SignalPlus afirma que ataque ocorreu após comprometimento de conta de terceiros no Telegram; prejuízos inferiores a US$ 82 mil serão integralmente ressarcidos

A SignalPlus, plataforma de negociação de derivativos de criptomoedas, informou que um invasor obteve acesso por meio de uma conta de terceiros no Telegram que havia sido comprometida durante a madrugada de 4 de novembro. Segundo a plataforma, o incidente afetou um pequeno número de contas que não tinham uma lista de permissões de IP habilitada.

Em uma atualização publicada em 5 de novembro, a SignalPlus estimou que as perdas totais ficaram abaixo de US$ 82 mil e afirmou que os usuários afetados seriam integralmente ressarcidos. A empresa também declarou que conteve a invasão, suspendeu seu terminal por precaução e trabalhou em conjunto com corretoras centralizadas parceiras para revogar as chaves de API associadas.

O incidente evidencia um risco para traders que conectam suas contas em corretoras a ferramentas externas: uma conta pode permanecer segura no ambiente da corretora, enquanto um serviço conectado ou suas credenciais se tornam um ponto vulnerável.

O que aconteceu com a SignalPlus?

A SignalPlus atribuiu o ataque ao comprometimento de uma conta de terceiros no Telegram. De acordo com a empresa, o incidente atingiu um grupo limitado de usuários cujas contas não tinham uma lista de permissões de IP ativada.

As informações disponíveis sobre o caso não esclarecem exatamente como a conta comprometida do Telegram foi utilizada, nem detalham todas as ações realizadas pelo invasor. Também não foram divulgados o processo ou o prazo para o ressarcimento.

Como parte das medidas adotadas, a SignalPlus afirmou que:

• Conteve a invasão após detectá-la.
• Coordenou com corretoras centralizadas parceiras a revogação das chaves de API vinculadas.
• Suspendeu temporariamente os serviços do terminal.
• Planejava ressarcir integralmente os usuários afetados.
• Esperava restabelecer todos os serviços nos dias seguintes, com atualizações e instruções divulgadas pelos canais oficiais.

Os usuários devem considerar a estimativa de restabelecimento como uma previsão, e não como uma garantia, e aguardar uma confirmação oficial antes de reconectar qualquer conta de corretora.

Binance revogou as chaves de API associadas

A Binance também informou que revogou preventivamente todas as chaves de API associadas à SignalPlus após tomar conhecimento do possível problema de segurança. A corretora declarou que seus próprios sistemas não foram afetados e que os fundos dos usuários permaneciam seguros.

A Binance orientou os usuários da SignalPlus a acessar diretamente suas contas na plataforma e verificar tanto as posições abertas quanto as ordens pendentes. Também recomendou que as chaves de API não fossem reconectadas até que a SignalPlus confirmasse a resolução completa do problema.

Para traders de derivativos, essa verificação continua sendo importante mesmo depois da revogação do acesso. Ordens e posições existentes ainda podem exigir atenção: revogar uma chave de API impede que ela volte a ser utilizada, mas os usuários não devem presumir que isso encerre automaticamente as posições ou cancele todas as ordens em aberto.

Por que as permissões de API são importantes

As chaves de API permitem que ferramentas de negociação interajam com uma conta em uma corretora sem que o usuário precise inserir repetidamente suas credenciais de acesso. Dependendo das permissões concedidas, um aplicativo conectado pode consultar informações da conta, executar operações ou realizar outras ações compatíveis.

Essa praticidade traz uma responsabilidade adicional em termos de segurança. Além de confiar na corretora, o usuário também precisa avaliar cada serviço conectado a ela e limitar as ações que esse serviço pode realizar.

Uma lista de permissões de IP acrescenta uma camada de restrição ao permitir que uma chave seja utilizada somente a partir de endereços de rede previamente autorizados. Isso pode reduzir a exposição caso as credenciais sejam roubadas, embora não substitua o gerenciamento cuidadoso das permissões nem o monitoramento contínuo da conta.

Os recursos de API e as configurações de segurança variam entre as corretoras. Antes de criar ou modificar uma chave, os usuários podem consultar a documentação da API da Binance e verificar as configurações atuais de suas contas na respectiva corretora.

Medidas recomendadas aos usuários afetados

Se você conectou a SignalPlus a uma corretora, considere adotar as seguintes precauções:

1. Acesse a corretora diretamente. Use o aplicativo oficial da plataforma ou um endereço salvo, em vez de clicar em links recebidos em mensagens inesperadas.
2. Verifique as posições e ordens em aberto. Procure atividades que você não reconheça e avalie se sua exposição atual a derivativos ainda corresponde às suas intenções.
3. Confira as chaves de API conectadas. Verifique a situação das chaves associadas à SignalPlus e remova aquelas que já não forem necessárias.
4. Aguarde orientações oficiais sobre o restabelecimento. Não crie nem reconecte uma chave apenas porque uma mensagem afirma que o serviço voltou a funcionar.
5. Utilize apenas as permissões estritamente necessárias. Ao reconectar uma ferramenta, habilite somente os acessos indispensáveis para a função pretendida e, quando possível, use uma lista de permissões de IP.
6. Fique atento a tentativas de falsidade ideológica. Criminosos podem se aproveitar de um incidente de segurança para enviar mensagens falsas de suporte ou ressarcimento. Nunca forneça senhas, segredos de API ou frases de recuperação em resposta a essas mensagens.

Caso identifique atividades suspeitas, entre em contato com a corretora por meio de seus canais oficiais de suporte e preserve os registros relevantes da conta.

Uma lição mais ampla sobre segurança de criptomoedas

O incidente envolvendo a SignalPlus demonstra como uma violação ocorrida fora de uma corretora pode afetar usuários que dependem de uma infraestrutura de negociação conectada. Portanto, proteger uma conta vai além de manter segura a senha da corretora: também é necessário revisar as integrações, limitar as permissões de API e monitorar as posições.

Para ativos mantidos fora de corretoras, uma carteira física como a OneKey pode ajudar os usuários a proteger suas chaves privadas por meio da autocustódia. No entanto, ela não protege uma chave de API de corretora nem impede negociações não autorizadas realizadas por um serviço conectado. Esses riscos exigem controles específicos tanto no ambiente da corretora quanto no nível do aplicativo.