币安今晚撤掉了所有与 SignalPlus 关联的 API 密钥。

起因不是币安出事，是这家第三方期权平台自己报告了「潜在安全问题」。币安的动作很干脆：先全撤，再让用户自己回去核对持仓和挂单。

这件事值得每个用第三方工具的人，停下来看一眼自己的授权列表。

SignalPlus 不是小作坊：香港团队，2021 年成立，累计融资 7,300 万美元，2026 年刚完成 5,000 万美元 B 轮，官网挂着 ISO 27001、SOC 2 和 A+ 级渗透测试。资质这么齐，仍然会出现「潜在安全问题」。说明认证证明的是流程走过，不是今天没有洞。

更关键的是 API key 的性质。它是这个行业最被低估的授权：很多人当初为了跑策略勾了交易权限，甚至顺手开了提现，之后再没回来看过。策略早停了，key 还在。

三条能立刻做的：一，登录交易所核对持仓与未成交单，别只信第三方的界面；二，在 SignalPlus 确认修复前不要重连；三，新建 key 一律开 IP 白名单，权限按最小给。

CZ 的说法更直接：在别的交易所也用了它，现在就去撤。

63 亿那件事教的是「内部权限能被一层层撬开」，这一次提醒的是外面那扇门。