lecture seule, de trading ou de retrait, et plus l'ensemble de permissions est restreint, moins un service externe peut effectuer d'actions. La recommandation de Binance de désactiver les retraits reflète ce principe, même si les utilisateurs doivent toujours révoquer les identifiants inconnus et vérifier l'activité de leur compte dès qu'un avertissement de sécurité apparaît.

La liste blanche IP offre une couche de protection supplémentaire en n'autorisant les requêtes API que depuis des adresses internet spécifiées. Ce contrôle peut réduire l'exposition lorsque les utilisateurs connectent un compte d'échange à un logiciel externe, mais il ne remplace pas des paramètres de permissions rigoureux ni des vérifications directes du compte.

Avertissement élargi aux plateformes intégrées

L'incident a également amené Binance à s'adresser aux autres plateformes intégrées à son échange. La société les a exhortées à revoir leurs contrôles de sécurité, à surveiller toute activité inhabituelle et à signaler sans délai toute préoccupation. Cet avertissement élargi souligne les risques créés lorsque les traders accordent à des services externes l'accès à leurs comptes d'échange. L'épisode illustre également comment les intégrations d'échange concentrent la dépendance au niveau du fournisseur, où un simple rapport de sécurité tiers peut déclencher une réponse à l'échelle de l'échange touchant simultanément tous les comptes liés via ce fournisseur.

Les utilisateurs de SignalPlus doivent surveiller les notifications de compte et les enregistrements de transactions pendant que l'enquête se poursuit, et confirmer qu'aucun ordre ou permission inhabituel ne reste actif. Binance n'a fourni aucun calendrier pour une résolution plus large, laissant les utilisateurs dépendants des mises à jour des deux sociétés.

Source : Blockonomi