Binance、セキュリティ警報を受けSignalPlusのAPIキーを全面失効

Binance、SignalPlusの全キーを失効

Binanceは、第三者の取引インフラ提供企業SignalPlusから自社側の潜在的なセキュリティ脆弱性の報告を受けたことを受け、同社に関連するすべてのAPIキーを失効させた。2025年11月5日木曜日にX上で公開した公式声明の中で同取引所は、この措置をユーザー保護のための即時の予防策と位置づけ、自社のシステムは影響を受けておらず、顧客資産も安全だと述べた。

@binance · Xの投稿

公式声明.

Xで見る

声明は、影響を受ける顧客への対応手順も明示している。SignalPlusを利用していたユーザーは、Binanceアカウントに直接ログインし、未決済のポジションと注文状況を確認すること。また、SignalPlusが完全な解決を確認するまで、APIキーの再連結は控えるよう求めている。あわせてIPホワイトリストの有効化が推奨された。この設定を有効にすると、キーは事前承認したIPアドレスからのみ動作し、認証情報が漏えいした場合でも被害の範囲を限定できる。声明の対象は個人ユーザーにとどまらない。同取引所と連携する第三者プラットフォームに対しても、セキュリティ管理を見直し、不審なアクティビティを監視し、懸念があれば速やかに報告するよう促している。

一方で、明らかにされていない部分も多い。セキュリティ上の問題の具体的な内容は説明されておらず、影響を受けたユーザー数も分からない。攻撃者が顧客アカウントにアクセスした事実や、それに伴う金銭的損失の発生も確認されていない。Binanceの文言は、この件を検証済みの侵害ではなく潜在的な曝露として扱っている。同社が常時案内しているセキュリティ指針は、侵害のおそれのある認証情報を直ちに失効させ、APIの権限を必要最小限の機能に絞ること。今回合った対応は、この指針をそのまま実行した形だ。SignalPlusの利用者が自動化機能を回復するには、連携が安全と判断された後、新しい認証情報を発行し直す必要がある。

SignalPlusとAPI権限の連鎖

SignalPlusは、仮想通貨デリバティブ市場向けの取引インフラと分析ツールを手がける企業だ。API連携を通じて複数の取引所のポジション管理や戦略実行を単一の画面から行え、オプション分析、リスク管理、自動執行をカバーする。そのためユーザー層は、先物取引を活発に行うデスクと大きく重なる。こうした接続により、顧客が資産をプラットフォームから出し移すことなく、外部アプリケーションが取引所アカウントを操作できる仕組みが成立している。

この利便性は権限設定に依存する。APIキーは、アカウントデータの閲覧、各種注文タイプでの発注、ポジション管理など、付与された範囲ごとに機能する。ユーザーが許可した範囲次第で、漏えいや悪用されたキーはアカウントを不正な取引活動にさらし得る。この区別は重要だ。資産そのものを最終的に支配する秘密鍵と異なり、APIキーは限定的で失効可能なアクセス権を与えるにすぎない。ただし、その範囲内であれば所有者の同意なくポジションを変更できる力は持つ。

したがって、今回の失効はSignalPlusユーザーに両面の影響を与える。Binance側を起点とする不正アクセスのリスクは連携経由で低下した一方で、この接続に依存していたすべての自動化戦略、AIトレーディングボットの運用やシステマティックなオプションのヘッジを含め、アカウントの管理を停止している。ポジション自体は取引所に残るが、第三者アプリケーションのロジックには反応しない。トレーダーが手動で介入するまで、ヘッジ済みの簿は本来の状態からズレを生じ得る。第三者ツールを巡るAPI関連の事故は珍しくもない。2022年には、取引プラットフォーム3Commasに紐づく認証情報の漏えいが発覚し、複数の取引所でセキュリティ警告とキー失効の波が起きた。

予防措置であり、確認済みの侵害ではない

この件の一次資料はBinance自身の発表であり、その表現は慎重だ。確認された侵害も、確認された損失も、確認されたアカウントアクセスもなく、あるのはSignalPlusが報告した潜在的な問題のみである。今回の措置を実証済みの攻撃として読むのは、この文書が述べている範囲を超える。実務上の教訓はフォレンジックというより運用面にある。この構造の下で顧客資産が直接の保管リスクにさらされたことはないが、稼働中の自動化戦略は中断を余儀なくされ、その期間はSignalPlusが技術的な調査結果を公表するか否か、そしてその時期に完全に左右される。同プラットフォーム経由でデリバティブの未決済ポジションを持つトレーダーは、連携の安全が確認されるまで手動での確認を基本とすべきだ。キーを再連結する際は、つなぎ直す前にIPホワイトリストを有効化してほしい。