• Binance afirmó que sus sistemas internos no se vieron afectados y que los fondos de los clientes siguen estando seguros.
• Binance instó a los usuarios de SignalPlus a revisar las posiciones y órdenes abiertas directamente en el exchange.
• El exchange recomendó incluir las IP en una lista blanca y no volver a vincular las claves hasta que SignalPlus confirme que el problema se ha resuelto.
Binance retira todas las claves de SignalPlus
Binance revocó todas las claves API asociadas con SignalPlus después de que el proveedor externo de infraestructura de trading informara de una posible vulnerabilidad de seguridad en sus sistemas. En un comunicado oficial publicado en X el jueves 5 de noviembre, el exchange describió la revocación como una medida de precaución inmediata para proteger a los usuarios y añadió que sus propios sistemas no se vieron afectados y que los fondos de los clientes siguen estando seguros.
El anuncio expone las consecuencias prácticas para los clientes afectados. Se pide a cualquiera que haya usado SignalPlus que inicie sesión directamente en su cuenta de Binance, revise las posiciones abiertas y las órdenes pendientes, y no vuelva a vincular ninguna clave de API hasta que SignalPlus confirme que el problema se ha resuelto por completo. Binance también recomienda habilitar la lista blanca de IP, una configuración que permite que una clave funcione solo desde direcciones previamente aprobadas y limita los daños en caso de que se filtren las credenciales. La declaración va más allá de los usuarios individuales: se alienta a las plataformas de terceros integradas con el exchange a revisar sus controles de seguridad, vigilar la actividad inusual e informar de inmediato cualquier inquietud.
Aún faltan muchos detalles. No se ha explicado la naturaleza exacta del problema de seguridad, se desconoce cuántos usuarios se han visto afectados y no se ha confirmado que un atacante haya accedido a cuentas de clientes ni que se hayan producido pérdidas financieras. La redacción de Binance presenta el caso como una posible exposición, no como una vulneración confirmada. Sus directrices de seguridad habituales indican a los usuarios que revoquen de inmediato las credenciales que podrían haberse visto comprometidas y que limiten los permisos de la API a las funciones mínimas necesarias; la medida adoptada el jueves sigue esas instrucciones al pie de la letra. Los usuarios de SignalPlus tendrán que generar nuevas credenciales para restablecer las funciones automatizadas una vez que se considere segura la integración.
SignalPlus y la cadena de permisos de API
SignalPlus proporciona infraestructura de trading y herramientas analíticas para los mercados de derivados de criptomonedas, y permite a los operadores gestionar posiciones y ejecutar estrategias en varios exchanges desde una sola interfaz, mediante integraciones de API. La plataforma ofrece análisis de opciones, gestión de riesgos y ejecución automatizada, por lo que su base de usuarios coincide en gran medida con las mesas activas de negociación de contratos. Estas conexiones permiten que las aplicaciones externas operen en las cuentas de los exchanges sin que los clientes tengan que retirar sus activos de la plataforma.
Esa comodidad depende de los permisos. Una clave de API puede configurarse para consultar los datos de una cuenta, realizar operaciones con distintos tipos de órdenes o gestionar posiciones. Según los permisos que conceda el usuario, una clave filtrada o utilizada indebidamente puede exponer una cuenta a operaciones no autorizadas. La diferencia es importante: a diferencia de una clave privada, que en última instancia controla los fondos, una clave de API otorga un acceso limitado y revocable; sin embargo, dentro de su ámbito de permisos, aún puede modificar posiciones sin el consentimiento de su titular.
Por eso, la revocación tiene consecuencias en ambos sentidos para los usuarios de SignalPlus. El riesgo de acceso no autorizado a través de la integración disminuye en el lado de Binance, pero todas las estrategias automatizadas que dependían de la conexión —incluidas las configuraciones de bots de trading con IA y la cobertura sistemática de opciones— han dejado de gestionar esas cuentas. Las posiciones abiertas siguen en el exchange, pero ya no responden a la lógica de la aplicación de terceros, por lo que una cartera cubierta puede desviarse de su estado previsto hasta que intervenga manualmente el operador. Los incidentes relacionados con API en herramientas de terceros tampoco son nuevos: en 2022, la exposición de credenciales vinculadas a la plataforma de trading 3Commas provocó alertas de seguridad y una ola de revocaciones de claves en varios exchanges.
Una medida de precaución, no una vulneración confirmada
La fuente principal en este caso es el propio anuncio de Binance, que está redactado con cautela: el exchange afirma que no se ha confirmado ninguna vulneración, pérdida ni acceso a cuentas; solo un posible problema informado por SignalPlus. Interpretar la medida como prueba de un ataque iría más allá de lo que dice el documento. La conclusión práctica es operativa, no forense. En esta configuración, los fondos nunca estuvieron en riesgo directo de custodia, pero las estrategias automatizadas activas se enfrentan a una interrupción cuya duración depende por completo de cuándo SignalPlus publique sus conclusiones técnicas, si es que llega a hacerlo. Los operadores con posiciones abiertas en derivados gestionadas a través de la plataforma deberían revisar manualmente sus cuentas hasta que se autorice la integración. Quienes vuelvan a vincular claves deberían habilitar la lista blanca de IP antes de reconectarse.