Kripto birja API açarı sızıb? Hücumçular əslində nə edə bilər

Əksər bələdçilər API açarının sızmasının pis olduğunu deyir və bununla da kifayətlənir. Daha faydalı sual isə daha konkretidir: açarınızı əlində saxlayan biri, siz onu ləğv etməzdən əvvəl əslində onunla nə edə bilər?

Cavab demək olar ki, tamamilə bir parametrdən — açara əlavə edilmiş icazə dairəsindən və birjanın API açarına platformadan kənara sikkə çıxarmağa icazə verib-verməməsindən asılıdır. WEEX-də bu mümkün deyil. 2026-cı ilin avqust ayından etibarən, WEEX API sənədləri hər açar üçün yalnız iki icazə növü təklif edir: Yalnız oxumaq və ticarət (Spot və ya Fyuçers). Aktivləşdiriləcək çıxarış icazəsi və ya təsadüfən açıq qoyula biləcək bir düymə yoxdur.

Bu, ən pis nəticəni aradan qaldırır. Lakin bu, zərəri tamamilə yox etmir. Yalnız ticarət üçün nəzərdə tutulmuş açarlar əvvəllər hesabları boşaldıb və növbəti açarınızı yaratmazdan əvvəl bu mexanizmi başa düşmək lazımdır.

Yalnız ticarət üçün nəzərdə tutulmuş API açarı ilə kimsə kriptonuzu oğurlaya bilərmi?

Çıxarış edərək yox. Onlar bunu sizə qarşı ticarət edərək edirlər.

İstinad hadisəsi 3 iyul 2018-ci ildə Binance-də baş verib. Hücumçular təxminən iki ay ərzində istifadəçi etimadnamələrini fişinq yolu ilə ələ keçirib və güzəştə gedilmiş hesablarda sakitcə ticarət API açarları yaradıblar. Sonra onlar 31 öz hesablarında nazik VIA/BTC kitabında satış sifarişləri yerləşdirib və qurbanların açarlarından istifadə edərək iki dəqiqəlik pəncərədə bazar qiyməti ilə VIA alıblar. VIA təxminən 70 dəfə bahalaşıb. Qurbanların balansları ən yüksək nöqtədə likvid olmayan altkoinə çevrilib; hücumçuların hesablarında isə BTC qalıb. Binance-in risk sistemi çıxarışları dondurub, ticarətləri lokallaşdırıb və onları geri qaytarıb — lakin çıxış heç vaxt çıxarış nöqtəsi olmayıb. Bu, sifariş kitabı olub.

Bu nümunə "çıxarış icazəsi yoxdur" ifadəsinin təhlükəsizlikdən daha çox bir nəzarət vasitəsi kimi oxunmasının səbəbidir. Praktiki qayda: ticarət açarı yalnız hesabınızın çata biləcəyi ən az likvid cütlük qədər təhlükəsizdir.

Birja API açarı sızmaları əslində haradan gəlir

Üç mənbə üstünlük təşkil edir və onlardan yalnız biri birjadır.

Öz kodunuz və infrastrukturunuz. 2026-cı ilin martında dərc edilmiş GitGuardian-ın "State of Secrets Sprawl 2026" hesabatı, 2025-ci il ərzində ictimai GitHub-a təxminən 29 milyon yeni kodlaşdırılmış gizli açarın yükləndiyini aşkar edib — bu, illik 34% artım deməkdir və hesabatın qeydə aldığı ən böyük illik sıçrayışdır. Avtomatlaşdırılmış skanerlər ictimai commit-ləri, Pastebin və konteyner şəkillərini davamlı olaraq izləyir, buna görə də ifşa pəncərələri günlərlə deyil, dəqiqələrlə ölçülür.

Üçüncü tərəf botları və portfel alətləri. 2022-ci ilin dekabrında anonim bir hesab təxminən 100 000 3Commas müştərisinin API açarlarından ibarət verilənlər bazasını dərc etməyə başladı; CEO Yuriy Sorokin faylların orijinal olduğunu təsdiqlədi və Binance, KuCoin və digər məkanlardan hər bir əlaqəli açarı ləğv etmələrini istədi. İstifadəçilər oktyabr ayından bəri icazəsiz ticarətlər barədə məlumat vermişdilər və platforma pozuntunu təsdiqləməzdən əvvəl ictimaiyyətə fişinqə aid etmişdi. Xarici xidmətə verdiyiniz hər bir açar həmin xidmətin təhlükəsizlik mövqeyini və insidentin açıqlanması müddətini miras alır.

Fişinq. Chainalysis 2025-ci ildə kripto sahəsində 3,4 milyard dollar oğurlandığını qeydə alıb, fərdi pul kisəsi və etimadnamə pozuntuları, böyük birja pozuntuları dollar məbləğlərində üstünlük təşkil etsə belə, insidentlərin artan bir hissəsini təşkil edir. 2018-ci il Binance hadisəsində olduğu kimi, etimadnamə oğurluğu birbaşa açar yaradılmasına gətirib çıxarır.

Sızmış WEEX API açarı nə edə bilər və nə edə bilməz

Aşağıdakı cədvəl canlı WEEX spot API sənədlərindən və 14 aprel 2026-cı il tarixində yenilənmiş API FAQ-dan götürülüb. Təfərrüatlar sistem yeniləmələri ilə dəyişə bilər — onlarla inteqrasiya etməzdən əvvəl sənədləri yoxlayın.

Səhv kodları əməliyyat baxımından vacibdir. -1052 INSUFFICIENT_PERMISSIONS, "yalnız oxumaq" açarı sifariş yerləşdirməyə çalışdıqda alınan cavabdır — bu o deməkdir ki, loglarınızda rədd edilmiş -1052 həm də açarın yoxlanıldığının ən erkən siqnalıdır. -1056 ILLEGAL_IP icazə siyahısının öz işini görməsidir. -1055 USER_AUTH_NOT_SAFE, telefon nömrəsi və ya Google Authenticator bağlamayan hesabların API-dən istifadəsini tamamilə bloklayır. Tam siyahı WEEX API səhv kodları arayışındadır.

İlk gündən konfiqurasiya edilməli olan WEEX API təhlükəsizlik nəzarətləri

Bunların bir neçəsi məsləhət kimi deyil, sorğu səviyyəsində tətbiq edilir. Aşağıdakı rəqəmlər 2026-cı ilin avqust ayına olan WEEX-in spot sənədlərindən və API İdarəetmə səhifəsindən götürülüb.

Sonuncu sətir əksər treyderlərin diqqətindən qaçan məqamdır. WEEX, yeni yaradılmış və ya dəyişdirilmiş API açarları üçün təxminən 15 dəqiqəlik qlobal yayılma pəncərəsini sənədləşdirir. Planınızı buna uyğun qurun: yeni saxladığınız icazə dəyişikliyinin hər yerdə aktiv olduğunu düşünməyin və açarın əhatə dairəsini redaktə etməyi təcili cavab kimi görməyin. Silmək təcili cavabdır.

İmza sxemi də öz müştərinizi qurursunuzsa, düzgün oxunmalıdır — dəqiq birləşmə qaydası və 30 saniyəlik timestamp dözümlülüyü ilk inteqrasiyaların əksəriyyətinin səhv etdiyi iki məqamdır. WEEX hər ikisini, işlənmiş nümunələrlə birlikdə, API imza səhifəsində sənədləşdirir.

API açarı sızmasından sonrakı ilk 10 dəqiqə ərzində nə etməli

Burada qayda tamlıqdan daha vacibdir. Əvvəlcə ləğv edin; sonra araşdırın.

1. Açarı silin. Redaktə etməyin, məhdudlaşdırmayın — API İdarəetmə bölməsində silin. WEEX-in öz sənədləri dəqiqdir: güzəştə gedilmiş API açarlarını dərhal silin.
2. Açıq sifarişləri veb interfeysində əl ilə ləğv edin. Açarın yerləşdirdiyi hər şey açar öldükdən sonra da aktiv qalır.
3. Likvid olmayan cütlüklərdə riskinizi azaldın. Məcburi ticarət itkiləri burada cəmlənir.
4. Hesabın ticarət tarixçəsini yerləşdirmədiyiniz fill-lər üçün yoxlayın, timestamp-larla birlikdə. Dəstək xidməti ilə əlaqə saxlasanız, bu sizin sübut dəstinizdir.
5. Hər şeyi aşağı axınla dəyişdirin. Əgər açar bir repozitoriyada idisə, bütün repozitoriyanın gizli açarlarının güzəştə getdiyini düşünün, təkcə o açarın deyil.
6. IP icazə siyahısı və strategiyanın ehtiyac duyduğu ən dar əhatə dairəsi ilə yenidən buraxın — əgər bot yalnız izləyirsə, yalnız oxumaq icazəsi verin.
7. Sonra onun necə sızdığına baxın. Ətraf mühit dəyişənləri, üçüncü tərəf xidməti, skrinşot, fişinq səhifəsi. Əgər buna cavab verə bilmirsinizsə, əvəzedici açar da eyni trayektoriyadadır.

Addım 2 insanları çətin vəziyyətdə qoyur. Açarı ləğv etmək yeni sorğuları dayandırır; kitabda artıq olan sifarişlərə toxunmur.

Boşluq buraxmadan WEEX API açarı yaratmaq

Quraşdırma təxminən bir dəqiqə çəkir. Hesab → API İdarəetmə → API Açarını Yarat bölməsinə keçin və təhlükəsizlik yoxlamasını tamamlayın. Sonra üç qərar işin çoxunu görür:

Əhatə dairəsi. Yeni açarlar defolt olaraq Read Only olur. Yalnız strategiya həqiqətən sifariş yerləşdirirsə Spot və ya Fyuçers/Müqavilə seçin. Vergi və portfel alətlərinin heç vaxt ticarət hüquqlarına ehtiyacı yoxdur.

IP icazə siyahısı. Açar üçün 10-a qədər ünvan. Əgər botunuz sabit VPS-də işləyirsə, bu tək parametr sızmış açarı demək olar ki, yararsız edir — o, sadəcə -1056 qaytaracaq. WEEX-in sənədləri məhdudiyyətsiz açarları təhlükəsizlik riski adlandırır, bu da risk-mükafatın ədalətli təsviridir: siz iki dəqiqəlik quraşdırmanıza qənaət edir və ən yaxşı nəzarətinizdən imtina edirsiniz.

Parol ifadəsi. WEEX API FAQ-a görə yalnız alfanumerik, istifadəçi tərəfindən müəyyən edilir və bərpa edilə bilməz — onu itirsəniz, yeganə yol yeni açardır. Onu botun konfiqurasiya faylında deyil, gizli açarla eyni parol meneceri girişində saxlayın.

Parametrlərdən kənarda tətbiq etməyə dəyər bir vərdiş: hər bot, hər məkan, hər məqsəd üçün bir açar. 10 açarlıq limit nəzərə alınarsa, bu heç nəyə başa gəlmir və insidenti "hər şeyi ləğv et və yenidən qur"-dan "birini ləğv et və ticarətə davam et"-ə çevirir. Tam parametr təfərrüatları və limitlər WEEX API FAQ-dadır.

Nəticə

Kripto birja API açarının sızması tək bir nəticəsi olan tək bir risk deyil. API açarlarının çıxarış edə bilmədiyi bir məkanda — WEEX-də olduğu kimi — risk oğurluqdan məcburi ticarətə keçir və müdafiə də buna uyğun olaraq dəyişir: dar əhatə dairəsi, IP icazə siyahısı, hər iş üçün bir açar və diaqnozu bitirməyinizi gözləməyən ləğv-ilk refleksi. 2018-ci il VIA epizodu və 2022-ci il 3Commas açıqlaması hər ikisi eyni şeyi cəzalandırdı: bu, zəif birja deyil, tələb olunandan daha geniş və uzunömürlü olan bir açar idi.

Qurmağa hazırsınız? API İdarəetmə-də read-only defoltları ilə açarınızı yaradın, ticarət hüquqlarını əlavə etməzdən əvvəl IP icazə siyahınızı əlavə edin və ilk imzalanmış sorğunuzdan əvvəl WEEX API sənədlərini oxuyun.

FAQ

1. Sızmış API açarı kriptomu WEEX-dən çıxara bilərmi?

Xeyr. WEEX API açarları yalnız Yalnız oxumaq və ticarət icazələrini dəstəkləyir — aktivləşdiriləcək çıxarış icazəsi yoxdur, buna görə də API açarı aktivləri platformadan kənara və ya başqa hesaba köçürə bilməz.

2. Güzəştə gedilmiş açarı söndürməyin ən sürətli yolu nədir?

Hesab → API İdarəetmə bölməsində onu silin, sonra qalan sifarişləri əl ilə ləğv edin. İcazələri redaktə etmək əvəzedici deyil, qismən ona görə ki, WEEX dəyişdirilmiş açarlar üçün təxminən 15 dəqiqəlik yayılma gecikməsini sənədləşdirir.

3. Açarın özü oğurlanıbsa, IP icazə siyahısı həqiqətən kömək edirmi?

Bəli və bu, mövcud olan ən yüksək təsirli nəzarətdir. Siyahıdan kənar hər hansı ünvandan gələn sorğular -1056 ILLEGAL_IP ilə rədd edilir. WEEX hər açar üçün 10-a qədər IP-yə icazə verir.

4. İtkilər görünməzdən əvvəl sızmış açarı necə fərq edə bilərəm?

Özünüz yaratmadığınız autentifikasiya və icazə səhvlərini — -1052, -1049, -1056 — və strategiyanızın heç vaxt ticarət etmədiyi cütlüklərdəki fill-ləri izləyin. Nazik altkoin kitablarındakı izah olunmamış fəaliyyət klassik imzadır.

5. Üçüncü tərəf ticarət botlarına API açarları vermək təhlükəsizdirmi?

Onlar birjanın deyil, bot təminatçısının təhlükəsizliyini miras alırlar. 2022-ci ilin dekabrında təxminən 100 000 müştərinin API açarlarının 3Commas tərəfindən açıqlanması daimi xatırlatmadır. Əgər birindən istifadə edirsinizsə, ona xüsusi ticarət üçün nəzərdə tutulmuş açar, təminatçının sənədləşdirilmiş çıxış IP-lərinə uyğun IP icazə siyahısı və onu dəyişdirmək üçün təqvim xatırlatması verin.

6. 30 saniyəlik timestamp qaydası normal botlara təsir edirmi?

Yalnız server saatınız geri qalırsa. ACCESS_TIMESTAMP WEEX server vaxtından 30 saniyədən çox fərqləndikdə sorğular rədd edilir, buna görə də NTP vasitəsilə sinxronizasiya edin və ya işə salarkən server-vaxtı endpoint-ini sorğulayın.

Risk Xəbərdarlığı

Kripto aktivləri dəyişkəndir və API ilə idarə olunan ticarət itkinin həm sürətini, həm də ölçüsünü, hesabdakı aktivlərin ümumi dəyərinə qədər artıra bilər. Avtomatlaşdırılmış strategiyalar xüsusi risklər daşıyır: güzəştə gedilmiş və ya həddindən artıq əhatə dairəsinə malik API açarı icazə vermədiyiniz ticarətləri yerinə yetirmək üçün istifadə edilə bilər və likvid olmayan cütlüklərdə məcburi alış heç bir çıxarış baş vermədən dəyəri məhv edə bilər. API vasitəsilə açılan leverajlı fyuçers mövqeləri tamamilə likvidasiya edilə bilər. Üçüncü tərəf botları və portfel alətləri qarşı tərəf riski yaradır, çünki onların tərəfindəki pozuntu ona qoşulmuş hər bir açarı ifşa edir. İcra edilmiş ticarətlər ümumiyyətlə yekundur və birjanın icazəsiz fəaliyyəti müəyyən edə və ya geri qaytara biləcəyinə dair heç bir zəmanət yoxdur. Burada təsvir olunan təhlükəsizlik parametrləri 2026-cı ilin avqust ayına olan WEEX sənədlərini əks etdirir və sistem yeniləmələri ilə dəyişə bilər — onlara etibar etməzdən əvvəl rəsmi API sənədlərində cari parametrləri yoxlayın. Burada heç nə investisiya məsləhəti deyil.