交易所 API 密钥怎么设置才安全？权限、IP 白名单、子账户与被盗处理

API 密钥被盗，往往不是交易所出了问题，而是用户自己把一把权限过大、没有绑定 IP 的密钥交给了来路不明的工具或「带单老师」。只要按最小权限、IP 白名单、子账户隔离这三条来设置，大部分风险都可以挡在门外。下面以币安和欧易的官方规则为准逐项说明。

API 密钥是什么？

API 密钥是交易所提供给程序使用的一组凭证，让量化机器人、记账软件、行情工具等第三方程序可以不经过网页登录，直接读取你的账户数据或下单。

一组 API 通常包括：

• API Key：相当于用户名，可以公开给你自己的程序使用。
• Secret Key（密钥）：相当于密码，用来给每一次请求签名，绝不能外泄。
• Passphrase：欧易创建 API 时需要你自己设置的密码短语，忘记后无法找回，只能重建。

币安有两类密钥：系统生成的 HMAC 密钥，以及你用第三方软件自行生成、只把公钥交给币安的 Ed25519 或 RSA 密钥。币安说明，创建 API 前需要完成身份认证、开启双重验证，并向现货钱包充值过。

拿到 Secret Key 的人，就能以你的名义做这把密钥权限范围内的所有事情，而且不需要你的登录密码和验证码。所以对待 Secret Key，要像对待登录密码加验证码一样。

API 权限有哪几种？分别能做什么？

原则很简单：需要什么开什么。

• 记账、看盘、统计收益：只开读取。
• 量化交易、网格机器人：读取 + 交易。
• 提币权限：个人用户基本用不到，任何机器人和第三方工具都不应该拿到它。欧易在接入第三方工具的说明里写明，不要为交易类接入开启提币权限，下单和管理订单都用不到它。

为什么一定要绑定 IP 白名单？

IP 白名单的意思是：这把密钥只接受来自指定 IP 地址的请求。就算 Secret Key 泄露，别人从自己的电脑上调用也会被拒绝。

两家对没有绑定 IP 的密钥都有限制：

• 币安：没有 IP 访问限制的系统生成（HMAC）密钥，除读取外没有任何权限；要开启提现权限，必须添加 IPv4 格式的 IP 访问限制。币安强烈建议不要在没有 IP 限制的情况下开启读取以外的权限。
• 欧易：每个密钥最多可以关联 20 个 IP 地址；没有绑定 IP、又带有交易或提币权限的密钥，14 天无活动后会被自动删除。

如果你用的是云服务器上的机器人，就绑定服务器的固定 IP。家庭宽带的 IP 经常变动，不适合用来跑带交易权限的密钥。第三方平台如果公布了自己的出口 IP，就只绑定这些 IP。

子账户怎么用来隔离策略？

子账户是挂在主账户下的独立账户，有自己的资金和 API 密钥。用子账户跑策略，好处是：某个机器人出了问题或密钥泄露，最多影响这个子账户里的资金，主账户和其他策略不受牵连。

• 币安：完成身份认证并开启双重验证的用户都可以使用子账户。普通用户最多 5 个，VIP 用户按等级可以更多。每个子账户最多可以创建 30 个 API 密钥。子账户不能提币，只有主账户能管理资产划转；主账户可以在主、子账户之间即时划转资产，不收手续费，还能查看子账户的余额、订单和登录记录。
• 欧易：普通子账户同样不能提币。可以创建的子账户数量和你的手续费等级有关，具体以账户里个人费率等级页面显示的为准；超出数量的子账户会被冻结。欧易提醒，要在目标子账户下创建 API，不要混用主账户和子账户的 API Key、Secret 或 Passphrase；一个账户的密钥看不到另一个账户的资金。

比较稳妥的用法：

1. 每个策略或每个第三方工具单独开一个子账户。
2. 子账户里只放这个策略需要的资金，不要把全部资产划进去。
3. 在子账户下创建只有读取 + 交易权限、绑定了 IP 的密钥。
4. 盈利定期从子账户划回主账户。

接入第三方工具前，先检查哪几件事？

把密钥填进任何一个机器人、记账软件或交易终端之前，花几分钟确认下面几项：

• 它从哪里来：是你自己从官网找到的，还是群里、私信里别人推荐的链接？后者要格外小心，仿冒的「量化平台」本身就是骗局。
• 它要什么权限：记账工具却要求交易权限、交易机器人却要求提币权限，都是危险信号，直接放弃。
• 能不能绑定 IP：正规平台通常会公布自己的服务器 IP，方便你绑定；不能绑定的，至少把它放进单独的子账户、只放少量资金。
• 密钥放在哪里：自己部署的程序，把 Secret Key 放在服务器的配置里，不要写进代码再上传到公开的代码仓库。
• 怎么停用：确认自己知道去哪里删除这把密钥，一旦工具出问题可以马上切断。

密钥疑似泄露了，怎么处理？

出现以下情况，按泄露处理：账户里出现你没下过的订单、莫名其妙的大额成交、资金被划转，或者你曾把密钥发给过别人、贴进过聊天群、截图里露出过 Secret Key。

1. 先删除密钥，再做别的。欧易的建议也是：密钥可能暴露时先删除，再新建替代的密钥。删除后这把密钥就不能再用了。
2. 检查账户里还有没有其他不认识的 API 密钥，一并删除。
3. 查看订单、成交和资金记录，截图保存异常记录。
4. 修改登录密码，检查双重验证、登录设备和提币白名单有没有被改动。完整的检查顺序见交易所账户安全检查清单。
5. 重新创建密钥时，权限收紧、绑定 IP，并换一个子账户使用。
6. 资金受损的，联系官方客服并向当地警方报案。

平时也要养成习惯：不用的密钥立刻删除；不把 Secret Key 粘贴到聊天、截图或工单里；Secret Key 只保存在你自己的服务器或密码管理器里。

「带单老师」要你的 API，是什么骗局？

这类骗局的套路大同小异：在社交平台或群里展示「稳定收益」截图，说只要把 API 密钥交给他，他的程序就能帮你自动交易，盈利分成。

把 API 交出去之后，常见的结果有：

• 用你的资金在冷门币上高价接盘，让他自己的账户出货，你的账户只剩一堆跌没了的币；
• 开高杠杆合约反复交易，赚手续费返佣，亏损由你承担；
• 以「权限不够，跑不起来」为由要你开放提币权限，或者干脆要你的登录密码和验证码；
• 先让你看到小额盈利，再要求你充更多钱进去。

记住三点：正规的跟单产品不需要你把密钥交给某个人；任何人索要 API 密钥、Secret Key、登录密码或验证码，一律拒绝；「稳赚」「保本」本身就是骗局的信号。更多手法见常见骗局。