Malam ini, Binance mencabut semua kunci API yang terkait dengan SignalPlus.
Pemicunya bukan masalah di Binance, melainkan platform opsi pihak ketiga ini sendiri yang melaporkan adanya «potensi masalah keamanan». Tindakan Binance tegas: cabut semuanya terlebih dahulu, lalu minta pengguna memeriksa kembali posisi dan order terbuka mereka.
Kejadian ini patut membuat setiap pengguna alat pihak ketiga berhenti sejenak dan memeriksa daftar izin akses mereka.
SignalPlus bukan pemain kecil: timnya berbasis di Hong Kong, didirikan pada 2021, dan telah mengumpulkan pendanaan sebesar 73 juta dolar AS. Pada 2026, perusahaan ini baru saja menyelesaikan pendanaan Seri B sebesar 50 juta dolar AS. Situs resminya mencantumkan sertifikasi ISO 27001, SOC 2, dan pengujian penetrasi tingkat A+. Meski punya sederet kredensial, «potensi masalah keamanan» tetap bisa terjadi. Artinya, sertifikasi membuktikan bahwa prosedur telah dijalankan, bukan bahwa hari ini tidak ada celah.
Yang lebih penting adalah sifat kunci API. Ini adalah bentuk otorisasi yang paling sering diremehkan di industri ini: banyak orang dulu mengaktifkan izin perdagangan demi menjalankan strategi, bahkan sekalian mengaktifkan penarikan, lalu tidak pernah memeriksanya lagi. Strateginya sudah lama dihentikan, tetapi kuncinya masih aktif.
Tiga hal yang bisa langsung dilakukan: pertama, masuk ke bursa dan periksa posisi serta order yang belum terisi—jangan hanya percaya pada tampilan platform pihak ketiga; kedua, jangan hubungkan kembali akun sebelum SignalPlus memastikan masalahnya sudah diperbaiki; ketiga, setiap kali membuat kunci baru, selalu aktifkan daftar putih IP dan berikan izin seminimal mungkin.
Pesan CZ lebih lugas: jika Anda juga menggunakan layanan ini di bursa lain, cabut aksesnya sekarang.
Kejadian 6,3 miliar itu mengajarkan bahwa «izin internal bisa dibobol lapis demi lapis». Kali ini, pengingatnya adalah tentang pintu yang ada di luar.
Pemicunya bukan masalah di Binance, melainkan platform opsi pihak ketiga ini sendiri yang melaporkan adanya «potensi masalah keamanan». Tindakan Binance tegas: cabut semuanya terlebih dahulu, lalu minta pengguna memeriksa kembali posisi dan order terbuka mereka.
Kejadian ini patut membuat setiap pengguna alat pihak ketiga berhenti sejenak dan memeriksa daftar izin akses mereka.
SignalPlus bukan pemain kecil: timnya berbasis di Hong Kong, didirikan pada 2021, dan telah mengumpulkan pendanaan sebesar 73 juta dolar AS. Pada 2026, perusahaan ini baru saja menyelesaikan pendanaan Seri B sebesar 50 juta dolar AS. Situs resminya mencantumkan sertifikasi ISO 27001, SOC 2, dan pengujian penetrasi tingkat A+. Meski punya sederet kredensial, «potensi masalah keamanan» tetap bisa terjadi. Artinya, sertifikasi membuktikan bahwa prosedur telah dijalankan, bukan bahwa hari ini tidak ada celah.
Yang lebih penting adalah sifat kunci API. Ini adalah bentuk otorisasi yang paling sering diremehkan di industri ini: banyak orang dulu mengaktifkan izin perdagangan demi menjalankan strategi, bahkan sekalian mengaktifkan penarikan, lalu tidak pernah memeriksanya lagi. Strateginya sudah lama dihentikan, tetapi kuncinya masih aktif.
Tiga hal yang bisa langsung dilakukan: pertama, masuk ke bursa dan periksa posisi serta order yang belum terisi—jangan hanya percaya pada tampilan platform pihak ketiga; kedua, jangan hubungkan kembali akun sebelum SignalPlus memastikan masalahnya sudah diperbaiki; ketiga, setiap kali membuat kunci baru, selalu aktifkan daftar putih IP dan berikan izin seminimal mungkin.
Pesan CZ lebih lugas: jika Anda juga menggunakan layanan ini di bursa lain, cabut aksesnya sekarang.
Kejadian 6,3 miliar itu mengajarkan bahwa «izin internal bisa dibobol lapis demi lapis». Kali ini, pengingatnya adalah tentang pintu yang ada di luar.
