加密货币交易所 API 密钥：应关闭哪些权限

API 密钥不是密码，也不是通常意义上的账户访问权限。它是一份具有可单独勾选权限的授权委托书，您可以将其交给他人的软件：交给为德国“Anlage SO”附件收集交易记录的税务工具、投资组合追踪器或交易机器人。重要的是您在创建它时勾选了哪些选项。我们查看了德国投资者实际使用的交易所以及它们提供的权限，以及危险的默认设置在哪里。

加密货币交易所的 API 密钥能开启什么

API 密钥由两个字符串组成：一个公钥和一个秘密副本，程序通过它们向交易所识别身份，而无需知道您的密码。这正是关键所在：因为密钥本身就是一个身份，它也携带一套属于自己的权限。为纳税申报读取您交易历史的程序只需要读取权限，别无他求。

在实践中，情况往往相反。任何想快点搞定的人都会勾选提供的所有选项，因为不清楚相关工具以后可能需要查询什么。然后，该密钥会在他人的账户中存放多年，携带着从未被使用的权限。对于 Bitcoin 以及同一交易所中的任何其他持仓，该授权同样适用。

诱因：9 月份的一波网络钓鱼浪潮正是针对这些密钥

在 2026 年 9 月 10 日，攻击者获得了电子邮件服务提供商 Brevo 客户账户的访问权限，并利用这些账户发送了来自知名加密服务商真实发送路径的消息。受影响的包括硬件钱包制造商的用户以及税务和追踪服务的用户。这波浪潮与普通网络钓鱼的不同之处在于发件人地址：它是真实的，通常的辨别方法并不适用。我们在关于 Brevo 泄露事件和受受影响用户数据的报告中详细分析了这一事件。

对于在类似页面输入过凭据的任何人，服务商的建议是一致的：更改密码，检查双重身份验证，如果那里存储了加密货币交易所的密钥，请直接在交易所撤销并重新生成。最后一点经常在慌乱中被遗忘，因为许多投资者已经不记得这些年来他们给出了多少密钥。

我们检查了什么，以及如何检查

本分析由 cryptoticker.io 自身于 2026 年 9 月 16 日编制。方法：我们检索了服务商公开可达的文档和帮助页面，并仅评估其中明文陈述的内容，没有开设账户，也没有生成密钥。共检查了来自 8 个服务商和工具的 12 个页面。

对此有三点限制，且并非形式主义。Bitvavo 和 Bitpanda 的帮助页面对我们的自动检索返回了代码 403，从而屏蔽了机器而非读者；我们通过公开索引的版本确认了它们的内容。Binance 的帮助页面返回了代码 202，且未提供可评估的文本。此外，我们没有测量交易所在实际运行中是否完全按照其描述执行文档化的权限。

Kraken、Bitvavo 和 Binance：您单独授予了哪些权限

首先是发现：所有三家交易所都将读取、交易和提现分为独立的权限，且三家都提供对固定 IP 地址的限制。区别在于细节，而细节决定成败。

Kraken：三者中最细致的划分

Kraken 对权限的划分比其竞争对手更细致。Kraken 关于创建 API 密钥的帮助页面列出了资金方面的“Query Funds”（查询资金）、“Deposit Funds”（充值资金）和“Withdraw Funds”（提现资金），此外还有交易方面的“Query Open Orders & Trades”（查询未结订单和交易）、“Query Closed Orders & Trades”（查询已结订单和交易）、“Modify Orders”（修改订单）和“Cancel/Close Orders”（取消/关闭订单），以及“Query Ledger Entries”（查询账目条目）和“Export Data”（导出数据）。提现是一个单独的勾选项：根据文档，“Withdraw Funds”仅用于提现端点。有一个设置值得注意，因为它在其他地方很少见：Kraken 允许为密钥设置过期日期，并明确包括短至一周的期限。