Binance ha revocato tutte le chiavi API (application programming interface) collegate alla piattaforma di trading di terze parti SignalPlus dopo che SignalPlus ha segnalato un potenziale problema di sicurezza sulla propria infrastruttura. L'exchange ha annunciato la misura il 5 novembre, descrivendola come precauzione immediata, e ha dichiarato che i propri sistemi interni non sono stati interessati e che i fondi degli utenti sono rimasti al sicuro. La revoca ha interrotto la connessione esterna tramite la quale gli utenti di SignalPlus avevano collegato i propri account di exchange. Poiché ogni utente crea e conserva le proprie credenziali API, la misura precauzionale ha coperto tutte le chiavi collegate dell'intera base utenti dell'integrazione.

Binance non ha reso noto se gli account collegati tramite l'integrazione abbiano subito operazioni, prelievi o perdite non autorizzate, e non ha indicato il numero di account coinvolti. L'exchange non ha inoltre spiegato la natura della vulnerabilità, identificato il componente interessato né indicato quando la connessione con SignalPlus possa essere ripristinata.

Ai trader che hanno utilizzato l'integrazione è stato chiesto di accedere direttamente a Binance e di verificare le proprie posizioni e gli ordini aperti. L'exchange ha consigliato di attendere che SignalPlus confermi una risoluzione completa prima di ricollegare eventuali credenziali, e ha raccomandato l'IP whitelisting per limitare l'accesso API agli indirizzi internet approvati.

Following a potential security issue reported by third-party platform SignalPlus, we have proactively removed all API keys linked to SignalPlus as an immediate precautionary measure. Binance's own systems are unaffected. User funds remain safe. If you used SignalPlus, please… pic.twitter.com/0HYYkTAW2p

— Binance (@binance) November 5, 2026

(Fonte: Binance su X)

Le chiavi revocate interrompono l'accesso di trading di SignalPlus

La rimozione delle chiavi API ha interrotto l'accesso di SignalPlus agli account Binance tramite le credenziali revocate. Le chiavi API consentono al software esterno approvato di leggere le informazioni dell'account o eseguire operazioni, con capacità determinate dalle autorizzazioni selezionate da ciascun cliente al momento della creazione. La revoca delle credenziali blocca quindi l'integrazione nel suo complesso, anche nel caso in cui un trader avesse in precedenza autorizzato l'accesso al trading.

SignalPlus gestisce una dashboard per opzioni crypto che offre prezzi, analisi e strumenti di trading automatizzato. La sua guida di configurazione per Binance descrive connessioni separate per il trading e i dati dell'account, e consente agli utenti di selezionare autorizzazioni per il trading spot e a margine, i futures e le opzioni. La guida indica inoltre agli utenti di disattivare l'autorizzazione ai prelievi — un'impostazione che limita ciò che il software collegato può fare se le sue credenziali vengono compromesse. Poiché la dashboard si affida a quelle connessioni API per i dati e l'esecuzione degli ordini, la revoca ha di fatto disattivato le sue funzioni di trading per gli utenti Binance.

Gli utenti che possedevano chiavi API Binance tramite l'integrazione dovrebbero considerare la connessione revocata come inattiva. Non dovrebbero affidarsi a SignalPlus per visualizzare l'esposizione attuale o lo stato degli ordini. L'istruzione di Binance di verificare direttamente sull'exchange colloca la verifica dell'account all'interno dell'interfaccia stessa di Binance, anziché nella dashboard disconnessa.

Binance guida gli utenti nella revisione di sicurezza

Binance ha chiesto ai trader coinvolti di aprire direttamente l'exchange e verificare sia le posizioni sia gli ordini aperti. Tale controllo può rivelare se vi sono ordini ancora attivi e se l'esposizione attuale corrisponde alle aspettative. Da lì, i trader possono annullare ordini o modificare posizioni direttamente su Binance, senza dipendere dalla piattaforma disconnessa. Entrambi i controlli possono essere completati senza passare da SignalPlus.

L'exchange non ha confermato alcuna attività non autorizzata collegata a SignalPlus, e non ha dichiarato se alcun cliente abbia subito perdite. Queste omissioni lasciano il problema di sicurezza segnalato irrisolto nelle dichiarazioni pubbliche. SignalPlus deve confermare che i propri sistemi sono sicuri prima che gli utenti valutino di ricollegare le proprie chiavi API Binance.

Le chiavi API non conferiscono automaticamente tutti i privilegi dell'account. Al momento della creazione delle credenziali, gli utenti possono scegliere autorizzazioni di sola lettura, di trading o di prelievo, e più ristretto è il set di autorizzazioni, meno azioni un servizio esterno può eseguire. Il consiglio di Binance di disattivare i prelievi riflette tale principio, anche se gli utenti devono comunque revocare credenziali non riconosciute e verificare l'attività dell'account ogni volta che compare un avviso di sicurezza.

L'IP whitelisting offre un ulteriore livello di protezione consentendo richieste API solo da indirizzi internet specificati. Questo controllo può ridurre l'esposizione quando gli utenti collegano un account di exchange a software esterno, pur non sostituendo impostazioni di autorizzazione accurate o verifiche dirette dell'account.

Avvertimento più ampio alle piattaforme integrate

L'incidente ha spinto Binance a rivolgersi anche alle altre piattaforme integrate con il proprio exchange. La società le ha invitate a rivedere i propri controlli di sicurezza, monitorare attività insolite e segnalare eventuali problemi senza ritardi. Quell'avvertimento più ampio sottolinea i rischi creati quando i trader concedono a servizi esterni l'accesso ai propri account di exchange. L'episodio illustra inoltre come le integrazioni con gli exchange concentrino la dipendenza a livello di fornitore, dove un singolo report di sicurezza di terze parti può innescare una risposta a livello di exchange che raggiunge simultaneamente ogni account collegato tramite quel fornitore.

Gli utenti di SignalPlus dovrebbero monitorare le notifiche dell'account e i registri delle transazioni mentre l'indagine è in corso, e confermare che non vi siano ordini o autorizzazioni non riconosciute rimasti attivi. Binance non ha fornito un calendario per una risoluzione più ampia, lasciando gli utenti dipendenti da ulteriori aggiornamenti di entrambe le società.

Fonte: Blockonomi