Дозволи Crypto API: ключ лише для торгівлі все ще може втрачати гроші
Вимкнення зняття коштів за ключем API усуває один шлях для переміщення коштів, але це не робить торгову інтеграцію безпечною. Ключ, який може надсилати замовлення, все одно може створювати небажані позиції, стягувати комісії або торгувати через неліквідний ринок. Оцініть дії, які може виконати інтеграція, а також інформацію, яку вона може зчитати.
Налаштування дозволів на певну роботу
Інструмент звітності може потребувати баланси та історію без дозволу на торгівлю. Інструменту виконання може знадобитися подання та скасування замовлення. Перекази, зняття коштів і зміни конфігурації облікового запису є окремими можливостями, які не слід увімкнути лише тому, що посібник із налаштування вимагає широкого доступу.
Назви дозволів залежать від платформи. Перевірте поточну документацію та фактичний екран авторизації. Офіційна документація API OrangeX розрізняє публічні та приватні методи та описує запитані області доступу. Це не означає, що на OrangeX існує кожен контроль, який пропонує інша біржа.
Чому лише торгівля все ще має значення
Розглянемо гіпотетичний рахунок з 1000 USDT. Шкідлива інтеграція неодноразово купує та продає, використовуючи ринкові замовлення. Навіть якщо зняття вимкнено, спреди, комісії та несприятливі зміни цін можуть зменшити баланс. Якщо ключ також дозволяє торгівлю за допомогою кредитного плеча, потенційні збитки та ризик ліквідації залежать від фактичного інструменту та засобів контролю за рахунком.
Другим ризиком є продаж у дрібну книгу замовлень або ненавмисна покупка неліквідного активу. Запобігання зовнішньому вилученню не накладає гарантовану ціну виконання або максимальний збиток на торгівлю. Відповідний захист — це набір обмежень щодо дозволених дій, розмірів та інструментів.
Порівняйте чотири рівні обмежень
По-перше, надайте лише дозволи, необхідні для завдання. По-друге, використовуйте підтримувані платформою обмеження, такі як списки дозволених IP-адрес або закінчення терміну дії, якщо вони фактично доступні. По-третє, налаштуйте список інструментів інтеграції, максимальний розмір замовлення та обмеження впливу. По-четверте, відстежуйте обліковий запис незалежно від цієї інтеграції.
Обмеження IP обмежує, звідки можуть надходити запити; це не робить скомпрометований дозволений сервер безпечним. Обмеження на стороні програмного забезпечення може не працювати, якщо саме програмне забезпечення скомпрометовано. Розглядайте ці елементи керування як додаткові та перевіряйте, які застосовуються біржею, а не лише ботом.
Захищайте секрети й тестуйте без доступу до реальної торгівлі
Не вставляйте секрет API у чат, знімки екрана, спільні електронні таблиці чи загальнодоступне сховище коду. Зберігайте облікові дані подалі від журналів і використовуйте захищене секретне сховище, яке відповідає навколишньому середовищу. Перш ніж надавати доступ, перевірте офіційний домен і оператора інтеграції.
Якщо доступне задокументоване тестове середовище, використовуйте його. В іншому випадку почніть із мінімальним повноваженням, необхідним для підтвердження з’єднання, і перевірте поведінку перед увімкненням додаткових дій. Ніколи не припускайте, що для запиту загальнодоступних даних потрібен секрет або що демонстраційний ключ взаємозамінний ключем реальної торгівлі.
Плануйте вимикач заздалегідь
Дізнайтеся, як відкликати ключ через інтерфейс офіційного облікового запису перед його підключенням. Переглядайте активні замовлення та позиції окремо під час відключення бота: відкликання облікових даних запобігає майбутнім авторизованим запитам, але не обов’язково скасовує наявні замовлення чи закриває доступ.
Якщо є підозра на компрометацію, скористайтеся офіційним інтерфейсом, щоб відкликати відповідний ключ, перевірити замовлення, позиції та історію передачі та зв’язатися з перевіреною службою підтримки. Зберігайте відповідні ідентифікатори без публікації секрету. Ключ для заміни має використовувати виправлені дозволи та перевірену інтеграцію, а не просто відновлення попередніх налаштувань.
Джерела
- OrangeX: офіційна автентифікація API та області доступу
- Kraken: безпека ключа API
- Kraken: приклади дозволів ключа API
Дослідження перевірено 5 листопада 2026 р. (Азія/Шанхай). Приклад облікового запису є гіпотетичним; наявність контролю необхідно перевірити на використовуваній платформі.
