2026年11月4日凌晨，SignalPlus因第三方技术供应商联系人的Telegram账号被入侵，攻击者伪造Microsoft Teams会议邀请让一名工程师下载恶意内容，进而进入内部网络，事件损失不足8.2万美元，平台承诺受影响用户获全额赔偿。这条新闻对普通用户真正有意义的地方，不是围观金额，而是它暴露了一条很常见的攻击路径：借助社交软件伪造会议邀请→拿到工程师终端权限→读取平台里配置的交易所API密钥。如果你正准备注册或已经在用类似工具做仓位管理，下面按「先核对什么、再动手设置、最后守住哪些底线」的顺序，把能落地检查的条目逐条过一遍。
动手注册或配置前，先核对这五件事
第一件是入口来源。不要通过群聊转发、搜索结果置顶广告或陌生人私发的安装包进入注册页，自己手动输入平台域名前缀，或在浏览器里确认地址栏锁标与域名拼写一致，再点注册。假站点的常见做法是把字母换个顺序，页面做得几乎一样，你填完邮箱和密码就已经把账号交出去了。第二件是登录方式，优先用邮箱加密码并开启两步验证，绑定Telegram或微信登录虽然方便，但一旦社交账号被盗，等于登录入口直接暴露，所以即使绑定了也要确认平台支持独立的二次验证，而不是单纯靠社交账号一键登录。
第三件是准备一个只用于该类平台的专用邮箱，不要和日常购物、社交账号共用，避免一处泄露牵连全局；同时准备独立的密码，长度12位以上，包含大小写字母、数字和符号。第四件是设备环境，注册和后续配置尽量在你自己的电脑上完成，不要在网吧、公共电脑或来源不明的虚拟机上操作，也不要在这类设备上保存密码。第五件是想清楚自己需要哪些权限：很多平台注册后并不强依赖交易所API，先用只读权限看数据，等确认实际需求后再决定是否开放更多，这样即使密钥泄露，损失也有上限。
交易所API密钥怎么建、IP白名单怎么填
SignalPlus这次公开承认，此前没有强制要求关联的交易所API密钥启用IP白名单，这正是损失能够发生的关键一环。API密钥相当于一把程序用的钥匙，配合Secret Key就能代替你下单、查持仓，攻击者拿到它，不需要你的登录密码都能操作账户。所以从交易所一侧创建密钥时，接口权限只勾选你实际需要的项：只想看数据就只开「读取」，需要程序执行下单再单独增加，绝不要顺手开启「提现」或「划转」权限，这两项是能让资金直接流出的高危项。
具体操作步骤：登录你使用的交易所网页端，进入「API管理」或「接口管理」页面，点「创建API」，填写名称（写清楚用途，比如“只读-仓位查看”），选择权限后进入安全验证，按提示完成短信或验证器确认。创建成功后会弹出API Key和Secret Key，Secret Key只显示一次，立即保存到你自己的加密笔记里，不要截图发到聊天窗口，也不要存进公开的网盘。随后在同一页面找到「IP白名单」或「绑定IP地址」的选项，把你的固定公网IP填进去；家里宽带可能是动态IP，那就先查清当前出口IP再填，路由器重启后IP变化会导致接口报错，届时回来更新白名单即可。填完毕再点「编辑权限」确认白名单已生效，页面上通常会显示「已限制IP」的标记。最后回到使用该类API的平台，在绑定密钥页面粘贴Key和Secret，保存后用只读权限先拉一次数据，能读到说明配置成功；如果返回权限错误，先核对权限勾选是否正确，而不是直接加权限了事。
日常使用中哪些习惯容易把钥匙交出去
第一，Telegram、Discord、微信里收到的「会议邀请」「软件更新」「客服帮你排查」链接，一律不点。这次攻击用的就是伪造Microsoft Teams会议邀请，攻击者冒充合作方联系人，话术自然，受害者很难当场分辨。正规商务沟通通常会有可回拨的官方渠道，凡是要你下载文件、安装插件、运行脚本的，先通过已知官方联系方式反向确认。第二，电脑上装了带API密钥的软件后，这台机器就相当于资金通道，浏览器插件只从官方扩展商店安装，下载软件核对开发者签名，系统安全更新不要长期搁置。
第三，不要多个平台复用同一个API密钥，也不要让不同人共用一套密钥，一台设备出事所有关联账户都会暴露。第四，定期查看交易所在API管理页记录的调用情况，如果出现你没操作的时间段却有请求，先立刻在交易所页面删除该密钥，再去平台解绑，顺序不要反——平台侧解绑慢的时候，交易所侧删除是最快止血的办法。第五，把密码、验证器、API密钥的恢复信息放在两处不同介质上，手机丢失时还能找回登录状态，避免为了恢复账号去走各种来路不明的「找回服务」。
服务暂停期间账户和持仓怎么处理
按SignalPlus的说法，事发后已阻断攻击、联系合作交易所禁用所有关联API密钥并暂停平台服务做审查，预计数日内分阶段恢复，期间用户可通过合作交易所官方平台管理账户及持仓。这段时间你要做的不是等，而是主动核对：登录对应交易所的官网或官方App，查看API管理页里之前绑定的密钥是否已被禁用或删除，标记为失效的就不要再重建同类权限；查看委托单和持仓，确认没有陌生订单，历史成交里如果有非本人操作的记录，截图保存并走交易所客服工单提交。
同时整理证据：保存事件相关公告、你账户的异常记录截图，以及注册时使用的邮箱，方便后续赔付沟通时快速对齐身份。平台承诺受影响用户全额赔偿，赔付通常需要核实账户与损失明细，越早准备好材料越顺。如果你还没被波及，也可以趁这段时间检查一次自己的设置：确认所有API密钥都启用了IP白名单，确认没有再使用「读取+交易+提现」全开的组合，确认登录两步验证处于开启状态。这几项做完，再逐步把服务恢复后的配置补齐，不要一恢复就把旧密钥原样粘回去。
常见问题
只读权限的API密钥也安全吗？相对安全，但不是零风险。只读密钥拿不到资金，但能看到仓位和账户结构，配合社会工程话术仍可能被用来实施诈骗，所以白名单和定期轮换照样要做。真要恢复交易执行权限，建议事件彻底结束、平台明确说明IP限制已强制生效之后，再重建一套新密钥，旧的不复用。
家里是动态IP，白名单填了还是用不了怎么办？先查当前出口IP是否有变化，路由器重启、运营商换线都会导致变化。如果确实无法固定IP，优先降低权限而不是取消白名单：只保留读取，去掉交易权限，等需要下单时临时加IP，用完再删。
第三方登录方便，要不要用？可以用，但要确认该平台在社交登录之外还有独立的两步验证，且社交账号本身开了登录保护。仅凭一个社交账号就能进入的配置，等于把风控外包给了聊天软件。现在就可以做的两件事：打开你使用的交易所API管理页面，逐个检查每个密钥的权限勾选和IP白名单状态，把带「提现」权限或未限制IP的密钥立即编辑或删除；然后翻一遍绑定过密钥的平台通知和近期成交记录，把任何非本人操作的调用时间点记下来，作为后续沟通依据。
