Chiave API compromessa? Cosa fare immediatamente

Se sospetti che la tua Chiave API dell’exchange sia stata compromessa, agisci subito: revoca la chiave, controlla la cronologia degli scambi e dei prelievi, quindi generane una nuova prima di riconnettere qualsiasi cosa. In questo ordine — la revoca per prima è ciò che blocca davvero ulteriori danni; tutto il resto serve per valutare e ripulire.

I tre passaggi

1. Revoca la chiave. Accedi direttamente al tuo Account sull’exchange ed elimina la chiave dalla pagina di gestione delle API. Questa è l’azione più importante in assoluto e richiede meno di un minuto: interrompe immediatamente qualsiasi utilizzo di quella chiave, indipendentemente dalla piattaforma a cui era collegata, perché l’exchange rifiuta qualsiasi richiesta firmata proveniente da una chiave che non riconosce più. Consulta come revocare l’accesso API su Binance, Bybit, OKX, Kraken e Gate.io per i passaggi dettagliati.

2. Controlla la cronologia degli scambi e dei prelievi. Cerca ordini che non hai effettuato o variazioni di saldo che non riesci a spiegare. Se la chiave aveva solo permessi di scambio (senza prelievo), le attività non autorizzate appariranno come scambi insoliti — a volte volutamente manipolativi, non come un trasferimento diretto in uscita. Consulta la sezione successiva per capire perché questa distinzione è comunque importante anche con una chiave solo per gli scambi.

3. Genera una nuova chiave, con le autorizzazioni corrette, prima di riconnetterti. Crea una nuova Chiave API con permessi di sola lettura e scambio — mai prelievo — e aggiungi una restrizione IP se la tua piattaforma di scambio lo consente, poiché questo neutralizza la chiave anche in caso di una nuova fuga di dati. Usala per riconnettere qualsiasi Bot che desideri far ripartire. Non riutilizzare le Impostazioni della vecchia chiave senza prima verificarle; se aveva permessi più ampi del necessario, è il momento giusto per correggerli.

Perché una chiave trade-only non è comunque a rischio zero

Una chiave senza diritti di prelievo non può spostare fondi direttamente fuori dall’exchange, ma può comunque essere utilizzata in modo improprio: un attaccante con accesso agli scambi può inserire ordini manipolativi — ad esempio acquistando asset illiquidi a prezzi gonfiati, per trarre profitto dal movimento di prezzo risultante a tuo discapito — senza mai attivare un prelievo. Ecco perché revocare l’accesso è importante anche quando sei certo che la chiave non abbia mai avuto il permesso di prelievo. Per una panoramica completa su cosa può o non può fare una chiave, consulta a quali dati può accedere un Bot di trading tramite una Chiave API.

Come vengono effettivamente compromesse le chiavi

Comprendere il vettore di fuga è importante quanto intervenire subito per risolvere il problema, perché è ciò che impedisce che si ripeta. I percorsi più comuni, in ordine decrescente di frequenza nei report sugli incidenti: email di phishing o messaggi che si spacciano per il team di supporto di una piattaforma di exchange o di Bot, chiedendo di “verificare” una chiave o di incollarla da qualche parte; estensioni del browser malevole con il permesso di leggere i contenuti delle pagine, che possono catturare una chiave mentre la copi dalla pagina delle Impostazioni dell’exchange; falsi agenti di supporto su Telegram, Discord o nei messaggi diretti sui social media che chiedono direttamente una chiave, presentandolo come assistenza tecnica; e, meno frequentemente, malware che monitora il contenuto degli appunti. Le piattaforme legittime non chiedono mai di inviare una Chiave API tramite chat, email o ticket di supporto: una richiesta del genere è già il segnale più chiaro che qualcosa non va, prima ancora che venga eseguito uno Scambio non autorizzato.

Quanto sia effettivamente comune

La compromissione di credenziali e chiavi private è una categoria reale e monitorata di perdite nel settore crypto, non un caso raro o marginale. Il rapporto di metà anno 2026 della società di Sicurezza blockchain SlowMist ha registrato 182 incidenti di Sicurezza Totale nel settore tra gennaio e giugno 2026, per un Totale di circa 956 milioni di dollari di perdite — e, all’interno di questi, 17 incidenti distinti sono stati specificamente compromissioni di chiavi private o credenziali, per un valore di circa 130 milioni di dollari. Si tratta di una quota inferiore rispetto agli exploit su smart contract (la categoria singola più ampia), ma rappresenta comunque un rischio costante e persistente, non in diminuzione. Separatamente, il Crypto Crime Report 2026 di Chainalysis ha stimato le perdite totali dovute a truffe crypto in circa 17 miliardi di dollari per il 2025, con l’importo medio dei pagamenti per truffa aumentato del 253% anno su anno e il volume delle truffe tramite impersonificazione cresciuto del 1.400% nello stesso periodo — un promemoria che le tattiche utilizzate per ottenere una chiave sono sia comuni sia sempre più costose quando vanno a segno.

Compromissione sospetta vs. confermata

I tre passaggi sopra si applicano nel momento in cui sospetti una fuga di dati, non solo dopo averne confermato una — revocare una chiave che poi si rivela essere sicura ti costa solo qualche minuto per riconnettere un Bot; lasciare attiva una chiave realmente compromessa costa decisamente di più. Se il controllo della cronologia degli Scambi al punto due risulta pulito, è ragionevole smettere di trattare la situazione come un incidente attivo, ma vale comunque la pena completare il terzo passaggio (una nuova chiave con ambito più ristretto) invece di tornare a usare quella vecchia, dato che qualunque cosa ti abbia insospettito inizialmente merita comunque di essere presa in considerazione per il futuro.

Dopo le azioni immediate

Una volta che la chiave compromessa è stata rimossa e una nuova è attiva, esamina da dove potrebbe essere avvenuta la perdita utilizzando l’elenco qui sopra, così da evitare che la nuova chiave finisca nello stesso posto. La Crypto Bot Risk Checklist copre un insieme più ampio di precauzioni che vale la pena rivedere una volta gestito il rischio immediato.

Revocare una chiave richiede meno di un minuto. Qualsiasi azione compiuta da un attaccante con una chiave compromessa richiede più tempo di così — l’ordine in cui agisci è l’intera strategia.

FAQ

Qual è la primissima cosa da fare se la mia Chiave API è compromessa? Revocala subito dalla pagina di gestione delle API del tuo exchange. In questo modo interrompi immediatamente qualsiasi utilizzo di quella chiave, prima di fare qualsiasi altra cosa.

Qualcuno può rubare i miei fondi con una Chiave API solo per il trading? Non può prelevarli direttamente, ma può comunque manipolare il tuo saldo tramite operazioni non autorizzate. Revoca la chiave indipendentemente dal suo livello di autorizzazione.

Come vengono solitamente rubate le Chiavi API? Nella maggior parte dei casi tramite messaggi di phishing che si spacciano per l’assistenza, estensioni del browser dannose o falsi operatori di supporto che chiedono direttamente la chiave. Una piattaforma legittima non richiederà mai la tua Chiave API tramite chat o email.

Devo generare una nuova Chiave API con le stesse autorizzazioni della precedente? Solo se quella vecchia era già configurata correttamente — lettura e scambio, senza prelievo. Approfitta di questa occasione per verificare e restringere le autorizzazioni, e aggiungere una restrizione IP, se non era già presente.

Quanto è comune la compromissione delle Chiavi API nel settore crypto? Si tratta di una categoria di perdita monitorata e costantemente aggiornata. Il rapporto sulla Sicurezza di metà anno 2026 di SlowMist ha registrato 17 incidenti di compromissione di chiavi private/credenziali, per un totale di circa 130 milioni di dollari solo nella prima metà del 2026.