Tối nay, Binance đã thu hồi toàn bộ khóa API liên kết với SignalPlus.
Nguyên nhân không phải Binance gặp sự cố, mà là chính nền tảng quyền chọn bên thứ ba này đã báo cáo về một “vấn đề bảo mật tiềm ẩn”. Binance xử lý rất dứt khoát: thu hồi tất cả trước, rồi yêu cầu người dùng tự kiểm tra lại vị thế và lệnh chờ.
Chuyện này đáng để bất kỳ ai dùng công cụ bên thứ ba dừng lại, kiểm tra danh sách quyền truy cập của mình.
SignalPlus không phải một công ty nhỏ lẻ: đội ngũ ở Hồng Kông, thành lập năm 2021, đã huy động tổng cộng 73 triệu USD. Năm 2026, công ty vừa hoàn tất vòng B trị giá 50 triệu USD. Trang web chính thức còn công bố các chứng nhận ISO 27001, SOC 2 và kiểm thử xâm nhập cấp A+. Dù có đầy đủ chứng nhận như vậy, “vấn đề bảo mật tiềm ẩn” vẫn có thể xảy ra. Điều đó cho thấy chứng nhận chứng minh quy trình đã được thực hiện, chứ không chứng minh hôm nay không có lỗ hổng.
Quan trọng hơn là bản chất của khóa API. Đây là loại quyền truy cập bị đánh giá thấp nhất trong ngành: nhiều người từng bật quyền giao dịch để chạy chiến lược, thậm chí tiện tay bật cả quyền rút tiền, rồi chẳng bao giờ quay lại kiểm tra. Chiến lược đã ngừng từ lâu, nhưng khóa vẫn còn đó.
Ba việc có thể làm ngay: một, đăng nhập vào sàn để kiểm tra vị thế và các lệnh chưa khớp, đừng chỉ tin vào giao diện của bên thứ ba; hai, đừng kết nối lại SignalPlus trước khi xác nhận vấn đề đã được khắc phục; ba, khi tạo khóa mới, luôn bật danh sách IP cho phép và chỉ cấp quyền ở mức tối thiểu.
CZ nói thẳng hơn: nếu đang dùng nó trên sàn khác, hãy thu hồi ngay.
Vụ việc 6,3 tỷ dạy chúng ta rằng “quyền truy cập nội bộ có thể bị khai thác từng lớp một”; lần này là lời nhắc về cánh cửa bên ngoài.
Nguyên nhân không phải Binance gặp sự cố, mà là chính nền tảng quyền chọn bên thứ ba này đã báo cáo về một “vấn đề bảo mật tiềm ẩn”. Binance xử lý rất dứt khoát: thu hồi tất cả trước, rồi yêu cầu người dùng tự kiểm tra lại vị thế và lệnh chờ.
Chuyện này đáng để bất kỳ ai dùng công cụ bên thứ ba dừng lại, kiểm tra danh sách quyền truy cập của mình.
SignalPlus không phải một công ty nhỏ lẻ: đội ngũ ở Hồng Kông, thành lập năm 2021, đã huy động tổng cộng 73 triệu USD. Năm 2026, công ty vừa hoàn tất vòng B trị giá 50 triệu USD. Trang web chính thức còn công bố các chứng nhận ISO 27001, SOC 2 và kiểm thử xâm nhập cấp A+. Dù có đầy đủ chứng nhận như vậy, “vấn đề bảo mật tiềm ẩn” vẫn có thể xảy ra. Điều đó cho thấy chứng nhận chứng minh quy trình đã được thực hiện, chứ không chứng minh hôm nay không có lỗ hổng.
Quan trọng hơn là bản chất của khóa API. Đây là loại quyền truy cập bị đánh giá thấp nhất trong ngành: nhiều người từng bật quyền giao dịch để chạy chiến lược, thậm chí tiện tay bật cả quyền rút tiền, rồi chẳng bao giờ quay lại kiểm tra. Chiến lược đã ngừng từ lâu, nhưng khóa vẫn còn đó.
Ba việc có thể làm ngay: một, đăng nhập vào sàn để kiểm tra vị thế và các lệnh chưa khớp, đừng chỉ tin vào giao diện của bên thứ ba; hai, đừng kết nối lại SignalPlus trước khi xác nhận vấn đề đã được khắc phục; ba, khi tạo khóa mới, luôn bật danh sách IP cho phép và chỉ cấp quyền ở mức tối thiểu.
CZ nói thẳng hơn: nếu đang dùng nó trên sàn khác, hãy thu hồi ngay.
Vụ việc 6,3 tỷ dạy chúng ta rằng “quyền truy cập nội bộ có thể bị khai thác từng lớp một”; lần này là lời nhắc về cánh cửa bên ngoài.
