バイナンスのAPIキーが漏洩した、あるいは漏洩の疑いがある場合、迅速な対応が不可欠です。GitHubへの誤ったコミットや、信頼性の低いサードパーティツールへの入力など、原因を問わず直ちに対処する必要があります。まずはBinance公式サイトにログインするか、Binance公式アプリを開き、以下の手順に従って操作を行ってください。アプリが未インストールの場合は、iOSインストールガイドを参考に導入を検討してください。
直ちに行うべき対応
APIキーの漏洩においては、対応の遅れが資産の損失に直結します。
漏洩したAPIキーの即時削除
Binanceにログイン後、API管理ページに移動します。漏洩した可能性のあるAPIキーを特定し、直ちに「削除」を実行してください。使用状況を確認する前に削除を優先すべきです。対応が1秒遅れるごとに、攻撃者が操作を行うリスクが高まります。
どのキーが漏洩したか特定できない場合は、すべてのAPIキーを削除することを推奨します。リスクを放置するより、後で再作成する方が安全です。
口座資産の確認
APIキーの削除後、直ちに口座資産を確認してください。現物、先物、理財（Earn）などの各口座において、不審な資産変動がないか点検します。特に、身に覚えのない取引履歴や出金履歴がないか重点的に確認してください。
取引履歴の精査
取引履歴ページにて、自身が意図しない操作が行われていないか精査します。APIキーが悪用された場合、一般的に「APIによる直接出金（出金権限がある場合）」、または「不当な価格での売買による、攻撃者の管理口座への資産移転」が行われる傾向にあります。
出金履歴の確認
出金履歴ページを確認し、未承認の出金操作がないか確認します。不正な出金が発見された場合は、直ちにBinanceカスタマーサポートへ報告してください。
APIキー漏洩の主な原因
再発防止のため、漏洩経路を特定することが重要です。
コードリポジトリ経由の漏洩
最も頻繁に見られるケースです。トレードボットなどのプログラム内にAPIキーを直接記述（ハードコーディング）し、誤ってGitHubなどの公開リポジトリにプッシュしてしまう事例です。公開リポジトリを監視するクローラーにより、数分以内に検知されるリスクがあります。
サードパーティツールの利用
自動売買プラットフォームやコピー運用システムなどのサードパーティツールにAPIキーを入力した際、当該プラットフォームのセキュリティ不備や、プラットフォーム自体が不正な目的で運営されている場合に漏洩が発生します。
端末のマルウェア感染
PCやスマートフォンがウイルスやマルウェアに感染している場合、ローカルに保存されたAPIキーが窃取される可能性があります。特に設定ファイルに平文で保存されている場合、容易に抽出されます。
ソーシャルエンジニアリング
Binanceのスタッフやテクニカルサポートを装い、トラブル解決やデバッグの名目でAPIキーを聞き出そうとする手法です。公式スタッフがユーザーのAPIキーを求めることは決してありません。
スクリーンショットやチャットログ
技術的な議論の際にAPIキーが含まれたスクリーンショットを共有したり、エラーログをマスキングせずに投稿したりすることで、意図せず公開されるケースがあります。
APIキーの再作成と安全設定
旧キー削除後、新しいAPIキーを作成する際は、以下の安全基準を遵守してください。
作成手順
API管理ページで「APIキーを作成」をクリックし、用途に応じた名称（例：「データ参照用」）を設定します。作成時には、Google認証やSMS認証による本人確認が求められます。
作成完了時に表示されるAPI KeyとSecret Keyのうち、Secret Keyは一度しか表示されません。必ずパスワードマネージャーなどの安全な場所に保管してください。
最小権限の原則
APIキー作成時は、必要最小限の権限のみを付与してください。
- 市場情報の参照や残高確認のみであれば、「読み取り」権限のみを有効にします。
- API経由の取引が必要な場合は「読み取り」と「取引」を有効にし、「出金」権限は無効のままにします。
- 「出金」権限は極めてリスクが高いため、特別な理由がない限り有効にしないでください。
IPホワイトリストの設定
これは最も効果的なセキュリティ対策です。APIキーの設定で、特定のIPアドレスからのリクエストのみを許可する「IPホワイトリスト」を有効にします。
固定IPアドレスを持つサーバーで運用している場合は、そのIPを登録してください。これにより、万が一APIキーが漏洩しても、許可されたIP以外からの操作はすべて拒否されます。
APIキー管理のベストプラクティス
将来的なリスクを低減するため、以下の運用を推奨します。
ハードコーディングの禁止
コード内に直接APIキーを記述せず、環境変数や設定ファイルを使用してください。また、設定ファイルは必ず .gitignore に追加し、バージョン管理に含めないよう徹底してください。
パスワードマネージャーの活用
1Password、Bitwarden、KeePassなどの信頼できるパスワードマネージャーで管理してください。テキストファイルやチャットアプリのメモ機能での保管は避けてください。
定期的なローテーション
漏洩の有無に関わらず、定期的にAPIキーを更新（古いキーを削除し新しいキーを作成）することを推奨します。これにより、万が一の不正利用期間を限定できます。
ツールごとの専用キー発行
複数のツールやボットを利用する場合、それぞれに専用のAPIキーを発行してください。問題が発生した際に影響範囲を特定しやすく、個別の削除が可能になります。
APIコールの監視
API管理ページで、各キーの利用状況を定期的に確認してください。予期しないトラフィックの増加や、意図しない時間帯のコールは、不正利用の兆候である可能性があります。
資産被害が確認された場合の対応
資産の盗難が確認された場合は、以下の手順を速やかに実行してください。
アカウントの無効化
セキュリティ設定から「アカウントの無効化」を選択し、アカウントを一時凍結します。これにより、さらなる被害の拡大を阻止します。
カスタマーサポートへの連絡
公式アプリのチャットまたは問い合わせフォームから、APIキー漏洩と資産被害の詳細を報告してください。不審な取引記録や出金記録を証拠として提示します。
証拠の保全
不正な取引、出金、APIコールログのスクリーンショットを保存してください。漏洩経路が特定できている場合は、その関連情報も記録しておきます。
法執行機関への相談
被害額が大きい場合は、最寄りの警察署などの法執行機関に相談してください。暗号資産の追跡は困難を伴いますが、公的な記録を残すことは重要です。
サードパーティツール利用時の留意点
サードパーティツールにAPIキーを連携させる際は、以下の点を確認してください。
信頼性の評価
運営母体、稼働実績、コミュニティでの評価、公開されている監査レポートなどを確認してください。実績のないツールへの連携は極めて慎重に行うべきです。
最小限の権限付与
ツールが本来必要としない権限（例：分析ツールに取引権限、取引ツールに出金権限など）を求められた場合は、利用を中止してください。
ホワイトリスト情報の取得
信頼できるツールプロバイダーは、接続元サーバーのIPアドレスリストを提供している場合があります。それらをホワイトリストに登録することで安全性を高められます。
不要なキーの整理
ツールの利用を終了した際は、即座に対応するAPIキーを削除してください。放置された古いキーが将来的な脆弱性となる可能性があります。
まとめ
APIキーの漏洩は深刻な事態ですが、迅速な削除と適切な初期対応により、被害を最小限に抑えることが可能です。「削除・確認・強化」を基本方針とし、最小権限の原則とIPホワイトリストを徹底することで、安全なAPI運用を実現してください。