有人用树莓派跑价格提醒，有人在自己的云服务器上部署交易脚本，还有人长期开着机器人监听行情。只要一台机器全天候接触你的账户权限，它就成了资产链条上第一个被攻击者考虑的环节。服务器不是钱包的延伸，它是一件有独立攻击面的设备：跑着公网可达的端口、装着来路不明的依赖包、系统补丁可能两年没打过。
一、先分清两类机器的权限上限
一台机器上装的权限，决定了它被黑之后的损失上限。监控告警类程序只需要读取权限：交易所行情接口、只读的链上查询、告警推送通道。签名和下单类操作才需要交易权限。把两者放在同一台机器上，等于让一个只需要看价格的进程替你的资产保管钥匙。合理的架构是分离：告警脚本跑在任意一台普通设备上，密钥只留只读能力；确需自动交易时，签名环境独立成专用机器或独立的受限密钥，网络、账号和依赖都最小化。交易所 API 建密钥时按需勾选权限，提现类开关保持关闭，并绑定可信 IP 段，具体选项以交易所官方文档为准。
二、密钥在服务器上的常见暴露路径
第一是环境变量与进程列表，同机其它用户可以窥探；第二是日志，程序调试时把带密钥的请求整条打进日志文件；第三是配置误提交，.env 文件被顺手推上公开仓库；第四是依赖投毒，服务器装的脚本库被植后门，密钥在内存里就被回传。对应的纪律是：密钥不落明文配置、日志统一过滤敏感字段、仓库提前配好忽略规则、依赖锁定版本并来自可信源。
三、发现服务器被入侵后的处置顺序
第一步不是关机而是吊销：立刻从交易所后台删除或禁用该服务器持有的全部 API 密钥，这一步不受服务器被控影响，因为操作发生在你自己的手机或另一台干净设备上。第二步，如果密钥带提现或转账能力，立即把关联资产迁到全新钱包——密钥已泄露的钱包不要指望清库存式转移，直接换新地址。第三步，保留入侵痕迹：不要急着重装系统，快照、日志、入侵时间点的记录是后续追查的依据。第四步，重建而不是修复：从干净镜像重装系统，所有密钥全部重新生成，被用过的一律作废。第五步，回头补架构，让重建后的告警机永远拿不到签名权限。
四、给自动化爱好者的三条底线
能只读的密钥绝不给交易权限；能人审的签名绝不全自动；任何声称「放服务器上就一劳永逸」的方案，先问一句它被攻破时最多亏多少。自动化的本质是把纪律交给机器，前提是机器丢了你输得起。
五、平时就该做的三件小事
第一件是给服务器建一本账：这台机器跑了哪些脚本、各持有哪个平台的什么权限、密钥创建于何时，写在一个本地文件里而不是靠记忆。多数被盗事件复盘时发现，机主自己都说不清服务器上还有几个没删的旧密钥。第二件是定期演练吊销：每季度实际走一遍「从手机端禁用某把 API 密钥」的流程，确认自己五分钟之内能完成，真出事时不会出现手忙脚乱翻不到入口的情况。第三件是收紧登录面：服务器 SSH 关闭密码登录、限制来源 IP、启用密钥认证，公网端口能少开一个就少开一个。告警机的系统补丁按发行版渠道月度更新，更新前看一眼变更日志里有没有依赖库的异常版本。这些动作单个都不起眼，合在一起的效果是：即使脚本机某天被拿下，损失上限也被架构提前钉死在了「只读信息泄露」这一层，而不是资产整体被搬空。
发表评论
还没有评论，来说两句吧。
评论区为展示样式，提交不会被处理。