Seguridad ng Trading Bot: Gabay sa API Keys at 2FA

Kapag ikinonekta mo ang isang trading bot sa iyong exchange account, binibigyan mo ang isang software ng kakayahang bumili at magbenta ng assets sa ngalan mo — 24 oras sa isang araw, nang walang bantay. Sobrang laki ng tiwalang iyon, at nangangailangan ito ng sobrang taas na antas ng seguridad.

Ang magandang balita: sa tamang pag-iingat, ang automated trading ay hindi mas peligroso kaysa sa manual trading pagdating sa seguridad. Sa ilang aspeto, mas ligtas pa nga ito — hindi ka na kailangang mag-login sa exchange mo sa public Wi-Fi, hindi ka na madidiin ng maling market sell order nang alas-dos ng madaling-araw, at ang isang tamang-scope na API key ay talagang nililimitahan ang pwedeng mangyari kumpara sa full account access.

Ngunit kung mali ang mga pundasyon ng seguridad, malubha at hindi na mababawi ang mga kahihinatnan. Sa crypto, walang bangkong tatawagan, walang chargeback na iaapela, at walang insurance agent na magsasagip sa iyo. Kapag umalis na ang pondo sa account mo, wala na iyon.

Saklaw ng gabay na ito ang lahat ng kailangan mong malaman para manatiling ligtas ang setup ng iyong trading bot — mula sa pamamahala ng API key hanggang sa personal na security hygiene hanggang sa dapat mong gawin kapag may mali.

Bakit Ang Seguridad Ang #1 na Priyoridad sa Automated Trading

Bago pag-usapan ang mga estratehiya, kita, o kung aling platform ang pipiliin, dapat unahin ang seguridad. Narito kung bakit:

Totoo Ang Nakataya

Ang cryptocurrency ay gumagana sa mga blockchain na hindi mababawi at pseudonymous. Kung may makakuha ng hindi awtorisadong access sa iyong exchange account o API keys at ilipat ang pondo mo, walang undo button. Hindi tulad ng tradisyonal na banking — kung saan madalas na mababawi ang mga mapanlokong transaksyon — ang mga transaksyon sa crypto ay final. Ang isang pagkakamali sa seguridad ay pwedeng magresulta sa kabuuan at permanenteng pagkawala ng pondo.

Isa Kang Target

Ang mga may hawak ng crypto ay aktibong tini-target ng mga sopistikadong umaatake. Mga phishing email na nagpapanggap na exchange, pekeng bot platform na dinisenyo para mag-ani ng API keys, mga social engineering attack sa social media, mga SIM-swap attack para malusutan ang SMS verification — malawak at patuloy na umuusbong ang tanawin ng banta. Nagdaragdag ang automated trading ng karagdagang attack surface dahil ang API keys ay nagiging bago at mahalagang kredensyal na dapat protektahan.

Simple Lang Ang Mahusay na Seguridad

Ang nakapagpapasiglang katotohanan ay hindi nangangailangan ang matibay na seguridad ng mataas na kaalamang teknikal. Ang kailangan ay disiplina — ang tuluy-tuloy na pagsasagawa ng ilang di-matatawarang gawi. Ang mga hakbang sa gabay na ito ay ilang minuto lang i-set up at nagbibigay ng pangmatagalang proteksyon.

Seguridad ng API Key: Ang Iyong Unang Linya ng Depensa

Ang API keys ang mekanismo kung paano nakikipag-usap ang trading bot mo sa exchange mo. Ang malalim na pag-unawa sa mga ito ay mahalaga para ligtas na magamit ang mga bot.

Ano Ang API Keys?

Ang isang API key ay isang pares ng kredensyal — isang public key (tinatawag ding API Key) at isang secret key (tinatawag ding API Secret) — na nagpapatotoo sa mga request ng bot mo sa exchange. Isipin mo ang public key bilang username at ang secret key bilang password. Magkasama, pinapatunayan nila sa exchange na ang isang request ay iyong awtorisado.

Kapag gustong maglagay ng order ng bot mo, nagpapadala ito ng request sa exchange na naka-sign gamit ang secret key mo. Bini-verify ng exchange ang signature gamit ang public key mo. Kung tumugma, isasagawa ang order. Kung hindi, tatanggihan ito.

Permission Scoping: Ang Pinakamahalagang Konsepto

Bawat malaking exchange ay pinapayagan kang magtakda ng mga partikular na permission sa bawat API key. Ito ang pundasyon ng seguridad ng API key. Kabilang sa mga karaniwang permission ang:

• Read / View — Nakakakita ng balances, order history, at market data
• Trade / Spot Trading — Nakakapaglagay at nakakakansela ng buy/sell orders
• Futures Trading — Nakakapaglagay at nakakakansela ng futures/derivatives orders
• Withdrawal — Nakakapaglipat ng pondo palabas ng exchange papunta sa mga external wallet
• Internal Transfer — Nakakapaglipat ng pondo sa pagitan ng mga sub-account

Ang Golden Rule: HUWAG Kailanman I-enable Ang Withdrawal Permissions

Hindi ito madidiin nang sapat na lakas: huwag kailanman i-enable ang withdrawal permissions sa anumang API key na nakakonekta sa isang third-party platform. Walang lehitimong bot platform ang nangangailangan ng kakayahang mag-withdraw ng pondo mo mula sa exchange mo.

Kapag naka-disable ang withdrawal permissions, ang pinakamalalang posibleng senaryo kung ma-compromise ang API key mo ay makakapaglagay ng trades ang isang umaatake sa account mo. Bagama't hindi ito ideal, ang principal na pondo mo ay nananatili sa exchange at hindi mailipat palabas. Ang isang setting na ito ang pagkakaiba ng "may isinagawang ilang masamang trade ang umaatake" at "inubos ng umaatake ang buong account ko."

Paano Gumawa ng Ligtas na API Key

Narito ang step-by-step na mga tagubilin para sa tatlong malalaking exchange:

Binance:

1. Mag-login sa iyong Binance account at pumunta sa Account → API Management
2. I-click ang Create API at piliin ang System generated
3. Bigyan ng malinaw na label ang key mo (hal., "Freya Finance Bot - Mayo 2026")
4. Kumpletuhin ang 2FA verification
5. Sa ilalim ng API restrictions, i-check lang ang Enable Spot & Margin Trading
6. Sa ilalim ng IP access restrictions, piliin ang Restrict access to trusted IPs only at ilagay ang mga server IP ng bot platform mo
7. I-save ang API Key at Secret Key mo — ang secret ay ipinapakita nang isang beses lang

Bybit:

1. Mag-login at pumunta sa Profile → API Management → Create New Key
2. Piliin ang System-generated API Keys
3. Bigyan ng malinaw na pangalan ang key mo
4. Sa ilalim ng API Key permissions, i-enable lang ang Read-Write para sa Spot (o Derivatives kung kailangan)
5. Tiyaking HINDI naka-check ang Withdraw
6. Sa ilalim ng IP Access, idagdag ang mga IP address ng platform mo
7. Kumpletuhin ang 2FA verification at i-save ang mga key mo

OKX:

1. Mag-login at pumunta sa Profile → API Keys → Create API Key
2. Maglagay ng label at passphrase (nangangailangan ang OKX ng passphrase para sa karagdagang seguridad — itago ito nang ligtas)
3. Sa ilalim ng Permissions, piliin lang ang Trade
4. Idagdag ang mga IP address ng platform mo sa whitelist
5. Kumpletuhin ang 2FA verification
6. I-save ang iyong API Key, Secret Key, at Passphrase

IP Whitelisting: Ginagawang Walang-silbi Ang Ninakaw na Keys

Nililimitahan ng IP whitelisting ang iyong API key para gumana lang ito kapag ang mga request ay nanggaling sa mga partikular na IP address. Kahit pa manakaw ng isang umaatake ang API key at secret mo, hindi nila ito magagamit mula sa sarili nilang mga server dahil tatanggihan ng exchange ang mga request mula sa hindi awtorisadong IPs.

Paano ito gumagana:

1. Ang bot platform mo ay tumatakbo sa mga server na may partikular at nakatakdang IP address
2. Idinadagdag mo ang mga IP address na iyon sa whitelist ng API key mo sa exchange
3. Tinatanggihan ng exchange ang anumang API request na hindi nanggaling sa isa sa mga naka-whitelist na IP

Karamihan sa mga mapagkakatiwalaang platform ay inilalathala ang mga server IP address nila sa kanilang dokumentasyon. Ibinibigay ng Freya Finance ang mga server IP nito sa panahon ng proseso ng pagkonekta ng API key, kaya madali ang setup.

Mahahalagang tala tungkol sa IP whitelisting:

• Kung magbago ang mga IP ng platform mo (bihira, ngunit posible sa panahon ng mga infrastructure update), kailangan mong i-update ang whitelist mo
• Ang ilang exchange, tulad ng Binance, ay ginagawang opsyonal ang IP whitelisting ngunit lubos itong inirerekomenda. Ang iba ay maaaring maglimita sa functionality ng key kung walang naka-whitelist na IP
• HINDI ka pinoprotektahan ng IP whitelisting kung ang bot platform mismo ang na-compromise — pinoprotektahan ka nito kung ang key mo ay na-leak nang hiwalay (hal., sa pamamagitan ng phishing attack o data breach sa ibang serbisyo)

Two-Factor Authentication (2FA): Ang Iyong Pangalawang Linya ng Depensa

Nagdaragdag ang Two-Factor Authentication ng pangalawang hakbang ng pag-verify bukod sa password mo. Kahit makuha ng isang umaatake ang password ng exchange mo, hindi nila maa-access ang account mo nang wala ang pangalawang factor.

Mga Uri ng 2FA

Hindi lahat ng paraan ng 2FA ay pantay-pantay ang seguridad:

Authenticator App (Inirerekomenda ✅)

Ang mga app tulad ng Google Authenticator, Authy, o Microsoft Authenticator ay gumagawa ng time-based one-time passwords (TOTP) na nagre-refresh kada 30 segundo. Ang mga code na ito ay lokal na ginagawa sa device mo at hindi kailanman ipinapadala sa isang network, kaya matatag ang mga ito laban sa interception.

Hardware Security Key (Pinakaligtas 🔒)

Ang mga pisikal na device tulad ng YubiKey ay nagbibigay ng pinakamataas na antas ng authentication security. Pisikal mong isinasaksak o dinidikit ang key para mag-authenticate. Ang mga ito ay immune sa phishing dahil bini-verify ng key ang pagkakakilanlan ng website bago tumugon. Sinusuportahan ng lahat ng malalaking exchange ang FIDO2/WebAuthn hardware keys.

SMS-Based 2FA (Hindi Inirerekomenda ⚠️)

Ang mga SMS code ay ipinapadala sa numero ng telepono mo sa pamamagitan ng text message. Bagama't mas mabuti kaysa sa wala, ang SMS ay bulnerable sa SIM-swap attacks — kung saan hinihikayat ng isang umaatake ang iyong mobile carrier na ilipat ang numero mo sa SIM card nila. Sa komunidad ng crypto, nakakagambalang karaniwan ang mga SIM-swap attack at nagresulta sa milyun-milyong dolyar na pagkalugi.

Email-Based 2FA (Katanggap-tanggap para sa Low-Risk na Paggamit)

Mga code na ipinapadala sa email address mo. Mas ligtas kaysa sa SMS (ang mga email account ay maaaring patatagin gamit ang sarili nilang 2FA), ngunit hindi gaanong maginhawa at hindi gaanong ligtas kaysa sa authenticator apps.

Pag-set up ng Authenticator App 2FA

1. Mag-download ng authenticator app — Google Authenticator, Authy, o Microsoft Authenticator. May bentaha ang Authy: sinusuportahan nito ang encrypted cloud backups, kaya mababawi mo ang mga code kung mawala ang telepono mo.
2. Pumunta sa security settings ng exchange mo at piliin ang "Enable Authenticator App" o "Enable Google 2FA"
3. I-scan ang QR code na ipinapakita ng exchange gamit ang authenticator app mo
4. KRUSYAL: I-save ang backup/recovery key. Ito ay isang string ng mga karakter (kadalasang 16-32 na karakter) na ipinapakita kasabay ng QR code. Isulat ito sa papel at itago sa isang pisikal na ligtas na lokasyon. Kung mawala ang telepono mo nang wala ang key na ito, maaari kang ma-lock out sa account mo nang ilang linggo habang bini-verify ng support ang pagkakakilanlan mo.
5. Ilagay ang 6-digit na code mula sa authenticator app mo para kumpirmahin ang setup
6. Subukan ito sa pamamagitan ng pag-logout at muling pag-login para matiyak na gumagana nang tama ang 2FA

Seguridad ng Exchange: Pagpili ng Ligtas na Exchange

Ang trading bot mo ay kasing-ligtas lang ng exchange na nakakonekta rito. Narito ang dapat suriin:

Mga Modelo ng Custody

• Centralized Exchanges (CEX): Ang Binance, Bybit, OKX, at mga katulad na exchange ay hawak ang pondo mo sa custody nila. Maginhawa ito ngunit nangangahulugang pinagkakatiwalaan mo ang exchange na pangalagaan ang assets mo. Pumili ng mga exchange na may matibay na track record at matatag na security infrastructure.
• Decentralized Exchanges (DEX): Pinananatili mo ang custody ng sarili mong pondo sa pamamagitan ng personal na wallet. Bagama't inaalis nito ang panganib ng exchange, nagpapasok ito ng iba pang mga panganib (smart contract vulnerabilities, phishing approval transactions) at karamihan sa mga trading bot platform ay hindi pa sumusuporta sa DEX trading.

Ano Ang Dapat Hanapin sa Isang Exchange

• Proof of Reserves (PoR): Regular at independiyenteng inaudit na mga ulat na nagpapatunay na may sapat na assets ang exchange para saklawin ang lahat ng deposito ng user. Matapos ang pagbagsak ng FTX noong 2022, naging pamantayan ng industriya ang Proof of Reserves. Ang Binance, Bybit, at OKX ay lahat naglalathala ng mga PoR report.
• Insurance Fund / SAFU: Mga nakalaang pondo para saklawin ang mga pagkalugi ng user sakaling may security breach. Ang SAFU ng Binance (Secure Asset Fund for Users) ay isa sa mga una at may hawak na mahigit $1 bilyon na reserba.
• Cold Storage: Karamihan sa pondo ng user ay dapat itago sa offline at air-gapped na cold wallets na hindi nakakonekta sa internet. Ang mga mapagkakatiwalaang exchange ay nagtatago ng 90-95% ng pondo sa cold storage.
• Bug Bounty Programs: Ang mga exchange na nagbabayad sa mga security researcher para responsableng ihayag ang mga vulnerability ay may posibilidad na mas matibay ang postura sa seguridad kaysa sa mga hindi.
• Regulatory Compliance: Ang mga exchange na tumatakbo sa ilalim ng mga regulatory framework (hal., may hawak na lisensya sa EU, UAE, o Japan) ay napapailalim sa patuloy na pangangasiwa at karaniwang may mas mataas na pamantayan ng seguridad.

I-set up Ang Anti-Phishing Code ng Exchange Mo

Ang tatlong malalaking exchange ay nag-aalok ng anti-phishing code — isang custom na parirala na lumalabas sa bawat lehitimong email mula sa exchange. Kung makatanggap ka ng email na nagsasabing galing sa exchange mo ngunit walang code na ito, isa itong phishing attempt. I-set up ito agad:

• Binance: Security → Anti-Phishing Code
• Bybit: Account & Security → Anti-Phishing Code
• OKX: Security → Anti-Phishing Code

Seguridad ng Platform: Ano Ang Dapat Mong Hingin sa Iyong Bot Provider

Ang pagpili ng ligtas at mapagkakatiwalaang bot platform ay krusyal. Narito kung ano ang hitsura ng isang ligtas na platform — at ang mga red flag na dapat maging dahilan para lumayo ka.

Ano Ang Ibinibigay ng Isang Ligtas na Platform

Walang Custody ng Pondo

Dapat kumonekta ang platform sa exchange mo sa pamamagitan lang ng API keys. Ang pondo mo ay nananatili sa exchange sa lahat ng oras. Ang platform ay hindi kailanman humahawak, naglilipat, o may direktang access sa crypto mo. Kung hihilingin sa iyo ng isang bot platform na magdeposito ng pondo sa platform nila, iyon ay isang custodial model — at karagdagang layer ng panganib.

Encrypted na Pag-iimbak ng API Key

Ang mga API key mo ay dapat naka-encrypt kapag nakaimbak gamit ang matibay at industry-standard na encryption at pinamamahalaan sa pamamagitan ng isang nakalaan at ligtas na key-management service. Ang staff ng platform ay hindi dapat makakita ng API keys mo sa plaintext.

Audit Trails

Bawat aksyon na ginagawa ng bot mo — bawat order na inilagay, bawat posisyong binuksan at isinara — ay dapat naka-log at nakikita mo. Ang transparency na ito ay nagbibigay-daan sa iyong i-verify na ginagawa ng bot mo ang eksaktong dapat nitong gawin at wala nang iba.

Role-Based Access Control

Kung nag-aalok ang platform ng team o organizational accounts, dapat itong sumuporta sa role-based permissions. Hindi lahat sa isang team ay nangangailangan ng kakayahang gumawa o magbago ng mga koneksyon ng API key.

Regular na Security Audits

Ang mga mapagkakatiwalaang platform ay sumasailalim sa regular na third-party security audits at penetration testing. Maghanap ng mga platform na transparent tungkol sa kanilang mga gawi sa seguridad.

Mga Red Flag na Dapat Bantayan

• ❌ Nangangailangan ng withdrawal permissions sa API keys
• ❌ Humihingi ng password ng exchange mo — walang platform ang kailanman nangangailangan nito
• ❌ Hinihiling kang magdeposito ng pondo sa bot platform mismo
• ❌ Walang 2FA option sa sariling login ng platform
• ❌ Nangangako ng partikular na returns — walang lehitimong platform ang gumagawa nito
• ❌ Walang malinaw na impormasyon ng kumpanya — panganib ang mga anonymous na team
• ❌ Walang pampublikong dokumentasyon tungkol sa mga gawi sa seguridad
• ❌ Pressure tactics — pananalitang "mag-invest na ngayon o mahuhuli ka"

Mga Karaniwang Scam at Red Flag sa Espasyo ng Trading Bot

Ang espasyo ng crypto bot ay nakakaakit ng mga scammer dahil pinagsasama nito ang dalawang bagay na gusto nila: mga taong sabik kumita ng pera at teknolohiyang hindi lubusang nauunawaan ng karamihan. Narito ang mga pinakakaraniwang scam:

1. Pekeng Bot Platforms

Ang mga scammer ay gumagawa ng propesyonal na hitsura na mga website na nag-aadvertise ng "AI-powered" na trading bots na may garantisadong returns. Maaari silang magpakita ng pekeng testimonials, gawa-gawang profit screenshots, at kahit pekeng live dashboards na nagpapakita ng kathang-isip na trades. Ang layunin ay para magdeposito ka ng pondo o magbigay ng API keys na naka-enable ang withdrawal permissions.

Paano makilala ang mga ito:

• Pangako ng garantisado o hindi pangkaraniwang mataas na returns (hal., "50% kada buwan na garantisado")
• Walang ma-verify na track record o rehistro ng kumpanya
• Panggigipit na "kumilos na ngayon" bago mag-expire ang isang oportunidad
• Deposito lang ang tinatanggap, nagdadahilan kapag sinubukan mong mag-withdraw

2. Phishing ng API Key

Ang mga umaatake ay nagpapadala ng mga email o mensaheng nagpapanggap na lehitimong platform, hinihiling kang "muling ikonekta" o "i-update" ang API keys mo sa pamamagitan ng paglalagay ng mga ito sa isang pekeng website. Kinukuha ng pekeng site ang mga kredensyal mo.

Paano protektahan ang sarili mo:

• Palaging pumunta sa mga platform sa pamamagitan ng pag-type ng URL nang direkta — huwag kailanman mag-click ng mga link sa email
• I-verify nang maingat ang URL sa address bar ng browser mo (gumagamit ang mga umaatake ng magkakahawig na domain tulad ng "binanсe.com" na may mga Cyrillic na karakter)
• I-set up ang anti-phishing codes sa exchange mo para ma-verify mo ang mga lehitimong email

3. Panggagaya sa Social Media

Ang mga scammer ay nagpapanggap bilang lehitimong support staff ng platform sa Telegram, Discord, Twitter, o Reddit. Ide-DM ka nila na nag-aalok ng "tulong" at sa kalaunan ay hihingi ng API keys, passwords, o seed phrases.

Paano protektahan ang sarili mo:

• Ang mga lehitimong support team ay hindi kailanman magde-DM sa iyo muna
• Huwag kailanman ibahagi ang API keys, passwords, o seed phrases sa anumang messaging app
• Gamitin lang ang mga opisyal na support channel na nakalista sa website ng platform

4. Mga "Copy My Bot" na Scam

May isang tao sa social media na nagpapakita ng kahanga-hangang profit screenshots at nag-aalok na ibahagi ang bot configuration nila — ngunit kung gagamitin mo lang ang referral link nila papunta sa isang kaduda-dudang platform, o kung magpapadala ka sa kanila ng "setup fee" sa crypto.

Paano protektahan ang sarili mo:

• Madaling gawa-gawain ang profit screenshots
• Ang mga lehitimong marketplace platform tulad ng nasa Freya Finance ay humahawak ng pagbabahagi ng configuration nang transparent sa loob ng platform
• Huwag kailanman magpadala ng crypto sa sinuman bilang "bayad" para sa access sa trading bot

5. Mga Ponzi Scheme Bot

Mga platform na nagsasabing nagpapatakbo sila ng trading bots ngunit sa totoo ay nagbabayad ng "returns" mula sa mga deposito ng mga bagong investor. Bumabagsak ang mga ito kapag bumagal ang mga bagong deposito, at karamihan sa mga kalahok ay nawawalan ng lahat.

Paano makilala ang mga ito:

• Ang returns ay kahina-hinalang pare-pareho (may drawdowns ang totoong trading)
• Malakas na pagbibigay-diin sa "referral bonuses" at pangangalap ng mga bagong user
• Malabo o walang paliwanag tungkol sa tunay na mga estratehiya ng trading
• Hindi makapagbigay ng ma-verify na exchange trading history

Personal na Security Hygiene

Ang mga teknikal na hakbang sa seguridad ay kasing-tibay lang ng iyong mga personal na gawi. Ang mga gawing ito ay ilang minuto lang ipatupad at kapansin-pansing binabawasan ang attack surface mo.

Gumamit ng Nakalaang Email Address

Gumawa ng hiwalay na email address na ginagamit lang para sa iyong exchange accounts at mga rehistro sa trading platform. Ang email na ito ay dapat:

• Hindi ang iyong personal o work email
• Hindi pampublikong nauugnay sa pagkakakilanlan mo
• Gumagamit ng matibay at natatanging password
• May naka-enable na authenticator-based 2FA
• Hindi ginagamit para sa social media, newsletters, o kahit ano pa

Ang paghihiwalay na ito ay nangangahulugang kung ma-compromise ang pangunahing email mo sa isang data breach, mananatiling hindi apektado ang iyong exchange accounts.

Gumamit ng Password Manager

Bawat account ay dapat may natatangi at randomly generated na password na hindi bababa sa 16 na karakter ang haba. Hindi mo makatotohanang maisasaulo ang natatangi at kumplikadong password para sa bawat serbisyo — kaya gumamit ng password manager tulad ng 1Password, Bitwarden, o KeePass.

Ano ang dapat itago ng password manager mo:

• Mga kredensyal ng login sa exchange
• Mga kredensyal ng login sa bot platform
• 2FA backup/recovery codes (sa secure notes)
• Mga label at petsa ng paggawa ng API key (ngunit isaalang-alang na itago ang aktwal na API secrets sa hiwalay at mas ligtas na lokasyon)

Maging Paranoid Tungkol sa Phishing

Ang phishing ang #1 na attack vector sa crypto. Hindi kailangang i-hack ng mga umaatake ang exchange — kailangan lang nilang lokohin ikaw.

Mga panuntunang dapat sundin:

• I-bookmark ang mga URL ng exchange at platform mo at palaging i-access ang mga ito mula sa bookmarks
• Huwag kailanman mag-click ng mga link sa mga email na nagsasabing galing sa exchange — pumunta nang direkta sa site
• I-verify ang mga URL karakter kada karakter bago maglagay ng mga kredensyal
• Maghinala sa anumang mensaheng lumilikha ng pagmamadali ("Mala-lock ang account mo sa loob ng 24 oras!")
• Huwag kailanman ibahagi ang iyong API secret, passwords, seed phrases, o 2FA codes sa sinuman — kahit sa "support" pa

I-secure Ang Iyong Mga Device

• Panatilihing updated ang operating system at apps mo — mahalaga ang mga security patch
• Gumamit ng full-disk encryption (FileVault sa Mac, BitLocker sa Windows)
• Huwag mag-install ng browser extensions mula sa hindi kilalang pinagmulan — nababasa ng mga malisyosong extension ang nilalaman ng clipboard at nakapag-inject ng code sa mga web page
• Gumamit ng mapagkakatiwalaang antivirus at panatilihin itong updated
• I-lock ang telepono mo gamit ang biometrics at malakas na PIN — ang authenticator app mo ay nasa device na ito

Ano Ang Dapat Gawin Kung Pinaghihinalaan Mong May Security Breach

Kung naniniwala kang na-compromise ang iyong API keys, exchange account, o bot platform account, kumilos agad. Mahalaga ang bilis — bawat minutong ipagpaliban mo ay isang minutong makakapaggalaw ang isang umaatake.

Agarang Tugon (Unang 5 Minuto)

Hakbang 1: Burahin ang lahat ng API key sa exchange mo

Mag-login sa exchange mo nang direkta (hindi sa pamamagitan ng anumang link) at burahin agad ang bawat API key. Agad nitong binabawi ang lahat ng third-party access sa account mo, kabilang ang bot platform mo. Maaari kang gumawang muli ng mga key mamaya — ngayon, ang priyoridad ay containment.

Hakbang 2: Baguhin ang password ng exchange mo

Baguhin ang password ng exchange mo sa isang bago, natatangi, at randomly generated na password. Gawin ito mula sa isang device na pinagkakatiwalaan mo — ideal na hindi ang parehong device kung saan maaaring nangyari ang compromise.

Hakbang 3: Suriin ang open orders at posisyon

Tingnan kung may mga order o posisyon na hindi mo ginawa. Kanselahin agad ang anumang kahina-hinalang open orders. Isara ang anumang posisyong binuksan nang hindi mo nalalaman.

Hakbang 4: I-disable ang withdrawals (kung posible)

May ilang exchange na nagpapahintulot sa iyong i-freeze ang withdrawals sa loob ng isang panahon (hal., ang 24-oras na withdrawal lock ng Binance matapos ang mga pagbabago sa seguridad). I-enable ito kung available.

Imbestigasyon (Susunod na 30 Minuto)

Hakbang 5: Suriin ang API key access logs

Tingnan ang API access logs ng exchange mo para sa mga request mula sa hindi pamilyar na IP address. Nakakatulong ito para malaman kung talagang ginamit ng isang umaatake ang API key mo o kung na-contain ang banta.

Hakbang 6: Suriin ang login history

Tingnan ang login history ng exchange mo para sa hindi pamilyar na mga device, lokasyon, o IP address. Kung may nakikita kang hindi awtorisadong login, maaaring na-compromise ang mga kredensyal ng account mo (hindi lang ang API keys).

Hakbang 7: Suriin ang email account mo

Kung na-compromise ang exchange account mo, maaaring na-compromise rin ang email mo. Tingnan ang kahina-hinalang login activity, hindi awtorisadong forwarding rules, o hindi pamilyar na mga naka-konektang app. Baguhin ang password ng email mo at suriin ang 2FA settings.

Hakbang 8: I-scan ang mga device mo

Magpatakbo ng buong malware scan sa anumang device na ginamit mo para i-access ang exchange o bot platform mo.

Recovery (Matapos ang Containment)

Hakbang 9: Makipag-ugnayan sa support ng exchange

Iulat ang insidente sa opisyal na support team ng exchange mo kasama ang mga detalye ng anumang hindi awtorisadong aktibidad.

Hakbang 10: Gumawang muli ng API keys na may mas mahigpit na seguridad

Kapag na-verify mo nang ligtas ang account mo, gumawa ng bagong API keys na may IP whitelisting at ang minimum na kinakailangang permissions.

Hakbang 11: Idokumento ang lahat

Panatilihin ang tala ng timeline, kung ano ang naobserbahan mo, at ang mga aksyong ginawa mo. Nakakatulong ito sa anumang imbestigasyon ng support at mahalaga kung kailangan mong iulat ang insidente sa mga awtoridad.

Pamamahala ng Panganib: Ang Seguridad na Ibinubuo Mo sa Iyong Estratehiya

Ang seguridad ay hindi lang tungkol sa pagpigil ng hindi awtorisadong access — tungkol din ito sa pagprotekta sa sarili mo mula sa labis na pagkalugi dahil sa market risk. Ang tamang pamamahala ng panganib ay isang anyo ng financial security.

Position Sizing

Huwag kailanman ilaan ang buong trading balance mo sa iisang bot o iisang trading pair. Isang pangkalahatang gabay:

• Alokasyon kada bot: Hindi hihigit sa 10-20% ng kabuuang trading capital mo kada bot
• Alokasyon kada pair: Hindi hihigit sa 25-30% ng capital mo sa anumang iisang trading pair
• Kabuuang aktibong alokasyon: Magtabi ng 20-30% ng balance mo bilang reserba para sa hindi inaasahang kondisyon ng merkado

Hindi Matatawaran Ang Stop Losses

Bawat bot ay dapat may naka-configure na stop loss. Awtomatikong isinasara ng stop loss ang posisyon mo kung ang pagkalugi ay lumampas sa isang paunang natukoy na threshold, na pumipigil sa isang masamang trade na maging isang sakuna.

Oo, ang stop losses ay nangangahulugang minsan ay malalabas ka bago ang isang recovery. Iyon ang halaga ng insurance. Ang mga trade kung saan inililigtas ka ng stop loss mula sa 70-80% na drawdown sa isang bumabagsak na asset ay sulit sa bawat maagang exit.

Diversipikasyon

Huwag magpatakbo ng limang bot na lahat ay nagta-trade ng parehong asset. Kung bumagsak ang BTC ng 20%, ang lahat ng limang bot ay nasa problema nang sabay-sabay. Ikalat ang mga bot mo sa:

• Magkakaibang trading pair (BTC, ETH, SOL, atbp.)
• Magkakaibang estratehiya (DCA, grid, signal-based)
• Magkakaibang timeframe (short-term at longer-term)

Magsimula nang Maliit at Dahan-dahang Palakihin

Magsimula sa maliit na halaga ng capital habang natututo ka kung paano kumikilos ang mga bot mo. Dagdagan ang alokasyon mo lang matapos mong maobserbahan ang tuluy-tuloy na performance sa iba't ibang kondisyon ng merkado. Ang backtesting ay tumutulong na i-validate ang mga estratehiya, ngunit ang live trading sa maliliit na halaga ang nagpapatunay ng mga ito.

Regular na Pagsusuri

Mag-iskedyul ng lingguhang pagsusuri ng performance ng bot mo. Nagbabago ang mga merkado, at ang estratehiyang gumana noong nakaraang buwan ay maaaring mahina ngayong buwan. Maging handa na ayusin, i-optimize, o ihinto ang mga bot batay sa kasalukuyang kondisyon — hindi sa mga nakaraang resulta.

Para sa komprehensibong gabay tungkol sa profitability at makatotohanang mga inaasahang returns, tingnan ang Kumikita Ba Talaga Ang Crypto Trading Bots?.

Mga Madalas Itanong

Mananakaw ba ng isang tao ang pondo ko kung makuha nila ang API key ko?

Kung ang API key mo ay may naka-disable na withdrawal permissions (gaya ng inirerekomenda), hindi mai-withdraw ng isang umaatake ang pondo mo mula sa exchange. Maaari silang makapaglagay ng trades sa account mo, ngunit ang principal mo ay nananatili sa exchange. Kung na-enable mo rin ang IP whitelisting, ang isang ninakaw na API key ay halos walang-silbi dahil tatanggihan ng exchange ang mga request mula sa hindi awtorisadong IP address.

Ligtas bang gumamit ng trading bot platform?

Oo — basta't pumili ka ng mapagkakatiwalaang platform at sundin ang mga gawi sa seguridad sa gabay na ito. Ang mahahalagang kinakailangan ay: hindi kailanman humihingi ang platform ng withdrawal permissions, hindi kailanman kumukuha ng custody ng pondo mo, ini-encrypt ang API keys mo kapag nakaimbak, at sumusuporta sa 2FA. Ang mga platform tulad ng Freya Finance ay natutugunan ang lahat ng pamantayang ito. Para sa tulong sa pagpili ng platform, tingnan ang aming gabay sa paghahambing ng platform.

Dapat ba akong gumamit ng SMS o authenticator app para sa 2FA?

Palaging gumamit ng authenticator app (tulad ng Google Authenticator o Authy) sa halip na SMS. Ang SMS ay bulnerable sa mga SIM-swap attack, kung saan hinihikayat ng isang umaatake ang iyong mobile carrier na ilipat ang numero mo sa SIM card nila. Ang mga authenticator app ay gumagawa ng mga code nang lokal sa device mo at hindi umaasa sa numero ng telepono mo, kaya immune ang mga ito sa mga SIM-swap attack.

Gaano kadalas ko dapat i-rotate ang API keys ko?

Walang unibersal na panuntunan, ngunit ang pag-rotate ng API keys mo kada 3-6 na buwan ay isang makatwirang gawi. Dapat mo ring agad i-rotate ang mga key kung: pinaghihinalaan mong may security breach, binabawi mo ang access mula sa isang platform, o iniulat ng platform ang isang security incident. Kapag nag-rotate ka, gumawa muna ng bagong key, i-update ang platform, i-verify na gumagana ito, saka burahin ang lumang key.

Ano ang mangyayari sa mga bot ko kung buburahin ko ang API keys ko?

Agad na mawawala ang koneksyon ng mga bot mo sa exchange at hihinto sa paglalagay ng mga bagong order. Gayunpaman, ang anumang order na naka-place na sa exchange ay mananatiling aktibo hanggang sa mapunan o mag-expire ang mga ito. Matapos burahin ang API keys, mag-login sa exchange mo at manwal na suriin ang anumang open orders. Kapag gumawa ka ng bagong API keys, kailangan mong ikonekta muli ang mga ito sa bot platform mo.

May mga batas o regulasyon ba tungkol sa crypto trading bots?

Legal ang mga trading bot sa karamihan ng mga hurisdiksyon — ang mga ito ay simpleng software tools na nag-a-automate ng mga aksyong maaari mong gawin nang manwal. Gayunpaman, ang paggamit ng mga bot para sa manipulasyon ng merkado (wash trading, spoofing, pump-and-dump schemes) ay ilegal sa mga regulated na exchange. Nag-iiba-iba ang mga regulasyon ayon sa bansa, kaya tingnan ang mga lokal na batas mo. Ang mga bot at estratehiyang tinalakay sa gabay na ito at sa Freya Finance ay dinisenyo para sa mga lehitimong estratehiya ng trading tulad ng DCA at grid trading.