交易所 API 金鑰怎麼設定才安全？權限、IP 白名單、子帳戶與被盜處理

API 金鑰被盜，往往不是交易所出了問題，而是用戶自己把一把權限過大、沒有綁定 IP 的金鑰交給了來路不明的工具或「帶單老師」。只要按最小權限、IP 白名單、子帳戶隔離這三條來設定，大部分風險都可以擋在門外。下面以幣安和 OKX 的官方規則為準逐項說明。

API 金鑰是什麼？

API 金鑰是交易所提供給程式使用的一組憑證，讓量化機器人、記帳軟體、行情工具等第三方程式可以不經過網頁登入，直接讀取你的帳戶資料或下單。

一組 API 通常包括：

• API Key：相當於用戶名稱，可以公開給你自己的程式使用。
• Secret Key（金鑰）：相當於密碼，用來給每一次請求籤名，絕不能外洩。
• Passphrase：OKX 建立 API 時需要你自己設定的密碼短語，忘記後無法找回，只能重建。

幣安有兩類金鑰：系統生成的 HMAC 金鑰，以及你用第三方軟體自行生成、只把公鑰交給幣安的 Ed25519 或 RSA 金鑰。幣安說明，建立 API 前需要完成身分驗證、開啟雙重驗證，並向現貨錢包儲值過。

拿到 Secret Key 的人，就能以你的名義做這把金鑰權限範圍內的所有事情，而且不需要你的登入密碼和驗證碼。所以對待 Secret Key，要像對待登入密碼加驗證碼一樣。

API 權限有哪幾種？分別能做什麼？

原則很簡單：需要什麼開什麼。

• 記帳、看盤、統計收益：只開讀取。
• 量化交易、網格機器人：讀取 + 交易。
• 提幣權限：個人用戶基本用不到，任何機器人和第三方工具都不應該拿到它。OKX 在接入第三方工具的說明裡寫明，不要為交易類接入開啟提幣權限，下單和管理訂單都用不到它。

為什麼一定要綁定 IP 白名單？

IP 白名單的意思是：這把金鑰只接受來自指定 IP 地址的請求。就算 Secret Key 洩露，別人從自己的電腦上呼叫也會被拒絕。

兩家對沒有綁定 IP 的金鑰都有限制：

• 幣安：沒有 IP 訪問限制的系統生成（HMAC）金鑰，除讀取外沒有任何權限；要開啟提領權限，必須新增 IPv4 格式的 IP 訪問限制。幣安強烈建議不要在沒有 IP 限制的情況下開啟讀取以外的權限。
• OKX：每個金鑰最多可以關聯 20 個 IP 地址；沒有綁定 IP、又帶有交易或提幣權限的金鑰，14 天無活動後會被自動刪除。

如果你用的是雲伺服器上的機器人，就綁定伺服器的固定 IP。家庭寬頻的 IP 經常變動，不適合用來跑帶交易權限的金鑰。第三方平台如果公佈了自己的出口 IP，就只綁定這些 IP。

子帳戶怎麼用來隔離策略？

子帳戶是掛在主帳戶下的獨立帳戶，有自己的資金和 API 金鑰。用子帳戶跑策略，好處是：某個機器人出了問題或金鑰洩露，最多影響這個子帳戶裡的資金，主帳戶和其他策略不受牽連。

• 幣安：完成身分驗證並開啟雙重驗證的用戶都可以使用子帳戶。普通用戶最多 5 個，VIP 用戶按等級可以更多。每個子帳戶最多可以建立 30 個 API 金鑰。子帳戶不能提幣，只有主帳戶能管理資產劃轉；主帳戶可以在主、子帳戶之間即時劃轉資產，不收手續費，還能查看子帳戶的餘額、訂單和登入記錄。
• OKX：普通子帳戶同樣不能提幣。可以建立的子帳戶數量和你的手續費等級有關，具體以帳戶裡個人費率等級頁面顯示的為準；超出數量的子帳戶會被凍結。OKX 提醒，要在目標子帳戶下建立 API，不要混用主帳戶和子帳戶的 API Key、Secret 或 Passphrase；一個帳戶的金鑰看不到另一個帳戶的資金。

比較穩妥的用法：

1. 每個策略或每個第三方工具單獨開一個子帳戶。
2. 子帳戶裡只放這個策略需要的資金，不要把全部資產划進去。
3. 在子帳戶下建立只有讀取 + 交易權限、綁定了 IP 的金鑰。
4. 盈利定期從子帳戶劃回主帳戶。

接入第三方工具前，先檢查哪幾件事？

把金鑰填進任何一個機器人、記帳軟體或交易終端之前，花幾分鐘確認下面幾項：

• 它從哪裡來：是你自己從官網找到的，還是群裡、私信裡別人推薦的連結？後者要格外小心，仿冒的「量化平台」本身就是騙局。
• 它要什麼權限：記帳工具卻要求交易權限、交易機器人卻要求提幣權限，都是危險訊號，直接放棄。
• 能不能綁定 IP：正規平台通常會公佈自己的伺服器 IP，方便你綁定；不能綁定的，至少把它放進單獨的子帳戶、只放少量資金。
• 金鑰放在哪裡：自己部署的程式，把 Secret Key 放在伺服器的配置裡，不要寫進程式碼再上傳到公開的程式碼倉庫。
• 怎麼停用：確認自己知道去哪裡刪除這把金鑰，一旦工具出問題可以馬上切斷。

金鑰疑似洩露了，怎麼處理？

出現以下情況，按洩露處理：帳戶裡出現你沒下過的訂單、莫名其妙的大額成交、資金被劃轉，或者你曾把金鑰發給過別人、貼進過聊天群、截圖裡露出過 Secret Key。

1. 先刪除金鑰，再做別的。OKX 的建議也是：金鑰可能暴露時先刪除，再新建替代的金鑰。刪除後這把金鑰就不能再用了。
2. 檢查帳戶裡還有沒有其他不認識的 API 金鑰，一併刪除。
3. 查看訂單、成交和資金記錄，截圖儲存異常記錄。
4. 修改登入密碼，檢查雙重驗證、登入裝置和提幣白名單有沒有被改動。完整的檢查順序見交易所帳戶安全檢查清單。
5. 重新建立金鑰時，權限收緊、綁定 IP，並換一個子帳戶使用。
6. 資金受損的，聯絡官方客服並向當地警方報案。

平時也要養成習慣：不用的金鑰立刻刪除；不把 Secret Key 貼上到聊天、截圖或工單裡；Secret Key 只儲存在你自己的伺服器或密碼管理器裡。

「帶單老師」要你的 API，是什麼騙局？

這類騙局的套路大同小異：在社交平台或群裡展示「穩定收益」截圖，說只要把 API 金鑰交給他，他的程式就能幫你自動交易，盈利分成。

把 API 交出去之後，常見的結果有：

• 用你的資金在冷門幣上高價接盤，讓他自己的帳戶出貨，你的帳戶只剩一堆跌沒了的幣；
• 開高槓杆合約反覆交易，賺手續費返佣，虧損由你承擔；
• 以「權限不夠，跑不起來」為由要你開放提幣權限，或者乾脆要你的登入密碼和驗證碼；
• 先讓你看到小額盈利，再要求你充更多錢進去。

記住三點：正規的跟單產品不需要你把金鑰交給某個人；任何人索要 API 金鑰、Secret Key、登入密碼或驗證碼，一律拒絕；「穩賺」「保本」本身就是騙局的訊號。更多手法見常見騙局。