Binance borra todas las claves API vinculadas a SignalPlus por un posible problema de seguridad

Binance eliminó de forma preventiva todas las claves API vinculadas a SignalPlus, una plataforma de trading de opciones con criptomonedas, después de que esta reportara un “posible problema de seguridad”. El exchange asegura que sus sistemas no se vieron afectados y que los fondos de los usuarios están a salvo. Deribit tomó una medida similar y Changpeng Zhao (CZ) pidió revocar esas claves en cualquier otro exchange. Te explicamos qué pasó, qué falta por saber y cómo revisar tus propias claves API.

Qué pasó

Binance anunció la medida el jueves 5 de noviembre a través de X, según CoinDesk. De acuerdo con Reuters, el exchange dijo que “eliminó de forma proactiva todas las claves API vinculadas a SignalPlus” luego de que la plataforma informara de un “posible problema de seguridad”. Binance añadió que sus propios sistemas no resultaron afectados y que los fondos de los usuarios “siguen a salvo”.

SignalPlus es una plataforma de trading de opciones sobre activos digitales que ofrece herramientas y análisis, según CoinDesk. Reuters la describe como infraestructura para operar opciones y derivados. Los usuarios la conectan a sus cuentas de exchange mediante claves API para gestionar sus operaciones desde otra interfaz.

Según crypto.news y CoinDesk, Binance pidió a los afectados:

• Entrar directamente a su cuenta de Binance y revisar sus posiciones y órdenes abiertas.
• Esperar a que SignalPlus confirme que el problema está resuelto antes de volver a conectar sus claves.
• Usar listas blancas de IP en futuras conexiones por API.

El exchange también pidió a sus socios de integración que revisen sus controles de seguridad y reporten cualquier actividad inusual. Su cofundadora, Yi He, escribió en X que “esto no es un desafío para una sola empresa” y aclaró que la advertencia aplica a todos los socios externos, no solo a SignalPlus, según crypto.news.

Deribit y la advertencia de CZ

Deribit, el exchange especializado en opciones, también revocó las claves API conectadas a SignalPlus, según WuBlockchain, citado por SpendNode. CZ afirmó que Deribit había reportado el problema antes, según crypto.news.

A las 11:05 UTC, según SpendNode, el fundador de Binance publicó en X: “Si usas SignalPlus para cualquier otro exchange, es hora de revocar todas tus claves API”. CZ también recomendó no guardar claves API de exchanges en servicios de terceros, según CoinDesk.

Lo que todavía no se sabe

• No hay pérdidas reportadas. Ni CoinDesk ni crypto.news recogen pérdidas vinculadas a este caso, y SpendNode lo describe como un posible problema de seguridad, no como un robo confirmado.
• SignalPlus no ha dado detalles. Hasta el cierre de esta nota, ninguna de las fuentes consultadas incluía un comunicado de SignalPlus sobre la causa o el alcance del incidente.
• El contexto. La alerta llega una semana después del ataque que sufrió Binance el 29 de octubre, de unos US$6.300 millones, según CoinDesk. Las fuentes consultadas no vinculan ambos casos.

Qué hacer si usas herramientas conectadas por API

Qué es una clave API. Es una credencial que permite que un programa externo, como un bot o una plataforma de trading, actúe sobre tu cuenta dentro de los permisos que tú le das. Según la guía de seguridad de Binance citada por SpendNode, hay tres niveles: lectura (ver saldos e historial), trading (abrir y cancelar órdenes) y retiros.

Por qué importa. Una clave comprometida puede ejecutar operaciones no autorizadas aunque no tenga permiso de retiro, advierte CoinDesk. Además, la actividad por API puede no disparar las alertas de inicio de sesión que normalmente avisan de una intrusión, según SpendNode.

• Revisa tus claves en Binance. Según la guía oficial del exchange, la sección está en Perfil > Cuenta > Gestión de API (API Management). Mira qué claves existen, qué servicio usa cada una y qué permisos tiene. Si no reconoces una o usas SignalPlus, elimínala.
• Revoca en todos los exchanges. Que Binance o Deribit hayan borrado sus claves no significa que otro exchange lo haya hecho, recuerda SpendNode.
• Nunca des permiso de retiro a un tercero. Binance exige restringir por IP cualquier clave con permiso de retiro y desaconseja activar permisos distintos a la lectura sin esa restricción, según su guía.
• Usa lista blanca de IP. Así la clave solo funciona desde las direcciones que autorices. Desde el 30 de enero de 2023, las claves generadas por el sistema sin restricción de IP solo pueden ser de lectura, según Binance.
• Revisa órdenes y posiciones abiertas y no vuelvas a conectar SignalPlus hasta que confirme que el problema está resuelto.
• Desconfía de mensajes que ofrezcan “arreglar” tu conexión. Haz cualquier cambio solo desde la web o la app oficial del exchange.

Fuentes: Reuters, vía Yahoo Finance (5 de noviembre de 2026); CoinDesk (5 de noviembre de 2026); crypto.news (5 de noviembre de 2026); SpendNode, con información de WuBlockchain (5 de noviembre de 2026); y la guía de Binance “How to Create API Keys on Binance”.