نشت کلید API صرافی ارز دیجیتال؟ مهاجمان واقعاً چه کاری می‌توانند انجام دهند

بیشتر راهنماها به شما می‌گویند که نشت کلید API بد است و در همین‌جا متوقف می‌شوند. سوال مفیدتر محدودتر است: کسی که کلید شما را در اختیار دارد، قبل از اینکه آن را ابطال کنید، واقعاً چه کاری می‌تواند با آن انجام دهد؟

پاسخ تقریباً کاملاً به یک تنظیم بستگی دارد — محدوده دسترسی متصل به کلید — و اینکه آیا صرافی اجازه می‌دهد کلید API اصلاً دارایی‌ها را از پلتفرم خارج کند یا خیر. در WEEX، این امکان وجود ندارد. از اوت ۲۰۲۶، مستندات API WEEX دقیقاً دو نوع دسترسی برای هر کلید ارائه می‌دهد، فقط خواندنی (Read-only) و معاملاتی (اسپات یا فیوچرز). هیچ دسترسی برداشت برای فعال‌سازی وجود ندارد و هیچ گزینه‌ای برای فعال ماندن تصادفی آن نیست.

این موضوع بدترین نتیجه را حذف می‌کند. اما ضرر را حذف نمی‌کند. یک کلید فقط معاملاتی قبلاً حساب‌ها را خالی کرده است و مکانیسم آن ارزش درک کردن قبل از ایجاد کلید بعدی شما را دارد.

آیا کسی می‌تواند با یک کلید API فقط معاملاتی، ارز دیجیتال شما را سرقت کند؟

نه با برداشت آن. آن‌ها آن را با معامله علیه شما می‌گیرند.

مورد مرجع، بایننس در ۳ ژوئیه ۲۰۱۸ است. مهاجمان حدود دو ماه را صرف فیشینگ اعتبار کاربران و تولید بی‌سروصدای کلیدهای API معاملاتی در حساب‌های هک‌شده کرده بودند. آن‌ها سپس سفارش‌های فروش را در دفتر سفارش کم‌عمق VIA/BTC در ۳۱ حساب متعلق به خود قرار دادند و از کلیدهای قربانیان برای خرید VIA در بازار در یک بازه زمانی دو دقیقه‌ای استفاده کردند. قیمت VIA نزدیک به ۷۰ برابر جهش کرد. موجودی قربانیان به یک آلت‌کوین غیرنقد در سقف قیمت تبدیل شده بود؛ حساب‌های مهاجمان دارای BTC بود. سیستم ریسک بایننس برداشت‌ها را مسدود کرد، معاملات را محلی‌سازی کرد و آن‌ها را معکوس کرد — اما خروج هرگز یک نقطه پایانی برداشت نبود. این دفتر سفارش بود.

آن الگو دلیلی است که چرا «بدون دسترسی برداشت» باید به عنوان یک کنترل خوانده شود تا امنیت کامل. قانون عملی: یک کلید معاملاتی فقط به اندازه کم‌نقدترین جفت ارزی که حساب شما می‌تواند به آن دسترسی داشته باشد، امن است.

نشت کلید API صرافی واقعاً از کجا می‌آید

سه منبع غالب هستند و تنها یکی از آن‌ها صرافی است.

کد و زیرساخت خودتان. گزارش وضعیت نشت اسرار GitGuardian در سال ۲۰۲۶، که در مارس ۲۰۲۶ منتشر شد، حدود ۲۹ میلیون راز جدید هاردکد شده را یافت که در طول سال ۲۰۲۵ به گیت‌هاب عمومی ارسال شده بود — ۳۴ درصد افزایش سال به سال و بزرگترین جهش یک‌ساله که گزارش ثبت کرده است. اسکریپرهای خودکار به‌طور مداوم کامیت‌های عمومی، Pastebin و تصاویر کانتینر را نظارت می‌کنند، بنابراین پنجره‌های افشا به جای روز، بر حسب دقیقه اندازه‌گیری می‌شوند.

ربات‌ها و ابزارهای پورتفولیوی شخص ثالث. در دسامبر ۲۰۲۲، یک حساب ناشناس شروع به انتشار پایگاه داده‌ای از حدود ۱۰۰,۰۰۰ کلید API مشتریان 3Commas کرد؛ مدیرعامل یوری سوروکین تأیید کرد که فایل‌ها معتبر هستند و از بایننس، کوکوین و سایر مکان‌ها خواست که هر کلید متصل را ابطال کنند. کاربران از اکتبر گزارش معاملات غیرمجاز را داده بودند و پلتفرم آن‌ها را قبل از تأیید نشت، به فیشینگ نسبت داده بود. هر کلیدی که به یک سرویس خارجی می‌دهید، وضعیت امنیتی آن سرویس — و زمان‌بندی افشای حادثه آن — را به ارث می‌برد.

فیشینگ. Chainalysis ثبت کرد که ۳.۴ میلیارد دلار در سراسر حوزه کریپتو در سال ۲۰۲۵ سرقت شده است، که در آن کیف پول‌های فردی و نشت اعتبار سهم فزاینده‌ای از حوادث را تشکیل می‌دهند، حتی زمانی که نشت‌های بزرگ صرافی‌ها بر مجموع دلاری غالب بودند. سرقت اعتبار مستقیماً به تولید کلید منجر می‌شود، همانطور که مورد بایننس در سال ۲۰۱۸ نشان داد.

یک کلید API نشت‌کرده WEEX چه کاری می‌تواند و چه کاری نمی‌تواند انجام دهد

جدول زیر از مستندات زنده API اسپات WEEX و سوالات متداول API، که آخرین بار در ۱۴ آوریل ۲۰۲۶ به‌روزرسانی شده، استخراج شده است. جزئیات می‌توانند با ارتقای سیستم تغییر کنند — قبل از ساختن بر اساس آن‌ها، مستندات را بررسی کنید.

کدهای خطا از نظر عملیاتی مهم هستند. -1052 INSUFFICIENT_PERMISSIONS چیزی است که یک کلید فقط خواندنی هنگام تلاش برای ثبت سفارش با آن مواجه می‌شود — که به این معنی است که یک -1052 رد شده در لاگ‌های شما، اولین سیگنال شماست که یک کلید در حال بررسی است. -1056 ILLEGAL_IP لیست سفید است که کار خود را انجام می‌دهد. -1055 USER_AUTH_NOT_SAFE حساب‌هایی را که شماره تلفن یا Google Authenticator را متصل نکرده‌اند، از استفاده از API مسدود می‌کند. لیست کامل در مرجع کدهای خطای API WEEX موجود است.

کنترل‌های امنیتی API WEEX که ارزش پیکربندی در روز اول را دارند

چندین مورد از این‌ها در سطح درخواست اعمال می‌شوند، نه به عنوان توصیه. اعداد زیر از مستندات اسپات WEEX و صفحه مدیریت API از اوت ۲۰۲۶ هستند.

آن ردیف آخر چیزی است که اکثر معامله‌گران از دست می‌دهند. WEEX حدود ۱۵ دقیقه پنجره انتشار جهانی برای کلیدهای API تازه ایجاد یا اصلاح‌شده را مستند می‌کند. بر اساس آن برنامه‌ریزی کنید: فرض نکنید تغییری که ذخیره کرده‌اید در همه جا فعال است و ویرایش محدوده کلید را به عنوان یک واکنش اضطراری در نظر نگیرید. حذف، واکنش اضطراری است.

طرح امضا نیز اگر در حال ساخت کلاینت خود هستید ارزش خواندن دقیق دارد — ترتیب دقیق الحاق و تحمل زمانی ۳۰ ثانیه‌ای دو چیزی هستند که اکثر اولین ادغام‌ها اشتباه انجام می‌دهند. WEEX هر دو را با مثال‌های کاری در صفحه امضای API خود مستند می‌کند.

چه کاری در ۱۰ دقیقه اول پس از نشت کلید API انجام دهیم

ترتیب در اینجا مهم‌تر از کامل بودن است. اول ابطال کنید؛ دوم تحقیق کنید.

1. کلید را حذف کنید. نه ویرایش، نه محدود کردن — حذف، در مدیریت API. مستندات خود WEEX صریح است: کلیدهای API به خطر افتاده را فوراً حذف کنید.
2. سفارش‌های باز را به‌صورت دستی در رابط وب لغو کنید. هر چیزی که کلید ثبت کرده پس از مرگ کلید فعال می‌ماند.
3. قرار گرفتن در معرض جفت‌های غیرنقد را کاهش دهید. اینجاست که ضررهای معاملات اجباری متمرکز می‌شوند.
4. تاریخچه معاملات حساب را برای پر شدن‌هایی که شما انجام نداده‌اید بررسی کنید، با زمان‌بندی. این مجموعه شواهد شما در صورت تماس با پشتیبانی است.
5. همه چیز را در پایین‌دست بچرخانید. اگر کلید در یک مخزن قرار داشت، فرض کنید تمام اسرار مخزن به خطر افتاده است، نه فقط آن کلید.
6. با لیست سفید IP و محدودترین دامنه‌ای که استراتژی نیاز دارد دوباره صادر کنید — فقط خواندنی اگر ربات فقط نظارت می‌کند.
7. سپس نگاه کنید که چگونه نشت کرده است. متغیرهای محیطی، سرویس شخص ثالث، اسکرین‌شات، صفحه فیشینگ. اگر نمی‌توانید به این پاسخ دهید، کلید جایگزین در همان مسیر است.

مرحله ۲ افراد را غافلگیر می‌کند. ابطال یک کلید درخواست‌های جدید را متوقف می‌کند؛ سفارش‌های در حال انتظار روی دفتر سفارش را لمس نمی‌کند.

ایجاد کلید API WEEX بدون ایجاد حفره

راه‌اندازی خود حدود یک دقیقه طول می‌کشد. به حساب → مدیریت API → ایجاد کلید API بروید و تأیید امنیتی را تکمیل کنید. سپس سه تصمیم بیشترین کار را انجام می‌دهند:

محدوده. کلیدهای جدید به‌طور پیش‌فرض Read Only هستند. فقط اگر استراتژی واقعاً سفارش ثبت می‌کند، Spot یا Futures/Contract را تیک بزنید. ابزارهای مالیاتی و پورتفولیو هرگز به حقوق معاملاتی نیاز ندارند.

لیست سفید IP. تا ۱۰ آدرس در هر کلید. اگر ربات شما روی یک VPS ثابت اجرا می‌شود، این تنظیم واحد، کلید نشت‌کرده را تقریباً بی‌فایده می‌کند — به سادگی -1056 را برمی‌گرداند. مستندات WEEX کلیدهای بدون محدودیت را یک ریسک امنیتی می‌نامد، که توصیف منصفانه‌ای از ریسک-پاداش است: شما دو دقیقه راه‌اندازی را ذخیره می‌کنید و بهترین کنترل مهار خود را از دست می‌دهید.

عبارت عبور. تعریف‌شده توسط کاربر، فقط الفبایی طبق سوالات متداول API WEEX، و غیرقابل بازیابی — آن را گم کنید و تنها راه یک کلید جدید است. آن را در همان ورودی مدیریت رمز عبور به عنوان راز ذخیره کنید، نه در فایل پیکربندی ربات.

یک عادت که ارزش اتخاذ فراتر از تنظیمات را دارد: یک کلید برای هر ربات، برای هر مکان، برای هر هدف. با توجه به اجازه ۱۰ کلید، هیچ هزینه‌ای ندارد و یک حادثه را از «همه چیز را ابطال کن و بازسازی کن» به «یکی را ابطال کن و به معامله ادامه بده» تبدیل می‌کند. جزئیات کامل پارامترها و محدودیت‌های نرخ در سوالات متداول API WEEX موجود است.

نکته پایانی

نشت کلید API صرافی ارز دیجیتال یک ریسک واحد با یک نتیجه واحد نیست. در مکانی که کلیدهای API نمی‌توانند برداشت کنند — همانطور که در WEEX است — قرار گرفتن در معرض از سرقت به معامله اجباری تغییر می‌کند و دفاع بر این اساس تغییر می‌کند: محدوده محدود، لیست سفید IP، یک کلید برای هر کار، و یک رفلکس ابطال-اول که منتظر نمی‌ماند تا تشخیص را تمام کنید. اپیزود VIA در سال ۲۰۱۸ و افشای 3Commas در سال ۲۰۲۲ هر دو همان چیزی را مجازات کردند که یک صرافی ضعیف نبود، بلکه کلیدی بود که گسترده‌تر و طولانی‌مدت‌تر از نیاز کار بود.

آماده ساختن هستید؟ کلید خود را در مدیریت API با پیش‌فرض‌های فقط خواندنی ایجاد کنید، لیست سفید IP خود را قبل از اضافه کردن حقوق معاملاتی اضافه کنید و قبل از اولین درخواست امضا شده خود، مستندات API WEEX را بخوانید.

سوالات متداول

۱. آیا یک کلید API نشت‌کرده می‌تواند ارز دیجیتال من را از WEEX برداشت کند؟

خیر. کلیدهای API WEEX فقط از دسترسی‌های فقط خواندنی و معاملاتی پشتیبانی می‌کنند — هیچ دسترسی برداشتی برای فعال‌سازی وجود ندارد، بنابراین یک کلید API نمی‌تواند دارایی‌ها را از پلتفرم یا به حساب دیگری منتقل کند.

۲. سریع‌ترین راه برای بستن یک کلید به خطر افتاده چیست؟

آن را در حساب → مدیریت API حذف کنید، سپس هر سفارش در حال انتظار را به‌صورت دستی لغو کنید. ویرایش دسترسی‌ها جایگزین نیست، تا حدی به این دلیل که WEEX حدود ۱۵ دقیقه تأخیر انتشار برای کلیدهای اصلاح‌شده را مستند می‌کند.

۳. آیا لیست سفید IP واقعاً اگر خود کلید سرقت شود کمک می‌کند؟

بله، و این بالاترین کنترل اهرمی موجود است. درخواست‌ها از هر آدرسی خارج از لیست با -1056 ILLEGAL_IP رد می‌شوند. WEEX تا ۱۰ IP در هر کلید اجازه می‌دهد.

۴. چگونه می‌توانم یک کلید نشت‌کرده را قبل از ظاهر شدن ضررها متوجه شوم؟

مراقب خطاهای احراز هویت و دسترسی باشید که خودتان ایجاد نکرده‌اید — -1052، -1049، -1056 — و برای پر شدن‌ها در جفت‌هایی که استراتژی شما هرگز معامله نمی‌کند. فعالیت غیرقابل توضیح در دفاتر آلت‌کوین‌های کم‌عمق، امضای کلاسیک است.

۵. آیا ربات‌های معاملاتی شخص ثالث برای دادن کلیدهای API امن هستند؟

آن‌ها امنیت ارائه‌دهنده ربات را به ارث می‌برند، نه صرافی را. افشای حدود ۱۰۰,۰۰۰ کلید API مشتریان 3Commas در دسامبر ۲۰۲۲ یادآور دائمی است. اگر از یکی استفاده می‌کنید، به آن یک کلید اختصاصی فقط معاملاتی، یک لیست سفید IP مطابق با IPهای خروجی مستند ارائه‌دهنده و یک یادآور تقویم برای چرخاندن آن بدهید.

۶. آیا قانون زمان ۳۰ ثانیه‌ای بر ربات‌های معمولی تأثیر می‌گذارد؟

فقط اگر ساعت سرور شما عقب و جلو شود. درخواست‌ها زمانی رد می‌شوند که ACCESS_TIMESTAMP بیش از ۳۰ ثانیه از زمان سرور WEEX منحرف شود، بنابراین از طریق NTP همگام‌سازی کنید یا نقطه پایانی زمان سرور را در هنگام راه‌اندازی استعلام کنید.

هشدار ریسک

دارایی‌های کریپتو نوسانی هستند و معاملات مبتنی بر API می‌توانند سرعت و اندازه ضرر را تا حد ارزش کل دارایی‌های حساب افزایش دهند. استراتژی‌های خودکار ریسک‌های خاصی دارند: یک کلید API به خطر افتاده یا بیش از حد محدود شده می‌تواند برای اجرای معاملاتی که مجاز نکرده‌اید استفاده شود و خرید اجباری در جفت‌های غیرنقد می‌تواند ارزش را بدون هیچ برداشتی از بین ببرد. موقعیت‌های فیوچرز اهرمی باز شده از طریق API می‌توانند به‌طور کامل لیکوئید شوند. ربات‌ها و ابزارهای پورتفولیوی شخص ثالث ریسک طرف مقابل را معرفی می‌کنند، زیرا نشت در سمت آن‌ها هر کلید متصل به آن را در معرض خطر قرار می‌دهد. معاملات اجرا شده معمولاً نهایی هستند و هیچ تضمینی وجود ندارد که صرافی بتواند فعالیت غیرمجاز را شناسایی یا معکوس کند. تنظیمات امنیتی توصیف شده در اینجا مستندات WEEX را از اوت ۲۰۲۶ منعکس می‌کند و ممکن است با ارتقای سیستم تغییر کند — قبل از تکیه بر آن‌ها، پارامترهای فعلی را در مستندات رسمی API تأیید کنید. هیچ چیزی در اینجا توصیه سرمایه‌گذاری نیست.