Binance ha revocado de forma preventiva todas las claves API vinculadas a SignalPlus después de que la plataforma de trading de opciones con criptomonedas comunicara un posible problema de seguridad. El exchange asegura que sus propios sistemas no se vieron afectados y que los fondos de sus usuarios siguen a salvo.
La decisión fue comunicada el jueves 5 de noviembre a través de X. Según Reuters, Binance explicó que había eliminado las credenciales asociadas a SignalPlus tras recibir el aviso de la plataforma. Estas claves permiten conectar una cuenta del exchange con servicios externos para gestionar operaciones desde otra interfaz.
Qué implica la medida de Binance
SignalPlus ofrece herramientas y análisis para operar con opciones y otros derivados sobre activos digitales. Para utilizar sus servicios, los usuarios pueden vincular sus cuentas en distintos exchanges mediante claves API, que conceden permisos concretos a la aplicación conectada.
Binance recomendó a los usuarios afectados entrar directamente en sus cuentas, revisar las posiciones y órdenes abiertas y no volver a conectar las claves hasta que SignalPlus confirme que el problema ha sido resuelto. También pidió a sus socios de integración que revisen sus controles de seguridad y comuniquen cualquier actividad inusual.
Yi He, cofundadora de Binance, señaló en X que el incidente no debía considerarse un problema exclusivo de una sola empresa. La advertencia, explicó, alcanza a todos los socios externos que mantienen conexiones con cuentas del exchange, no únicamente a SignalPlus.
La recomendación afecta también a las cuentas que el usuario pueda tener en otras plataformas. Deribit, exchange especializado en opciones, tomó una medida similar y revocó las claves API conectadas a SignalPlus, según la información citada por WuBlockchain. Changpeng Zhao (CZ) pidió además revocar esas credenciales en cualquier otro exchange y recomendó no conservar claves de plataformas de negociación en servicios de terceros.
Qué se sabe y qué sigue sin aclararse
Hasta el cierre de la información de referencia no se habían comunicado pérdidas relacionadas con este caso. Las fuentes describen la situación como un posible problema de seguridad, no como un robo confirmado. SignalPlus tampoco había publicado detalles sobre la causa, el alcance o la naturaleza de la incidencia.
La alerta se produce aproximadamente una semana después del ataque sufrido por Binance el 29 de octubre, valorado en unos 6.300 millones de dólares según CoinDesk. Las fuentes consultadas no establecen ninguna relación entre ambos episodios.
El riesgo de una clave API depende de los permisos que tenga asignados. Binance distingue entre acceso de lectura, que permite consultar saldos e historial; permisos de trading, que permiten abrir o cancelar órdenes; y permisos de retiro. Una credencial comprometida puede utilizarse para ejecutar operaciones no autorizadas aunque no permita retirar fondos. Además, la actividad realizada mediante API puede no activar las alertas habituales de inicio de sesión.
Cómo revisar las claves API
Binance sitúa esta gestión en Perfil > Cuenta > Gestión de API (API Management). Desde ahí, el usuario puede comprobar qué claves están activas, qué servicio utiliza cada una y qué permisos tienen. Las credenciales que no reconozca, o las vinculadas a SignalPlus, deben eliminarse, según las recomendaciones difundidas por el exchange.
La guía de seguridad de Binance aconseja no conceder permisos de retiro a servicios externos. Cuando una clave tiene ese nivel de acceso, la plataforma exige restringirla mediante una lista blanca de direcciones IP. En general, también recomienda limitar las conexiones a las IP autorizadas y no activar permisos adicionales a la lectura sin esa restricción. Desde el 30 de enero de 2023, las claves generadas por el sistema sin limitación de IP solo pueden tener permisos de lectura.
Los usuarios deberían revisar asimismo sus órdenes y posiciones abiertas y realizar cualquier cambio desde la web o la aplicación oficial del exchange. Binance advirtió de que no se deben seguir instrucciones recibidas por mensajes que prometan “arreglar” la conexión. La recomendación se mantiene mientras SignalPlus no ofrezca una explicación sobre el posible fallo.
