Binance отозвала все ключи API (application programming interface), связанные со сторонней торговой платформой SignalPlus, после того как SignalPlus сообщила о потенциальной проблеме безопасности в собственной инфраструктуре. Биржа объявила об этом шаге 5 ноября и охарактеризовала его как немедленную меру предосторожности, отметив, что её внутренние системы не затронуты, а средства пользователей остаются в безопасности. Отзыв разорвал внешнее соединение, через которое пользователи SignalPlus привязывали свои биржевые аккаунты. Поскольку каждый пользователь создаёт и хранит собственные API-учётные данные, мера предосторожности охватила все связанные ключи среди пользователей интеграции.

Binance не раскрыла, были ли по подключённым через интеграцию аккаунтам несанкционированные сделки, выводы средств или убытки, а также не указала количество затронутых аккаунтов. Биржа также не объяснила характер уязвимости, не назвала затронутый компонент и не сообщила, когда соединение с SignalPlus может быть восстановлено.

Трейдерам, использовавшим интеграцию, рекомендовано входить непосредственно на Binance и проверять свои позиции и открытые ордера. Биржа посоветовала дождаться, пока SignalPlus подтвердит полное решение проблемы, прежде чем повторно подключать какие-либо учётные данные, и порекомендовала IP-белые списки для ограничения доступа к API только с одобренных интернет-адресов.

Following a potential security issue reported by third-party platform SignalPlus, we have proactively removed all API keys linked to SignalPlus as an immediate precautionary measure. Binance's own systems are unaffected. User funds remain safe. If you used SignalPlus, please… pic.twitter.com/0HYYkTAW2p

— Binance (@binance) November 5, 2026

(Источник: Binance on X)

Отозванные ключи отключили SignalPlus доступ к торгам

Отзыв API-ключей отрезал SignalPlus доступ к аккаунтам Binance через отозванные учётные данные. API-ключи позволяют одобренному внешнему ПО считывать информацию об аккаунте или исполнять сделки, при этом возможности определяются разрешениями, которые каждый клиент выбирает при их создании. Поэтому отзыв учётных данных полностью блокирует интеграцию, даже если трейдер ранее предоставил торговый доступ.

SignalPlus управляет дашбордом криптовалютных опционов с ценами, аналитикой и инструментами автоматической торговли. Её руководство по настройке Binance описывает отдельные подключения для торговли и данных аккаунта, позволяя пользователям выбирать разрешения для спотовой и маржинальной торговли, фьючерсов и опционов. Руководство также предписывает отключать разрешение на вывод средств — настройка, ограничивающая возможности подключённого ПО в случае компрометации его учётных данных. Поскольку дашборд полагается на эти API-подключения для данных и исполнения ордеров, отзыв фактически отключил его торговые функции для пользователей Binance.

Пользователям, владевшим API-ключами Binance через интеграцию, следует считать отозванное соединение неактивным. Не стоит полагаться на SignalPlus для отображения текущей экспозиции или статуса ордеров. Указание Binance проверять биржу напрямую переносит проверку аккаунта в собственный интерфейс Binance, а не в отключённый дашборд.

Binance сопровождает пользователей при проверке безопасности

Binance велела затронутым трейдерам открыть биржу напрямую и проверить как позиции, так и открытые ордера. Такая проверка может показать, остаются ли ордера активными и соответствует ли текущая экспозиция ожиданиям. После этого трейдеры могут отменить ордера или скорректировать позиции на самой Binance, не завися от отключённой платформы. Обе проверки можно выполнить без обращения к SignalPlus.

Биржа не подтвердила никакую несанкционированную активность, связанную с SignalPlus, и не заявила, понёс ли какой-либо клиент убытки. Эти умолчания оставляют заявленную проблему безопасности нерешённой в публичных раскрытиях. SignalPlus должна подтвердить безопасность своих систем, прежде чем пользователи будут рассматривать повторное подключение API-ключей Binance.

API-ключи не предоставляют автоматически все привилегии аккаунта. При создании учётных данных пользователи могут выбрать разрешения только для чтения, торговли или вывода средств, и чем уже набор разрешений, тем меньше действий может выполнить внешний сервис. Совет Binance отключать вывод средств отражает этот принцип, хотя пользователям всё равно нужно отзывать незнакомые учётные данные и проверять активность аккаунта при любом появлении предупреждения о безопасности.

IP-белые списки предлагают дополнительный уровень защиты, допуская запросы к API только с указанных интернет-адресов. Этот контроль может снизить риски при подключении аккаунта биржи к внешнему ПО, однако не заменяет тщательную настройку разрешений и прямые проверки аккаунта.

Более широкое предупреждение интегрированным платформам

Инцидент также побудил Binance обратиться к другим платформам, интегрированным с биржей. Компания призвала их проверить меры безопасности, следить за необычной активностью и без промедления сообщать о проблемах. Это более широкое предупреждение подчёркивает риски, возникающие, когда трейдеры предоставляют внешним сервисам доступ к своим биржевым аккаунтам. Эпизод также показывает, как биржевые интеграции концентрируют зависимость на уровне поставщика, где одно сообщение о безопасности от третьей стороны может вызвать реакцию всей биржи, одновременно затрагивающую каждый аккаунт, привязанный через этого поставщика.

Пользователям SignalPlus следует отслеживать уведомления аккаунта и записи транзакций, пока продолжается расследование, и убедиться, что не осталось незнакомых ордеров или разрешений. Binance не представила сроков более широкого решения, оставив пользователей в зависимости от дальнейших обновлений обеих компаний.

Источник: Blockonomi