ExAgg
繁 简
下载 App ↗

唯读 API Key 安全吗?交易所密钥权限与最坏情况完全解析(2026)

发布于 2026年7月17日

ExAgg 作者 ExAgg 团队 — 我们亲手打造了串接 10 家交易所与 40+ 条链的资产追踪 App,以下都是实作路上踩过、验证过的经验。

想用一个 App 看齐所有交易所的资产,几乎一定会遇到这个步骤:「请粘贴你的 API Key」。很多人在这里停下来——把密钥交出去,钱会不会被搬走?

先讲结论:只开「读取」权限的 API Key,拿到的人只能「看」,不能动你的任何一毛钱。 这不是 App 业者的口头承诺,而是交易所在服务器端强制运行的权限机制。这篇把它拆开讲清楚,包括最坏情况。

API Key 的三层权限

主流交易所(Binance、OKX、Bybit、Bitfinex⋯⋯)的 API 权限几乎都分成三层,风险等级完全不同:

  1. 读取(Read)——查余额、持仓、历史成交纪录。不能改变帐户的任何状态。
  2. 交易(Trade)——可以下单、撤单。钱还在交易所里,但可能被乱买乱卖。
  3. 提币(Withdraw)——可以把币转出交易所。这是唯一能真正「把钱搬走」的权限,风险最高,绝大多数交易所预设关闭,打开还要额外绑定 IP 或白名单。

你创建密钥时勾了哪些,这把钥匙就只有哪些能力。权限是交易所服务器在每一次 API 请求时检查的:一把只有读取权限的密钥,拿去调用下单接口,交易所会直接回传权限错误——不管调用的人是谁、用什么程序。

唯读权限到底能做什么、不能做什么

能做的:

  • 查找各钱包余额(现货、合约、理财)
  • 读取历史成交、充提纪录
  • 读取目前挂单与持仓状态

不能做的(交易所端直接拒绝):

  • 下任何一张单、撤任何一张单
  • 提币、内部转帐到别人帐户
  • 修改帐户设置、绑定设备、改密码
  • 把唯读密钥「升级」成有交易权限的密钥(权限变更必须登录网页后台、通过 2FA 才能改)

最坏情况分析:唯读密钥外流会怎样

诚实地说,唯读密钥外流不是零风险,但风险的性质是「隐私」而不是「资金」:

  • 资金安全:不受影响。 拿到密钥的人无法下单、无法提币。你的币一颗都动不了。
  • 隐私外泄:会。 对方能看到你的余额、持仓与交易纪录。对多数人来说这是不想被看到、但不会造成直接损失的信息。
  • 处置方式:随时可撤销。 登录交易所后台把该密钥删除,它立刻永久失效,再建一把新的即可,整个过程不到两分钟。

对比一下其他权限外流的后果:交易权限外流,攻击者可以用「对敲」手法在冷门交易对把你的钱慢慢洗走;提币权限外流,钱直接消失。这就是为什么所有资产追踪工具的铁则是——只给读取,其他一律不勾。

为什么比截屏、手动记帐更安全

有些人觉得「我截屏记在 Excel 就好,最安全」。实际上:

  • 截屏会过期,你看到的永远是旧数据;唯读 API 是实时的。
  • 截屏常常拍到更多敏感信息(email、UID、入金地址),随手传到云端相册或聊天软件,外泄面反而更大。
  • 手动输入会错,而错的资产数字会导致错的决策。

唯读 API 把「数据新鲜度」和「资金安全」拆开了:你拿到实时数据,同时交易所保证这条通道永远动不了钱。

ExAgg 怎么处理你的密钥

ExAgg 是本地优先(local-first)的资产追踪 App,设计上就只用读取权限:

  • 密钥只存在你的手机的系统安全保存区(iOS Keychain / Android Keystore),不上传任何服务器。
  • App 直接从你的手机连交易所 API,中间没有第三方服务器经手你的密钥。
  • ExAgg 本身不支持任何下单或提币操作——就算你误给了交易权限,App 里也没有能用到它的功能(但我们仍建议只开读取)。

常见问题 FAQ

唯读 API Key 外流,别人能把我的币提走吗?

不能。提币需要「提币(Withdraw)」权限,唯读密钥调用提币接口会被交易所服务器直接拒绝。对方最多只能看到你的余额与纪录。

我的 API Key 存在哪里?会上传到 ExAgg 的服务器吗?

密钥只保存在你手机的系统安全保存区(iOS Keychain / Android Keystore),不会上传。App 从你的设备直接连交易所,ExAgg 没有服务器保存你的密钥。

想撤销密钥怎么做?

登录该交易所网页后台的 API 管理页,删除那把密钥即可,立刻永久失效。之后想再用,重新建一把新的唯读密钥就好。

唯读密钥会不会被黑客「升级」成能交易的密钥?

不会。修改密钥权限必须登录交易所帐户本身(帐密+2FA),光有 API Key 与 Secret 无法变更任何权限设置。

下一步:实际去申请一把唯读密钥

观念懂了,动手只要五分钟。挑你在用的交易所照着做:

密钥连好之后,ExAgg 一个画面就能看到十家交易所加总的资产。