Binanceは、サードパーティ取引プラットフォームSignalPlusが自社インフラにおける潜在的なセキュリティ問題を報告したことを受け、SignalPlusに接続されたすべてのアプリケーションプログラミングインターフェース(API)キーを失効させました。同取引所は11月5日にこの措置を発表し、即時の予防措置であると説明したうえで、自社の内部システムには影響がなくユーザーの資産は安全であると述べました。この失効により、SignalPlusユーザーが取引所アカウントを連携していた外部接続は切断されました。各ユーザーが自身のAPI認証情報を作成・保有しているため、この予防措置は連携ユーザー全体にわたるすべての接続済みキーを対象としました。

Binanceは、この連携を通じて接続されたアカウントで不正な取引、出金、損失が発生したかどうかを明らかにしておらず、影響を受けたアカウント数も特定していません。また、脆弱性の性質についての説明、影響を受けたコンポーネントの特定、SignalPlusとの接続が復旧する時期の告知も行っていません。

この連携を利用していたトレーダーには、Binanceに直接ログインし、自身のポジションと未約定注文を確認するよう指示されています。同取引所は、認証情報を再接続する前にSignalPlusによる完全な解決の確認を待つよう助言し、承認されたインターネットアドレスにAPIアクセスを制限するためのIPホワイトリストの利用を推奨しています。

Following a potential security issue reported by third-party platform SignalPlus, we have proactively removed all API keys linked to SignalPlus as an immediate precautionary measure. Binance's own systems are unaffected. User funds remain safe. If you used SignalPlus, please… pic.twitter.com/0HYYkTAW2p

— Binance (@binance) November 5, 2026

(出典: Binance on X)

失効したキーによりSignalPlusの取引アクセスが遮断

APIキーの削除により、失効した認証情報を通じたBinanceアカウントへのSignalPlusのアクセスは遮断されました。APIキーにより、承認された外部ソフトウェアはアカウント情報の閲覧や取引の実行が可能となり、その機能範囲は各ユーザーが作成時に選択する権限によって決定されます。したがって、認証情報を失効させることで、トレーダーが以前に取引アクセスを許可していた場合でも、連携は完全にブロックされます。

SignalPlusは、価格情報、アナリティクス、自動取引ツールを提供する暗号資産オプションのダッシュボードを運営しています。同社のBinanceセットアップガイドでは、取引とアカウントデータに対する個別の接続が説明されており、ユーザーはスポット・証拠金取引、先物、オプションに対応する権限を選択できます。ガイドではさらに、出金権限を無効にするよう指示しています。これは、認証情報が漏洩した場合に接続ソフトウェアが実行できる操作を制限する設定です。ダッシュボードはデータと注文実行をこれらのAPI接続に依存しているため、今回の失効により、Binanceユーザー向けの取引機能は実質的に無効化されました。

この連携を通じてBinance APIキーを保有していたユーザーは、失効した接続を無効なものとして扱う必要があります。現在のエクスポージャーや注文状況をSignalPlusに依存してはなりません。取引所を直接確認するというBinanceの指示は、アカウント検証を、接続が切断されたダッシュボードではなくBinance自体のインターフェース内に位置付けるものです。

Binanceがセキュリティ確認の手順をユーザーに案内

Binanceは、影響を受けたトレーダーに対し、取引所を直接開いてポジションと未約定注文の両方を確認するよう指示しました。この確認により、注文が引き続き有効かどうか、現在のエクスポージャーが想定と一致しているかどうかが判明します。そのうえで、トレーダーは切断されたプラットフォームに頼ることなく、Binance自体で注文の取消しやポジションの調整を行うことができます。いずれの確認もSignalPlusを経由せずに完了できます。

同取引所は、SignalPlusに関連する不正なアクティビティを確認したことはなく、顧客に損失が発生したかどうかについても言及していません。これらの未公表の点により、報告されたセキュリティ問題は公開情報の上では未解決のままとなっています。ユーザーがBinance APIキーの再接続を検討する前に、SignalPlusは自社システムの安全性を確認する必要があります。

APIキーは、アカウントのすべての権限を自動的に付与するものではありません。認証情報の作成時、ユーザーは読み取り専用、取引、出金の権限を選択でき、権限の範囲が狭いほど外部サービスが実行できる操作は少なくなります。出金を無効にするというBinanceの助言はこの原則を反映したものですが、セキュリティ警告が表示された際には、ユーザーは依然として見覚えのない認証情報の失効とアカウントアクティビティの確認を行う必要があります。

IPホワイトリストは、指定されたインターネットアドレスからのAPIリクエストのみを許可することで、追加の保護レイヤーを提供します。この管理手段は、取引所アカウントを外部ソフトウェアに接続する際のリスクを低減できますが、慎重な権限設定やアカウントの直接確認に代わるものではありません。

連携プラットフォームへの広範な警告

このインシデントを受けて、Binanceは同取引所と連携する他のプラットフォームにも対応を呼びかけました。同社は、セキュリティ管理の見直し、異常なアクティビティの監視、懸念事項の遅延なき報告を要請しています。この広範な警告は、トレーダーが外部サービスに取引所アカウントへのアクセスを許可することで生じるリスクを浮き彫りにしています。この一件はまた、取引所との連携がベンダーレイヤーに依存を集中させる仕組みを示しており、第三者による一件のセキュリティ報告が、そのベンダーを通じて接続されたすべてのアカウントに同時に及ぶ取引所全体の対応を引き起こしうることを例証しています。

SignalPlusユーザーは、調査が続く間、アカウント通知と取引記録を監視し、見覚えのない注文や権限が有効なまま残っていないことを確認する必要があります。Binanceはより広範な解決に向けた時期を示しておらず、ユーザーは両社からのさらなる更新に頼る状況が続いています。

出典: Blockonomi