Binance odwołał wszystkie klucze API (interfejsu programowania aplikacji) powiązane z platformą handlową SignalPlus po tym, jak SignalPlus zgłosił potencjalny problem bezpieczeństwa we własnej infrastrukturze. Giełda ogłosiła ten krok 5 listopada i opisała go jako natychmiastowy środek ostrożności, oświadczając, że jej systemy wewnętrzne nie zostały naruszone, a środki użytkowników pozostają bezpieczne. Odwołanie kluczy przerwało zewnętrzne połączenie, poprzez które użytkownicy SignalPlus łączyli swoje konta giełdowe. Ponieważ każdy użytkownik tworzy i przechowuje własne dane uwierzytelniające API, środek ostrożności objął wszystkie powiązane klucze w całej bazie użytkowników integracji.

Binance nie ujawnił, czy konta połączone poprzez integrację doświadczyły nieautoryzowanych transakcji, wypłat ani strat, i nie podał liczby dotkniętych kont. Giełda nie wyjaśniła również charakteru luki, nie wskazała dotkniętego komponentu ani nie podała, kiedy połączenie z SignalPlus może zostać przywrócone.

Traderom, którzy korzystali z integracji, zalecono bezpośrednie zalogowanie się na Binance i sprawdzenie swoich pozycji oraz otwartych zleceń. Giełda zaleciła odczekanie z ponownym łączeniem jakichkolwiek danych uwierzytelniających do czasu potwierdzenia pełnego rozwiązania przez SignalPlus oraz rekomendowała stosowanie białych list adresów IP w celu ograniczenia dostępu API do zatwierdzonych adresów internetowych.

Following a potential security issue reported by third-party platform SignalPlus, we have proactively removed all API keys linked to SignalPlus as an immediate precautionary measure. Binance's own systems are unaffected. User funds remain safe. If you used SignalPlus, please… pic.twitter.com/0HYYkTAW2p

— Binance (@binance) November 5, 2026

(Źródło: Binance na X)

Odwołane klucze odczęły dostęp handlowy SignalPlus

Usunięcie kluczy API odczęło dostęp SignalPlus do kont Binance poprzez odwołane dane uwierzytelniające. Klucze API pozwalają zatwierdzonemu oprogramowaniu zewnętrznemu odczytywać informacje o koncie lub wykonywać transakcje, a ich możliwości zależą od uprawnień wybranych przez każdego klienta przy ich tworzeniu. Odwołanie danych uwierzytelniających blokuje więc integrację całkowicie, nawet gdy trader wcześniej zezwolił na dostęp handlowy.

SignalPlus prowadzi dashboard opcji kryptowalut oferujący wyceny, analizy oraz narzędzia do handlu automatycznego. Jego przewodnik konfiguracji Binance opisuje osobne połączenia dla handlu i danych konta, a użytkownicy mogą wybierać uprawnienia obejmujące handel spot i z depozytem zabezpieczającym, kontrakty futures oraz opcje. Przewodnik instruuje również użytkowników, aby wyłączali uprawnienie do wypłat — ustawienie to ogranicza możliwości podłączonego oprogramowania w przypadku naruszenia jego danych uwierzytelniających. Ponieważ dashboard polega na tych połączeniach API przy pozyskiwaniu danych i realizacji zleceń, odwołanie kluczy skutecznie wyłączyło jego funkcje handlowe dla użytkowników Binance.

Użytkownicy posiadający klucze API Binance poprzez integrację powinni traktować odwołane połączenie jako nieaktywne. Nie powinni polegać na SignalPlus w kwestii wyświetlania bieżącej ekspozycji ani statusu zleceń. Instrukcja Binance, aby sprawdzać giełdę bezpośrednio, przenosi weryfikację konta do interfejsu samego Binance, a nie do odłączonego dashboardu.

Binance przeprowadza użytkowników przez przegląd bezpieczeństwa

Binance polecił dotkniętym traderom otwarcie giełdy bezpośrednio i przegląd zarówno pozycji, jak i otwartych zleceń. Takie sprawdzenie może ujawnić, czy jakieś zlecenia pozostają aktywne oraz czy bieżąca ekspozycja odpowiada oczekiwaniom. Następnie traderzy mogą anulować zlecenia lub dostosować pozycje bezpośrednio na Binance, nie polegając na odłączonej platformie. Oba sprawdzenia można wykonać bez korzystania z SignalPlus.

Giełda nie potwierdziła żadnej nieautoryzowanej aktywności powiązanej z SignalPlus ani nie oświadczyła, czy jakikolwiek klient poniósł stratę. Te braki pozostawiają zgłoszony problem bezpieczeństwa nierozwiązanym w publicznych komunikatach. SignalPlus musi potwierdzić, że jego systemy są bezpieczne, zanim użytkownicy rozważą ponowne podłączenie kluczy API Binance.

Klucze API nie przyznają automatycznie wszystkich uprawnień konta. Przy tworzeniu danych uwierzytelniających użytkownicy mogą wybrać uprawnienia tylko do odczytu, handlu lub wypłat, a im węższy zestaw uprawnień, tym mniej działań może wykonać usługa zewnętrzna. Zalecenie Binance dotyczące wyłączania wypłat odzwierciedla tę zasadę, choć użytkownicy nadal muszą odwoływać nieznane dane uwierzytelniające i przeglądać aktywność konta przy każdym pojawieniu się ostrzeżenia o bezpieczeństwie.

Białe listy adresów IP oferują dodatkową warstwę ochrony, dopuszczając żądania API wyłącznie z określonych adresów internetowych. Ta kontrola może zmniejszyć ekspozycję, gdy użytkownicy łączą konto giełdowe z oprogramowaniem zewnętrznym, choć nie zastępuje starannych ustawień uprawnień ani bezpośrednich kontroli konta.

Szerzej: ostrzeżenie dla zintegrowanych platform

Incydent skłonił również Binance do zwrócenia się do innych platform zintegrowanych z giełdą. Spółka wezwała je do przeglądu zabezpieczeń, monitorowania nietypowej aktywności i niezwłocznego zgłaszania obaw. To szersze ostrzeżenie podkreśla ryzyka powstające, gdy traderzy udzielają usługom zewnętrznym dostępu do swoich kont giełdowych. Wydarzenie ilustruje też, jak integracje giełdowe koncentrują zależności na poziomie dostawcy, gdzie pojedyncze zgłoszenie problemu bezpieczeństwa przez stronę trzecią może uruchomić reakcję obejmującą całą giełdę i jednocześnie dotrzeć do każdego konta powiązanego przez tego dostawcę.

Użytkownicy SignalPlus powinni monitorować powiadomienia konta i zapisy transakcji, dopóki trwa postępowanie wyjaśniające, oraz potwierdzić, że nie pozostają aktywne żadne nieznane zlecenia ani uprawnienia. Binance nie podał harmonogramu szerszego rozwiązania, pozostawiając użytkowników zależnych od dalszych aktualizacji obu firm.

Źródło: Blockonomi