如你的加密貨幣交易所 API 密鑰外洩了，應立即經交易所的官方網站或 App 撤銷或刪除這把確切的密鑰。然後停止所有使用它的機械人或整合服務，記錄該密鑰的權限，檢查帳戶活動，並在重新連接任何東西之前輪換所有相關憑證。

關鍵要點

即使外洩內容中似乎只有公開密鑰，也應把 secret 或 passphrase 視為已外洩。

先撤銷；先調查會令憑證繼續可用。

權限範圍決定了攻擊者可能查看或更改了甚麼。

更改密碼並不能證明 API 密鑰已被撤銷。

保留日誌，但不要把 secret 複製到個案、聊天或截圖中。

加密貨幣交易所 API 密鑰外洩後第一步做甚麼？

使用可信裝置，獨立開啟交易所，而不是經提示中的連結進入。進入 API 管理，根據標籤、公開識別碼、建立時間、IP allowlist 或所連接的服務找出外洩的密鑰，並撤銷或刪除它。如無法確定是哪一把，就停用所有非必要的 API 密鑰，之後再重建存取。

Kraken 警告，API 憑證可能容許執行敏感的帳戶操作，並建議採用最小權限、刪除不再需要的密鑰。［1］Coinbase 記錄了互相獨立的 View、Trade、Transfer 和 Manage 權限；其中 Transfer 權限可以轉移資產，並可能繞過一般的兩步確認。［2］各交易所的具體標籤不同，因此如不會延誤撤銷，應在刪除密鑰之前記錄其實際權限範圍。

按以下次序操作：

在官方交易所帳戶中撤銷外洩的密鑰。
暫停曾使用它的機械人、投資組合工具、稅務連接器、指令碼和伺服器。
記下密鑰標籤、公開識別碼、權限、allowlist 和時間戳，但絕不記下 secret。
檢查訂單、成交、提款、存入、地址簿變更、API 日誌、工作階段和保安通知。
如出現未經授權的活動或未知權限，經已登入的說明途徑聯絡官方交易所支援。
只有在環境可信之後，才輪換下游憑證並建立替代密鑰。

如帳戶本身出現陌生工作階段或復原設定變更，應把更全面的帳戶被接管檢查清單作為並行事故處理。API 控制和帳戶復原有重疊，但兩者不能互相取代。

到底外洩了哪一部分憑證？

一個交易所整合服務可能使用多個數值。它們的名稱不能互換。

外洩內容	一般作用	安全應對
公開 API key 或識別碼	用於選定憑證，可能出現在請求或後台面板中	確認平台是否把它視為敏感資料；用它找出並撤銷密鑰
Secret key	驗證或簽署 API 請求	假定已外洩，立即撤銷，絕不貼給支援人員
API passphrase	部分交易所要求的附加數值	與 secret 一併視為已外洩，並更換整套密鑰
QR 碼或設定檔	可能同時編碼多個憑證數值	假定其中嵌入的每個數值都已暴露
IP allowlist	限制請求可以從哪裏發出	作為證據保留，但不要把它當作唯一的控制措施

Coinbase 說明，其 Exchange API 密鑰需要 public key、secret 和 passphrase 三者齊備，而 secret 和 passphrase 只顯示一次。［2］因此，一張截圖、一個環境檔案、shell 紀錄、CI 日誌、瀏覽器擴充功能、共用筆記本或儲存庫提交，暴露的內容可能比檔案名稱暗示的更多。

不要把最初幾分鐘花在爭論攻擊者有否取得每個必需組件上。在一個可能有效的憑證仍然有效的情況下，撤銷比證明「沒有外洩」成本低得多。

交易所 API 密鑰權限怎樣改變風險？

根據交易所中的實際設定建立一張暴露矩陣。不要根據所連接的應用程式平時做甚麼來推斷權限；一個只顯示結餘的機械人，可能被不必要地授予了交易或轉帳權限。

權限	需要調查的潛在影響	即時證據
Read 或 View	結餘、持倉、紀錄、地址或個人交易模式被洩露	API 存取日誌、匯出紀錄、異常數據查詢
Trade	落盤或取消訂單、持倉變動、試圖操縱流動性或價格	訂單編號、成交、已取消訂單、時間戳
Transfer 或 Withdraw	資產被轉出、提款地址被更改或發起內部轉帳	提款紀錄、地址簿變更、確認訊息
Manage	設定、投資組合結構或其他憑證被更改	保安紀錄、設定差異、新密鑰或代理人

唯讀外洩仍然是一次私隱事故。持倉和交易紀錄可能被用於針對性釣魚、勒索、冒充或之後的社交工程。交易密鑰即使沒有提款也可能造成損失，而具轉帳能力的密鑰帶來的資產轉移風險最為緊迫。

如在審查期間提款被停用或整個帳戶受到限制，要把這兩種狀態分開處理。帳戶整體受控時參考帳戶限制指南，範圍較窄的提款決定則參考提款被停用指南。

怎樣保留證據又不再次外洩密鑰？

建立一份事故紀錄，讓另一位覆核人員在不持有 secret 的情況下也能看懂。內容包括：

交易所名稱、帳戶或投資組合識別碼，以及官方個案編號；
密鑰標籤和公開識別碼，如交易所將其視為敏感資料則部分遮蓋；
建立、最後使用、撤銷和發現的時間戳及時區；
權限、IP allowlist 和所連接的整合服務名稱；
相關的 API、訂單、成交、提款、保安和伺服器存取日誌；
外洩出現在哪裏、誰可以存取它，以及該副本何時被移除；
不含 secret、助記詞、復原碼和無關個人資料的截圖。

在可行時以唯讀方式保留原始匯出。記錄時區和來源系統，因為 UTC 的交易所日誌、本地時間的伺服器日誌和電郵時間戳，否則可能看起來互相矛盾。

切勿為了證明外洩而把 secret 貼進支援個案。支援人員可以透過帳戶背景、公開識別碼、標籤或時間戳識別憑證。如有人索取 secret、復原短語、一次性驗證碼或遙距螢幕控制，就停下來，並經官方交易所途徑重新聯絡支援。

撤銷之後還要輪換甚麼？

撤銷交易所密鑰可以阻止該憑證日後被使用，但不能清理洩露它的系統。OWASP 把輪換、撤銷、審計和事故應對視為秘密生命週期中的不同部分。［3］在建立替代密鑰之前，先找出暴露路徑。

檢查以下位置：

環境變數、.env 檔案、部署設定和 secret manager；
原始碼儲存庫、提交紀錄、議題附件、貼文網站和聊天匯出；
CI/CD 日誌、構建產物、當機報告、終端機紀錄和監察輸出；
交易機械人主機、投資組合工具、試算表、瀏覽器儲存和備份；
供應商後台、團隊帳戶、API gateway 和共用密碼管理器。

從運作中的系統移除外洩的數值，但在受控存取下保留事故證據。如 secret 進入了版本紀錄或備份，從最新檔案中刪除並不會抹去舊副本。令舊憑證失效的是輪換；清理紀錄只能減少被意外再次發現的機會。

用獨有密碼和強 MFA 保護交易所登入、主電郵和所連接的第三方帳戶。覆核復原方式和運作中的工作階段。如外洩源於惡意程式或不可信的主機，在安裝替代密鑰之前，先重建或修復該主機。

新 API 密鑰應該怎樣建立？

只有在交易所帳戶和整合環境都在控制之下時才建立。給它支援某一項指定工作所需的最小權限組合。報表工具不應取得交易或轉帳權限；除非業務需求明確且有獨立控制，交易機械人也不應取得提款權限。

每個整合服務使用一把獨立的密鑰，這樣日後撤銷時就不會影響無關的服務。當整合服務有穩定可信的出口時啟用 IP allowlist，在支援時設定到期或輪換提示，並把 secret 存放在專用的 secret manager 中，而不是原始碼或共用文件裏。

先用低風險的讀取操作測試替代密鑰。在觀察 API、訂單和提款日誌的同時，逐步重新啟用自動化。不要盲目照搬舊密鑰的權限；這次事故正是清理累積存取權限的機會。

怎樣判斷外洩的 API 密鑰是否被濫用？

沒有明顯的提款並不證明安全。把密鑰的最後使用數據與你的整合日誌比較，並覆核其權限範圍容許的所有操作。留意新的來源 IP、異常的請求量、被取消的訂單、意外的成交、新的提款地址、設定變更，以及在你的整合服務離線期間發生的活動。

詢問交易所能提供哪些審計數據，以及是否已採取臨時控制。不要把臨時凍結理解為被盜的證據；它可能只是預防性措施。反過來，也不要把結餘正常當作唯讀資料未被複製的證明。

分層寫出結論：已證實的操作、權限範圍容許但未證實的可能操作，以及被權威日誌排除的操作。這樣可以令應對以證據為基礎，同時不會淡化一次範圍未明的暴露。

總結

在調查外洩來源之前，先撤銷對應的 API 密鑰。
記錄權限，因為讀取、交易、轉帳和管理權限帶來不同的風險。
暫停整合服務，並同時檢查交易所一方和主機一方的日誌。
輪換相關秘密，並修復洩露憑證的系統。
以每個整合服務一把密鑰、最小權限和持續監察的方式重建存取。
令秘密遠離證據包和支援對話。

常見問題

更改交易所密碼就足夠嗎？

不足夠。更改密碼並不能證明另行簽發的 API 憑證已被撤銷。在 API 管理中刪除或撤銷該密鑰，並獨立核實其狀態。

如果只有 public API key 外洩呢？

風險取決於交易所的認證設計，以及是否還有其他組件一併暴露。用公開識別碼找出該密鑰、檢查其使用情況；當你無法有把握地界定外洩範圍時，就撤銷它。

應該立即把所有資產轉走嗎？

在核對地址、網絡、帳戶限制和裝置可信度之前，不要倉促發起新的轉帳。先撤銷密鑰；如存在具轉帳能力的存取權限或未經授權的活動，再聯絡交易所。

API 密鑰不能提款也會造成損失嗎？

會，只要它有交易權限。即使提款被停用，未經授權的訂單仍可能造成損失、手續費、不想要的持倉或市場風險。

可以公開密鑰讓別人協助測試嗎？

不可以。公開測試會擴大暴露，並可能損害帳戶。只經已認證的官方途徑分享經遮蓋的識別碼和必要證據。

IP allowlist 能令外洩的 secret 變得無害嗎？

它可以減少可利用的攻擊路徑，但不能證明安全。獲容許的主機本身也可能已失陷，網絡控制可能會變，而且 secret 仍應被撤銷。

何時可以重新連接交易機械人？

在舊密鑰已撤銷、外洩路徑已修復、帳戶活動已覆核，並且最小權限的替代密鑰已被安全儲存之後。逐步重新連接，並監察它最初的操作。

如果已發生未授權提款怎麼辦？

立即經交易所的官方事故途徑聯絡對方，保留交易和帳戶證據，並依循適用的報告要求。任何私人機構都不能保證追回。

免責聲明：本文只提供一般安全資訊，不構成金融、投資、交易、稅務、法律或專業事故應對建議。交易所功能、日誌、期限和補救方式因服務與司法管轄區而異。

來源：

Kraken — API Key Security — https://support.kraken.com/articles/api-key-security
Coinbase Exchange — How to create an API key — https://help.coinbase.com/en/exchange/managing-my-account/how-to-create-an-api-key
OWASP — Secrets Management Cheat Sheet — https://cheatsheetseries.owasp.org/cheatsheets/Secrets_Management_Cheat_Sheet.html

Sources checked 2026 年 9 月 8 日。

延伸閱讀：

加密貨幣交易所 API 密鑰外洩：撤銷憑證與排查風險