币圈界报道：

SignalPlus遭遇社会工程攻击，损失控制在8.2万美元以内

近期，衍生品交易平台SignalPlus披露一起由伪造Microsoft Teams会议邀请引发的网络安全事件，确认总损失金额未超过8.2万美元。事件发生后，币安与Deribit迅速采取行动，主动终止了与该平台关联的API密钥访问权限。

攻击波及范围有限，平台承诺全额赔偿

根据调查结果，此次入侵仅影响少数未配置IP白名单功能的用户账户。SignalPlus表示，早在11月4日凌晨即识别出异常行为，并在向合作交易所通报前成功阻断了潜在的数据泄露风险。公司明确承诺，将对所有受波及用户进行全额资金补偿。

防御机制缺失暴露关键短板

事故声明指出，公司在第三方接口管理上存在明显疏漏——未强制要求接入交易所的API密钥必须绑定特定IP地址。这一安全盲点成为攻击者突破防线的关键入口。目前平台已暂停运营，正在全面排查系统漏洞，并协调各交易所完成密钥解绑流程。

溯源：从供应商账户到内部终端渗透

初步调查显示，攻击起点为一名被攻陷的技术供应商联系人Telegram账号。攻击者利用该账户伪装成可信来源，向SignalPlus工程师发送虚假会议链接。通过此类社交工程手段，成功获取员工设备控制权并在内网中长期潜伏。

11月4日清晨，攻击者开始以该员工身份发起横向移动，试图扩大对核心系统的访问。团队在监测到非正常操作后立即启动应急响应，封锁相关凭证并修复漏洞。随后，平台进入维护模式，集中开展安全审计和外部接口清理工作。

交易所协同应对，客户操作受限

币安与Deribit均于事发当日宣布，出于风险防范考虑，已全面撤销与SignalPlus之间的所有API密钥授权。币安强调其自身系统未受影响，用户资产仍处于安全状态；Deribit亦确认无数据外泄迹象。

币安曾临时建议用户直接通过其官网查看持仓与未平仓头寸，并提醒在平台问题彻底解决前避免重新绑定。Deribit则警示，由于密钥失效，客户将无法再使用SignalPlus执行交易、监控或自动化策略。

SignalPlus澄清，禁用API并不等同于账户信息或资金遭到泄露。该措施适用于全体用户，无论是否直接受害。在此期间，客户仍可通过交易所官方渠道正常管理自己的资产与订单。

责任归因与安全升级路径

公司公开致歉，承认未将IP白名单作为接入第三方平台的强制条件。“我们对这一重大疏忽负全部责任。”声明中写道。

IP白名单可有效限制密钥仅在指定网络环境下使用。为弥补缺陷，SignalPlus计划推行更严格的身份验证机制，强化开发终端防护，优化权限分配体系，并建立动态密钥生命周期管理制度。同时，公司将加强与交易所、技术伙伴及安全机构的情报共享机制。

币安联合创始人Yi He借此呼吁行业各方，应定期审查集成平台的安全标准，提高对异常活动的敏感度，并建立快速上报通道。

服务重启时间表与后续安排

SignalPlus预计将在未来数日内分阶段恢复服务。在全面上线前，公司将完成漏洞修补、安全加固及合规性验证。所有更新进展与用户指引将通过官方公告渠道持续发布。公司强调，当前调查仍在深入进行中，欢迎用户提交反馈以协助完善应对方案。

本次事件紧随币安10月29日发生的63.4亿美元被盗案之后。据币安11月3日发布的复盘报告，攻击者通过伪造招聘面试、植入恶意代码以及利用被入侵的内部AI工具，最终获得钱包签名权限。其窃取的部署凭证使攻击者得以运行非法脚本，进而操控核心基础设施。