Keselamatan trading bot: panduan API key dan 2FA

Apabila anda menghubungkan trading bot ke akaun exchange anda, anda memberi perisian keupayaan untuk membeli dan menjual aset bagi pihak anda — 24 jam sehari, tanpa penyeliaan. Itu satu tahap kepercayaan yang luar biasa, dan ia menuntut tahap keselamatan yang luar biasa juga.

Berita baiknya: dengan langkah berjaga-jaga yang betul, automated trading tidak lebih berisiko daripada trading manual dari sudut keselamatan. Dalam beberapa segi, ia lebih selamat — anda tidak pernah log masuk ke exchange anda menggunakan Wi-Fi awam, anda tidak pernah tersilap menekan market sell order pada pukul 2 pagi, dan API key yang di-skop dengan betul sebenarnya mengehadkan apa yang boleh berlaku berbanding akses akaun penuh.

Tetapi jika anda tersilap dalam asas keselamatan, akibatnya teruk dan tidak boleh dipatah balik. Dalam dunia kripto, tiada bank untuk dihubungi, tiada chargeback untuk difailkan, dan tiada ejen insurans untuk menyelamatkan anda. Sebaik sahaja dana keluar dari akaun anda, ia hilang.

Panduan ini merangkumi semua yang perlu anda ketahui untuk memastikan persediaan trading bot anda kekal selamat — daripada pengurusan API key kepada kebersihan keselamatan peribadi hinggalah kepada apa yang perlu dilakukan jika sesuatu tidak kena.

Mengapa Keselamatan Adalah Keutamaan #1 dalam Automated Trading

Sebelum membincangkan strategi, keuntungan, atau platform mana yang perlu dipilih, keselamatan mesti didahulukan. Inilah sebabnya:

Risikonya Nyata

Mata wang kripto beroperasi pada blockchain yang tidak boleh dipatah balik dan bersifat pseudonim. Jika seseorang memperoleh akses tanpa kebenaran ke akaun exchange atau API key anda dan memindahkan dana anda, tiada butang undo. Tidak seperti perbankan tradisional — di mana transaksi penipuan selalunya boleh dipatah balik — transaksi kripto adalah muktamad. Satu kesilapan keselamatan boleh mengakibatkan kehilangan seluruh dana secara kekal.

Anda Adalah Sasaran

Pemegang kripto secara aktif disasarkan oleh penyerang yang canggih. Email phishing yang menyamar sebagai exchange, platform bot palsu yang direka untuk menuai API key, serangan kejuruteraan sosial di media sosial, serangan SIM-swap untuk memintas pengesahan SMS — landskap ancaman ini luas dan sentiasa berkembang. Automated trading menambah permukaan serangan tambahan kerana API key menjadi kredensial berharga baharu yang perlu dilindungi.

Keselamatan yang Baik Itu Mudah

Realiti yang memberangsangkan ialah keselamatan yang kukuh tidak memerlukan pengetahuan teknikal yang mendalam. Ia memerlukan disiplin — menerapkan secara konsisten satu set kecil amalan yang tidak boleh ditawar. Langkah-langkah dalam panduan ini hanya mengambil masa beberapa minit untuk disediakan dan memberikan perlindungan yang berkekalan.

Keselamatan API Key: Barisan Pertahanan Pertama Anda

API key ialah mekanisme yang digunakan oleh trading bot anda untuk berkomunikasi dengan exchange anda. Memahaminya secara mendalam adalah penting untuk menggunakan bot dengan selamat.

Apakah Itu API Key?

API key ialah sepasang kredensial — satu public key (juga dipanggil API Key) dan satu secret key (juga dipanggil API Secret) — yang mengesahkan permintaan bot anda ke exchange. Anggap public key sebagai username dan secret key sebagai password. Bersama-sama, kedua-duanya membuktikan kepada exchange bahawa sesuatu permintaan itu dibenarkan oleh anda.

Apabila bot anda mahu meletakkan order, ia menghantar permintaan ke exchange yang ditandatangani dengan secret key anda. Exchange mengesahkan tandatangan tersebut menggunakan public key anda. Jika sepadan, order dilaksanakan. Jika tidak, ia ditolak.

Permission Scoping: Konsep Terpenting

Setiap exchange utama membolehkan anda menetapkan kebenaran khusus pada setiap API key. Inilah asas keselamatan API key. Kebenaran biasa termasuk:

• Read / View — Boleh melihat baki, sejarah order, dan data pasaran
• Trade / Spot Trading — Boleh meletakkan dan membatalkan order beli/jual
• Futures Trading — Boleh meletakkan dan membatalkan order futures/derivatif
• Withdrawal — Boleh memindahkan dana keluar dari exchange ke dompet luaran
• Internal Transfer — Boleh memindahkan dana antara sub-akaun

Peraturan Emas: JANGAN SEKALI-KALI Mengaktifkan Kebenaran Pengeluaran

Ini tidak boleh ditegaskan dengan cukup kuat: jangan sekali-kali mengaktifkan kebenaran pengeluaran (withdrawal) pada mana-mana API key yang disambungkan ke platform pihak ketiga. Tiada platform bot yang sah memerlukan keupayaan untuk mengeluarkan dana anda dari exchange.

Dengan kebenaran pengeluaran dinyahaktifkan, senario terburuk yang mutlak jika API key anda terjejas ialah penyerang boleh meletakkan trade pada akaun anda. Walaupun itu tidak ideal, dana pokok anda kekal di exchange dan tidak boleh dipindahkan keluar. Satu tetapan ini adalah perbezaan antara “penyerang melaksanakan beberapa trade buruk” dan “penyerang mengosongkan seluruh akaun saya”.

Cara Mencipta API Key yang Selamat

Berikut ialah arahan langkah demi langkah untuk tiga exchange utama:

Binance:

1. Log masuk ke akaun Binance anda dan navigasi ke Account → API Management
2. Klik Create API dan pilih System generated
3. Beri label yang deskriptif pada key anda (cth., "Freya Finance Bot - Mei 2026")
4. Lengkapkan pengesahan 2FA
5. Di bawah API restrictions, tanda hanya Enable Spot & Margin Trading
6. Di bawah IP access restrictions, pilih Restrict access to trusted IPs only dan masukkan IP pelayan platform bot anda
7. Simpan API Key dan Secret Key anda — secret hanya dipaparkan sekali sahaja

Bybit:

1. Log masuk dan pergi ke Profile → API Management → Create New Key
2. Pilih System-generated API Keys
3. Beri nama yang deskriptif pada key anda
4. Di bawah API Key permissions, aktifkan hanya Read-Write untuk Spot (atau Derivatives jika perlu)
5. Pastikan Withdraw TIDAK ditanda
6. Di bawah IP Access, tambah alamat IP platform anda
7. Lengkapkan pengesahan 2FA dan simpan key anda

OKX:

1. Log masuk dan navigasi ke Profile → API Keys → Create API Key
2. Masukkan label dan passphrase (OKX memerlukan passphrase untuk keselamatan tambahan — simpan ini dengan selamat)
3. Di bawah Permissions, pilih hanya Trade
4. Tambah alamat IP platform anda ke whitelist
5. Lengkapkan pengesahan 2FA
6. Simpan API Key, Secret Key, dan Passphrase anda

IP Whitelisting: Menjadikan Key yang Dicuri Tidak Berguna

IP whitelisting mengehadkan API key anda supaya ia hanya berfungsi apabila permintaan datang dari alamat IP tertentu. Walaupun penyerang mencuri API key dan secret anda, mereka tidak boleh menggunakannya dari pelayan mereka sendiri kerana exchange akan menolak permintaan dari IP yang tidak dibenarkan.

Cara ia berfungsi:

1. Platform bot anda berjalan pada pelayan dengan alamat IP yang khusus dan tetap
2. Anda menambah alamat IP tersebut ke whitelist API key anda di exchange
3. Exchange menolak sebarang permintaan API yang tidak berasal dari salah satu IP yang di-whitelist

Kebanyakan platform bereputasi baik menerbitkan alamat IP pelayan mereka dalam dokumentasi mereka. Freya Finance menyediakan IP pelayannya semasa proses sambungan API key, menjadikan persediaan mudah.

Nota penting tentang IP whitelisting:

• Jika IP platform anda berubah (jarang, tetapi mungkin berlaku semasa kemas kini infrastruktur), anda perlu mengemas kini whitelist anda
• Sesetengah exchange, seperti Binance, menjadikan IP whitelisting pilihan tetapi sangat mengesyorkannya. Yang lain mungkin mengehadkan fungsi key jika tiada IP di-whitelist
• IP whitelisting TIDAK melindungi anda jika platform bot itu sendiri terjejas — ia melindungi anda jika key anda bocor secara berasingan (cth., melalui serangan phishing atau pelanggaran data pada perkhidmatan lain)

Two-Factor Authentication (2FA): Barisan Pertahanan Kedua Anda

Two-Factor Authentication menambah langkah pengesahan kedua di luar kata laluan anda. Walaupun penyerang memperoleh kata laluan exchange anda, mereka tidak boleh mengakses akaun anda tanpa faktor kedua.

Jenis-Jenis 2FA

Tidak semua kaedah 2FA sama selamatnya:

Aplikasi Authenticator (Disyorkan ✅)

Aplikasi seperti Google Authenticator, Authy, atau Microsoft Authenticator menjana time-based one-time password (TOTP) yang disegar semula setiap 30 saat. Kod ini dijana secara setempat pada peranti anda dan tidak pernah dihantar melalui rangkaian, menjadikannya tahan terhadap pemintasan.

Hardware Security Key (Paling Selamat 🔒)

Peranti fizikal seperti YubiKey memberikan tahap keselamatan pengesahan tertinggi. Anda memasukkan atau menyentuh key secara fizikal untuk mengesahkan. Peranti ini kebal terhadap phishing kerana key mengesahkan identiti laman web sebelum bertindak balas. Semua exchange utama menyokong hardware key FIDO2/WebAuthn.

2FA Berasaskan SMS (Tidak Disyorkan ⚠️)

Kod SMS dihantar ke nombor telefon anda melalui mesej teks. Walaupun lebih baik daripada tiada langsung, SMS terdedah kepada serangan SIM-swap — di mana penyerang meyakinkan pembawa mudah alih anda untuk memindahkan nombor telefon anda ke kad SIM mereka. Dalam komuniti kripto, serangan SIM-swap sangat kerap berlaku dan telah mengakibatkan kerugian berjuta-juta dolar.

2FA Berasaskan Email (Boleh Diterima untuk Penggunaan Berisiko Rendah)

Kod yang dihantar ke alamat email anda. Lebih selamat daripada SMS (akaun email boleh diperkukuh dengan 2FA-nya sendiri), tetapi kurang mudah dan kurang selamat berbanding aplikasi authenticator.

Menyediakan 2FA Aplikasi Authenticator

1. Muat turun aplikasi authenticator — Google Authenticator, Authy, atau Microsoft Authenticator. Authy mempunyai kelebihan: ia menyokong sandaran awan yang disulitkan, jadi anda boleh memulihkan kod jika anda kehilangan telefon anda.
2. Pergi ke tetapan keselamatan exchange anda dan pilih "Enable Authenticator App" atau "Enable Google 2FA"
3. Imbas kod QR yang dipaparkan oleh exchange menggunakan aplikasi authenticator anda
4. PENTING: Simpan backup/recovery key. Ini ialah rentetan aksara (biasanya 16-32 aksara) yang dipaparkan bersama kod QR. Tuliskannya di atas kertas dan simpan di lokasi yang selamat secara fizikal. Jika anda kehilangan telefon tanpa key ini, anda mungkin terkunci daripada akaun anda selama berminggu-minggu sementara sokongan mengesahkan identiti anda.
5. Masukkan kod 6 digit dari aplikasi authenticator anda untuk mengesahkan persediaan
6. Uji dengan log keluar dan log masuk semula untuk memastikan 2FA berfungsi dengan betul

Keselamatan Exchange: Memilih Exchange yang Selamat

Trading bot anda hanya seselamat exchange yang disambungkan dengannya. Berikut ialah perkara yang perlu dinilai:

Model Kustodi

• Centralized Exchange (CEX): Binance, Bybit, OKX, dan exchange serupa menyimpan dana anda dalam kustodi mereka. Ini mudah tetapi bermakna anda mempercayai exchange untuk melindungi aset anda. Pilih exchange dengan rekod prestasi yang kukuh dan infrastruktur keselamatan yang teguh.
• Decentralized Exchange (DEX): Anda mengekalkan kustodi dana anda sendiri melalui dompet peribadi. Walaupun ini menghapuskan risiko exchange, ia memperkenalkan risiko lain (kerentanan smart contract, transaksi kelulusan phishing) dan kebanyakan platform trading bot belum menyokong trading DEX lagi.

Apa yang Perlu Dicari pada Sesebuah Exchange

• Proof of Reserves (PoR): Laporan berkala yang diaudit secara bebas yang membuktikan exchange memegang aset yang mencukupi untuk menampung semua deposit pengguna. Selepas keruntuhan FTX pada tahun 2022, Proof of Reserves menjadi standard industri. Binance, Bybit, dan OKX kesemuanya menerbitkan laporan PoR.
• Insurance Fund / SAFU: Dana khusus yang diketepikan untuk menampung kerugian pengguna sekiranya berlaku pelanggaran keselamatan. SAFU Binance (Secure Asset Fund for Users) adalah salah satu yang terawal dan memegang rizab melebihi $1 bilion.
• Cold Storage: Majoriti dana pengguna sepatutnya disimpan dalam cold wallet luar talian yang di-air-gap dan tidak disambungkan ke internet. Exchange bereputasi baik menyimpan 90-95% dana dalam cold storage.
• Program Bug Bounty: Exchange yang membayar penyelidik keselamatan untuk mendedahkan kerentanan secara bertanggungjawab cenderung mempunyai postur keselamatan yang lebih kukuh berbanding yang tidak.
• Pematuhan Kawal Selia: Exchange yang beroperasi di bawah rangka kerja kawal selia (cth., memegang lesen di Kesatuan Eropah, UAE, atau Jepun) tertakluk kepada pengawasan berterusan dan biasanya mengekalkan standard keselamatan yang lebih tinggi.

Sediakan Anti-Phishing Code Exchange Anda

Ketiga-tiga exchange utama menawarkan anti-phishing code — frasa tersuai yang muncul dalam setiap email sah dari exchange. Jika anda menerima email yang mendakwa berasal dari exchange anda tetapi tanpa kod ini, ia adalah percubaan phishing. Sediakan ini dengan segera:

• Binance: Security → Anti-Phishing Code
• Bybit: Account & Security → Anti-Phishing Code
• OKX: Security → Anti-Phishing Code

Keselamatan Platform: Apa yang Perlu Anda Tuntut daripada Penyedia Bot Anda

Memilih platform bot yang selamat dan boleh dipercayai adalah kritikal. Berikut ialah rupa platform yang selamat — dan red flag yang sepatutnya membuatkan anda beredar.

Apa yang Disediakan oleh Platform yang Selamat

Tanpa Kustodi Dana

Platform sepatutnya menyambung ke exchange anda melalui API key sahaja. Dana anda kekal di exchange pada setiap masa. Platform tidak pernah memegang, memindahkan, atau mempunyai akses langsung ke kripto anda. Jika sesebuah platform bot meminta anda mendepositkan dana ke dalam platform mereka, itu adalah model kustodial — dan satu lapisan risiko tambahan.

Penyimpanan API Key Disulitkan

API key anda sepatutnya disulitkan semasa rehat (at rest) menggunakan penyulitan yang kukuh dan berstandard industri, serta diuruskan melalui perkhidmatan pengurusan key yang khusus dan selamat. Kakitangan platform sepatutnya tidak boleh melihat API key anda dalam teks biasa.

Audit Trail

Setiap tindakan yang dilakukan oleh bot anda — setiap order yang diletakkan, setiap posisi yang dibuka dan ditutup — sepatutnya dilog dan boleh dilihat oleh anda. Ketelusan ini membolehkan anda mengesahkan bahawa bot anda melakukan tepat seperti yang sepatutnya dan tidak lebih daripada itu.

Role-Based Access Control

Jika platform menawarkan akaun pasukan atau organisasi, ia sepatutnya menyokong kebenaran berasaskan peranan. Tidak semua orang dalam sesebuah pasukan memerlukan keupayaan untuk mencipta atau mengubah suai sambungan API key.

Audit Keselamatan Berkala

Platform bereputasi baik menjalani audit keselamatan pihak ketiga dan penetration testing secara berkala. Cari platform yang telus tentang amalan keselamatan mereka.

Red Flag yang Perlu Diperhatikan

• ❌ Memerlukan kebenaran pengeluaran pada API key
• ❌ Meminta kata laluan exchange anda — tiada platform yang pernah memerlukan ini
• ❌ Meminta anda mendepositkan dana ke dalam platform bot itu sendiri
• ❌ Tiada pilihan 2FA pada log masuk platform itu sendiri
• ❌ Menjamin pulangan tertentu — tiada platform sah yang berbuat demikian
• ❌ Tiada maklumat syarikat yang jelas — pasukan tanpa nama adalah satu risiko
• ❌ Tiada dokumentasi awam tentang amalan keselamatan
• ❌ Taktik tekanan — bahasa seperti "labur sekarang atau terlepas"

Scam Biasa dan Red Flag dalam Ruang Trading Bot

Ruang bot kripto menarik para scammer kerana ia menggabungkan dua perkara yang mereka gemari: orang yang teruja untuk menjana wang dan teknologi yang kebanyakan orang tidak fahami sepenuhnya. Berikut ialah scam yang paling biasa:

1. Platform Bot Palsu

Scammer mencipta laman web yang kelihatan profesional yang mengiklankan trading bot “berkuasa AI” dengan pulangan terjamin. Mereka mungkin memaparkan testimoni palsu, tangkapan skrin keuntungan yang direka-reka, malah dashboard live palsu yang memaparkan trade rekaan. Matlamatnya adalah untuk membuat anda mendepositkan dana atau memberikan API key dengan kebenaran pengeluaran diaktifkan.

Cara mengesannya:

• Janji pulangan terjamin atau luar biasa tinggi (cth., "50% sebulan dijamin")
• Tiada rekod prestasi atau pendaftaran syarikat yang boleh disahkan
• Tekanan untuk "bertindak sekarang" sebelum peluang tamat
• Hanya menerima deposit, memberi alasan apabila anda cuba mengeluarkan dana

2. Phishing API Key

Penyerang menghantar email atau mesej yang menyamar sebagai platform sah, meminta anda untuk “menyambung semula” atau “mengemas kini” API key anda dengan memasukkannya di laman web palsu. Laman palsu tersebut menangkap kredensial anda.

Cara melindungi diri anda:

• Sentiasa navigasi ke platform dengan menaip URL secara langsung — jangan sekali-kali klik pautan dalam email
• Sahkan URL dalam address bar pelayar anda dengan teliti (penyerang menggunakan domain seakan-akan sama seperti "binanсe.com" dengan aksara Cyrillic)
• Sediakan anti-phishing code di exchange anda supaya anda boleh mengesahkan email yang sah

3. Penyamaran di Media Sosial

Scammer menyamar sebagai kakitangan sokongan platform yang sah di Telegram, Discord, Twitter, atau Reddit. Mereka akan DM anda menawarkan “bantuan” dan akhirnya meminta API key, kata laluan, atau seed phrase.

Cara melindungi diri anda:

• Pasukan sokongan yang sah tidak akan pernah DM anda terlebih dahulu
• Jangan sekali-kali kongsi API key, kata laluan, atau seed phrase dalam mana-mana aplikasi pemesejan
• Gunakan hanya saluran sokongan rasmi yang tersenarai di laman web platform

4. Scam "Copy My Bot"

Seseorang di media sosial memaparkan tangkapan skrin keuntungan yang mengagumkan dan menawarkan untuk berkongsi konfigurasi bot mereka — tetapi hanya jika anda menggunakan pautan referral mereka ke platform yang meragukan, atau jika anda menghantar mereka “setup fee” dalam kripto.

Cara melindungi diri anda:

• Tangkapan skrin keuntungan boleh direka-reka dengan mudah
• Platform marketplace yang sah seperti yang terdapat di Freya Finance mengendalikan perkongsian konfigurasi secara telus di dalam platform
• Jangan sekali-kali menghantar kripto kepada sesiapa sebagai "yuran" untuk akses trading bot

5. Bot Skim Ponzi

Platform yang mendakwa menjalankan trading bot tetapi sebenarnya membayar “pulangan” daripada deposit pelabur baharu. Skim ini runtuh apabila deposit baharu menjadi perlahan, dan kebanyakan peserta kehilangan segalanya.

Cara mengesannya:

• Pulangan yang konsisten secara mencurigakan (trading sebenar mempunyai drawdown)
• Penekanan berat pada "bonus referral" dan merekrut pengguna baharu
• Penjelasan yang samar atau tiada tentang strategi trading yang sebenar
• Tidak dapat memberikan sejarah trading exchange yang boleh disahkan

Kebersihan Keselamatan Peribadi

Langkah keselamatan teknikal hanya sekukuh tabiat peribadi anda. Amalan-amalan ini hanya mengambil masa beberapa minit untuk dilaksanakan dan secara dramatik mengurangkan permukaan serangan anda.

Gunakan Alamat Email Khusus

Cipta alamat email berasingan yang digunakan secara eksklusif untuk akaun exchange dan pendaftaran platform trading anda. Email ini sepatutnya:

• Bukan email peribadi atau kerja anda
• Tidak dikaitkan secara umum dengan identiti anda
• Menggunakan kata laluan yang kukuh dan unik
• Mempunyai 2FA berasaskan authenticator diaktifkan
• Tidak digunakan untuk media sosial, newsletter, atau apa-apa yang lain

Pengasingan ini bermakna jika email utama anda terjejas dalam pelanggaran data, akaun exchange anda kekal tidak terjejas.

Gunakan Password Manager

Setiap akaun sepatutnya mempunyai kata laluan unik yang dijana secara rawak sepanjang sekurang-kurangnya 16 aksara. Anda secara realistik tidak boleh menghafal kata laluan yang unik dan kompleks untuk setiap perkhidmatan — jadi gunakan password manager seperti 1Password, Bitwarden, atau KeePass.

Apa yang sepatutnya disimpan oleh password manager anda:

• Kredensial log masuk exchange
• Kredensial log masuk platform bot
• Kod backup/recovery 2FA (dalam secure notes)
• Label dan tarikh penciptaan API key (tetapi pertimbangkan untuk menyimpan API secret yang sebenar di lokasi berasingan yang lebih selamat)

Bersikap Paranoid Terhadap Phishing

Phishing ialah vektor serangan #1 dalam dunia kripto. Penyerang tidak perlu menggodam exchange — mereka hanya perlu memperdaya anda.

Peraturan untuk dipegang:

• Bookmark URL exchange dan platform anda dan sentiasa akses daripada bookmark
• Jangan sekali-kali klik pautan dalam email yang mendakwa berasal dari exchange — pergi terus ke laman web
• Sahkan URL aksara demi aksara sebelum memasukkan kredensial
• Bersikap curiga terhadap sebarang mesej yang mencipta urgensi ("Akaun anda akan dikunci dalam 24 jam!")
• Jangan sekali-kali kongsi secret API anda, kata laluan, seed phrase, atau kod 2FA dengan sesiapa — walaupun "sokongan"

Amankan Peranti Anda

• Kekalkan sistem pengendalian dan aplikasi anda dikemas kini — patch keselamatan itu penting
• Gunakan penyulitan cakera penuh (FileVault pada Mac, BitLocker pada Windows)
• Jangan pasang sambungan pelayar dari sumber yang tidak dikenali — sambungan berniat jahat boleh membaca kandungan clipboard dan menyuntik kod ke dalam halaman web
• Gunakan antivirus bereputasi baik dan kekalkan ia dikemas kini
• Kunci telefon anda dengan biometrik dan PIN yang kukuh — aplikasi authenticator anda ada pada peranti ini

Apa yang Perlu Dilakukan Jika Anda Mengesyaki Pelanggaran Keselamatan

Jika anda percaya API key, akaun exchange, atau akaun platform bot anda telah terjejas, bertindaklah dengan segera. Kepantasan itu penting — setiap minit anda berlengah ialah satu minit penyerang boleh beroperasi.

Respons Segera (5 Minit Pertama)

Langkah 1: Padam semua API key di exchange anda

Log masuk ke exchange anda secara langsung (bukan melalui sebarang pautan) dan padam setiap API key dengan segera. Ini serta-merta membatalkan semua akses pihak ketiga ke akaun anda, termasuk platform bot anda. Anda boleh mencipta semula key kemudian — buat masa ini, keutamaan adalah pembendungan.

Langkah 2: Tukar kata laluan exchange anda

Tukar kata laluan exchange anda kepada kata laluan baharu yang unik dan dijana secara rawak. Lakukan ini dari peranti yang anda percayai — sebaik-baiknya bukan peranti yang sama tempat penjejasan mungkin berlaku.

Langkah 3: Semak open order dan posisi

Periksa sebarang order atau posisi yang tidak anda cipta. Batalkan segera sebarang open order yang mencurigakan. Tutup sebarang posisi yang dibuka tanpa pengetahuan anda.

Langkah 4: Nyahaktifkan pengeluaran (jika boleh)

Sesetengah exchange membolehkan anda membekukan pengeluaran untuk suatu tempoh (cth., kunci pengeluaran 24 jam Binance selepas perubahan keselamatan). Aktifkan ini jika tersedia.

Siasatan (30 Minit Berikutnya)

Langkah 5: Semak log akses API key

Periksa log akses API exchange anda untuk permintaan dari alamat IP yang tidak dikenali. Ini membantu menentukan sama ada API key anda benar-benar digunakan oleh penyerang atau sama ada ancaman berjaya dibendung.

Langkah 6: Semak sejarah log masuk

Periksa sejarah log masuk exchange anda untuk peranti, lokasi, atau alamat IP yang tidak dikenali. Jika anda melihat log masuk tanpa kebenaran, kredensial akaun anda (bukan hanya API key) mungkin telah terjejas.

Langkah 7: Periksa akaun email anda

Jika akaun exchange anda terjejas, email anda mungkin juga terjejas. Periksa aktiviti log masuk yang mencurigakan, peraturan forwarding yang tidak dibenarkan, atau aplikasi tersambung yang tidak dikenali. Tukar kata laluan email anda dan semak tetapan 2FA.

Langkah 8: Imbas peranti anda

Jalankan imbasan malware penuh pada mana-mana peranti yang telah anda gunakan untuk mengakses exchange atau platform bot anda.

Pemulihan (Selepas Pembendungan)

Langkah 9: Hubungi sokongan exchange

Laporkan insiden kepada pasukan sokongan rasmi exchange anda dengan butiran sebarang aktiviti tanpa kebenaran.

Langkah 10: Cipta semula API key dengan keselamatan lebih ketat

Setelah anda mengesahkan akaun anda selamat, cipta API key baharu dengan IP whitelisting dan kebenaran minimum yang diperlukan.

Langkah 11: Dokumenkan segalanya

Simpan rekod garis masa, apa yang anda perhatikan, dan tindakan yang anda ambil. Ini membantu sebarang siasatan sokongan dan penting jika anda perlu melaporkan insiden kepada pihak berkuasa.

Pengurusan Risiko: Keselamatan yang Anda Bina ke Dalam Strategi Anda

Keselamatan bukan sahaja tentang mencegah akses tanpa kebenaran — ia juga tentang melindungi diri anda daripada kerugian berlebihan akibat risiko pasaran. Pengurusan risiko yang betul adalah satu bentuk keselamatan kewangan.

Position Sizing

Jangan sekali-kali memperuntukkan seluruh baki trading anda kepada satu bot atau satu trading pair. Panduan umum:

• Peruntukan per-bot: Tidak lebih daripada 10-20% daripada jumlah modal trading anda setiap bot
• Peruntukan per-pair: Tidak lebih daripada 25-30% daripada modal anda dalam mana-mana trading pair tunggal
• Jumlah peruntukan aktif: Kekalkan 20-30% daripada baki anda sebagai simpanan untuk keadaan pasaran yang tidak dijangka

Stop Loss Tidak Boleh Ditawar

Setiap bot sepatutnya mempunyai stop loss yang dikonfigurasikan. Stop loss secara automatik menutup posisi anda jika kerugian melebihi ambang yang telah ditetapkan, mencegah trade buruk daripada menjadi satu bencana.

Ya, stop loss bermakna anda kadangkala akan ditutup sebelum pemulihan berlaku. Itu adalah kos insurans. Trade di mana stop loss menyelamatkan anda daripada drawdown 70-80% pada aset yang sedang runtuh berbaloi dengan setiap exit pramatang.

Kepelbagaian

Jangan menjalankan lima bot yang kesemuanya memperdagangkan aset yang sama. Jika BTC jatuh 20%, kelima-lima bot berada dalam masalah secara serentak. Sebarkan bot anda merentasi:

• Trading pair yang berbeza (BTC, ETH, SOL, dll.)
• Strategi yang berbeza (DCA, grid, berasaskan isyarat)
• Timeframe yang berbeza (jangka pendek dan jangka panjang)

Mula Kecil dan Skala Secara Beransur-ansur

Mulakan dengan jumlah modal yang kecil sambil anda mempelajari bagaimana bot anda berkelakuan. Tingkatkan peruntukan anda hanya selepas anda memerhatikan prestasi yang konsisten merentasi keadaan pasaran yang berbeza. Backtesting membantu mengesahkan strategi, tetapi live trading dengan jumlah kecil mengesahkannya.

Semakan Berkala

Jadualkan semakan mingguan terhadap prestasi bot anda. Pasaran berubah, dan strategi yang berjaya bulan lalu mungkin berprestasi rendah bulan ini. Bersedia untuk menyesuaikan, mengoptimumkan, atau menghentikan bot berdasarkan keadaan semasa — bukan keputusan masa lalu.

Untuk panduan komprehensif tentang keuntungan dan jangkaan pulangan yang realistik, lihat Adakah Crypto Trading Bot Benar-Benar Menguntungkan?.

Soalan Lazim

Bolehkah seseorang mencuri dana saya jika mereka mendapat API key saya?

Jika API key anda mempunyai kebenaran pengeluaran dinyahaktifkan (sebagaimana disyorkan), penyerang tidak boleh mengeluarkan dana anda dari exchange. Mereka berpotensi meletakkan trade pada akaun anda, tetapi dana pokok anda kekal di exchange. Jika anda juga telah mengaktifkan IP whitelisting, API key yang dicuri pada dasarnya tidak berguna kerana exchange akan menolak permintaan dari alamat IP yang tidak dibenarkan.

Adakah selamat menggunakan platform trading bot?

Ya — dengan syarat anda memilih platform bereputasi baik dan mengikuti amalan keselamatan dalam panduan ini. Keperluan utamanya ialah: platform tidak pernah meminta kebenaran pengeluaran, tidak pernah mengambil kustodi dana anda, menyulitkan API key anda semasa rehat, dan menyokong 2FA. Platform seperti Freya Finance memenuhi semua kriteria ini. Untuk bantuan memilih platform, lihat panduan perbandingan platform kami.

Patutkah saya menggunakan SMS atau aplikasi authenticator untuk 2FA?

Sentiasa gunakan aplikasi authenticator (seperti Google Authenticator atau Authy) berbanding SMS. SMS terdedah kepada serangan SIM-swap, di mana penyerang meyakinkan pembawa mudah alih anda untuk memindahkan nombor telefon anda ke kad SIM mereka. Aplikasi authenticator menjana kod secara setempat pada peranti anda dan tidak bergantung pada nombor telefon anda, menjadikannya kebal terhadap serangan SIM-swap.

Berapa kerap saya patut merotasi API key saya?

Tiada peraturan universal, tetapi merotasi API key anda setiap 3-6 bulan adalah amalan yang munasabah. Anda juga patut merotasi key dengan segera jika: anda mengesyaki sebarang pelanggaran keselamatan, anda membatalkan akses daripada sesebuah platform, atau platform melaporkan insiden keselamatan. Apabila anda merotasi, cipta key baharu dahulu, kemas kini platform, sahkan ia berfungsi, kemudian padam key lama.

Apa yang berlaku kepada bot saya jika saya memadam API key saya?

Bot anda akan segera kehilangan sambungannya ke exchange dan berhenti meletakkan order baharu. Walau bagaimanapun, sebarang order yang telah diletakkan di exchange akan kekal aktif sehingga ia dipenuhi atau tamat tempoh. Selepas memadam API key, log masuk ke exchange anda dan semak secara manual sebarang open order. Apabila anda mencipta API key baharu, anda perlu menyambungkannya semula ke platform bot anda.

Adakah terdapat sebarang undang-undang atau peraturan tentang crypto trading bot?

Trading bot adalah sah di kebanyakan bidang kuasa — ia hanyalah alat perisian yang mengautomasikan tindakan yang boleh anda lakukan secara manual. Walau bagaimanapun, menggunakan bot untuk manipulasi pasaran (wash trading, spoofing, skim pump-and-dump) adalah menyalahi undang-undang di exchange yang teregulasi. Peraturan berbeza mengikut negara, jadi periksa undang-undang tempatan anda. Bot dan strategi yang dibincangkan dalam panduan ini dan di Freya Finance direka untuk strategi trading yang sah seperti DCA dan grid trading.