• Binance a déclaré que ses systèmes internes n’avaient pas été affectés et que les fonds des clients restaient en sécurité.
• Binance a invité les utilisateurs de SignalPlus à vérifier directement sur la plateforme leurs positions ouvertes et leurs ordres en cours.
• La plateforme d’échange a recommandé de mettre des adresses IP sur liste blanche et de ne pas lier de nouveau les clés avant que SignalPlus ne confirme que le problème est résolu.
Binance révoque toutes les clés SignalPlus
Binance a révoqué toutes les clés API associées à SignalPlus après que le fournisseur tiers d’infrastructure de trading a signalé une possible faille de sécurité de son côté. Dans un communiqué officiel publié sur X le jeudi 5 novembre, la plateforme d’échange a décrit cette révocation comme une mesure de précaution immédiate visant à protéger les utilisateurs, ajoutant que ses propres systèmes n’avaient pas été affectés et que les fonds des clients restaient en sécurité.
L’annonce expose les conséquences pratiques pour les clients concernés. Toute personne ayant utilisé SignalPlus est invitée à se connecter directement à son compte Binance, à vérifier ses positions ouvertes et ses ordres en cours, et à ne pas associer de nouveau ses clés API avant que SignalPlus confirme que le problème est entièrement résolu. Binance recommande également d’activer la liste blanche d’adresses IP, un paramètre qui permet à une clé de fonctionner uniquement depuis des adresses préalablement approuvées et limite les dommages en cas de fuite des identifiants. La déclaration ne concerne pas seulement les utilisateurs individuels : les plateformes tierces intégrées à la plateforme d’échange sont encouragées à revoir leurs mesures de sécurité, à surveiller toute activité inhabituelle et à signaler immédiatement tout problème.
De nombreux détails restent inconnus. La nature exacte du problème de sécurité n’a pas été expliquée, le nombre d’utilisateurs concernés est inconnu et aucun accès d’un attaquant aux comptes clients ni aucune perte financière qui en aurait résulté n’ont été confirmés. La formulation de Binance présente l’affaire comme une exposition potentielle plutôt que comme une violation avérée. Ses recommandations générales en matière de sécurité invitent les utilisateurs à révoquer immédiatement les identifiants potentiellement compromis et à limiter les autorisations API aux seules fonctions nécessaires, une procédure que l’action de jeudi suit à la lettre. Pour les utilisateurs de SignalPlus, le rétablissement des fonctionnalités automatisées nécessitera la création de nouveaux identifiants une fois que l’intégration aura été jugée sécurisée.
SignalPlus et la chaîne des autorisations API
SignalPlus fournit des infrastructures de négociation et des outils d’analyse pour les marchés des produits dérivés de cryptomonnaies, permettant aux traders de gérer leurs positions et d’exécuter des stratégies sur plusieurs plateformes d’échange depuis une interface unique, grâce à des intégrations API. La plateforme propose des outils d’analyse des options, de gestion des risques et d’exécution automatisée, ce qui explique pourquoi sa base d’utilisateurs recoupe largement celle des bureaux de négociation actifs sur les marchés de contrats. Ces connexions permettent à des applications externes d’agir sur les comptes des plateformes d’échange sans que les clients aient à transférer leurs actifs hors de la plateforme.
Cette commodité repose sur les autorisations. Une clé API peut être limitée à la lecture des données du compte, à la passation de transactions avec différents types d’ordres ou à la gestion des positions ; selon les autorisations accordées par l’utilisateur, une clé divulguée ou utilisée à mauvais escient peut exposer un compte à des opérations non autorisées. Cette distinction est importante : contrairement à une clé privée, qui contrôle en définitive les fonds eux-mêmes, une clé API accorde un accès limité et révocable, mais dans le cadre des autorisations accordées, elle peut tout de même modifier des positions sans le consentement de leur propriétaire.
La révocation a donc des conséquences dans les deux sens pour les utilisateurs de SignalPlus. Le risque d’accès non autorisé via l’intégration diminue du côté de Binance, mais toutes les stratégies automatisées qui reposaient sur cette connexion — notamment les configurations de robots de trading basés sur l’IA et les stratégies systématiques de couverture d’options — ont cessé de gérer ces comptes. Les positions ouvertes restent sur la plateforme d’échange, mais ne répondent plus à la logique de l’application tierce ; un portefeuille couvert peut donc s’écarter de l’état prévu jusqu’à ce que le trader intervienne manuellement. Les incidents liés aux API dans les outils tiers ne sont pas nouveaux non plus : en 2022, la divulgation d’identifiants associés à la plateforme de trading 3Commas a déclenché des alertes de sécurité et des vagues de révocations de clés sur plusieurs plateformes d’échange.
Par précaution, et non à la suite d’une violation confirmée
La source principale est ici l’annonce de Binance elle-même, dont les termes sont prudents : la plateforme d’échange ne fait état d’aucune compromission, perte ou consultation de compte confirmée, mais seulement d’un problème potentiel signalé par SignalPlus. Interpréter cette mesure comme la preuve d’une attaque irait au-delà de ce qu’indique le document. La leçon à en tirer est d’ordre opérationnel, et non médico-légal. Dans cette configuration, les fonds n’ont jamais été directement exposés à un risque de garde, mais les stratégies automatisées en cours sont interrompues pour une durée qui dépend entièrement du moment où SignalPlus publiera ses conclusions techniques — si elle le fait. Les traders ayant des positions ouvertes sur produits dérivés acheminées via la plateforme devraient privilégier une vérification manuelle jusqu’à ce que l’intégration soit déclarée sûre ; toute personne qui associe de nouveau des clés devrait activer la liste blanche d’adresses IP avant de se reconnecter.