Plattform & Sicherheit
Eine Auszahlungssperre ist jede Einstellung, die verhindert, dass Gelder über einen API-Key ein Börsenkonto verlassen: den Key ohne Auszahlungsberechtigung erstellen, Auszahlungen auf vorab genehmigte Adressen beschränken oder börsenseitige Verzögerungen und Bestätigungen aktivieren; sie ist der Unterschied zwischen einem kompromittierten Key, der Sie schlechte Trades kostet, und einem, der Sie das gesamte Guthaben kostet.
Automatisierungsplattformen halten rund um die Uhr API-Keys; die Frage ist, was diese Keys tun können, wenn sie durchsickern. Die Handelsberechtigung erlaubt einem Key, Positionen zu öffnen und zu schließen, was Automatisierung braucht. Die Auszahlungsberechtigung erlaubt es, Gelder an ein externes Wallet zu senden, was Automatisierung nie benötigt und was der Mechanismus hinter den meisten bot-bezogenen Diebstählen war. Adress-Whitelists und Auszahlungsverzögerungen an der Börse fügen selbst für unbedacht erstellte Keys eine zweite Sperre hinzu, und manche Börsen verlangen sie für API-Auszahlungen ohnehin.
AlgoVesta fordert ausschließlich Trade-only-Keys an und weist im Einrichtungsleitfaden für jede der 16 unterstützten Börsen darauf hin, dass die Auszahlungsberechtigung deaktiviert bleiben muss; die Plattform hat keinen Codepfad, der Gelder auszahlt oder transferiert. Keys werden beim Hinzufügen verifiziert, verschlüsselt im Ruhezustand gespeichert und können an der Börse an die im Dashboard angezeigten festen Ausführungs-IP-Adressen gebunden werden. Bei MetaTrader 5 besteht das Äquivalent darin, dass ein Broker-Login handeln, aber nicht vom Broker abheben kann; Auszahlungen erfolgen über das eigene Kundenportal des Brokers mit dessen eigener Authentifizierung. Der Panik-Button schließt Positionen und stoppt Bots; er kann keine Gelder bewegen. Siehe Trade-only-API-Key und die Seite Sicherheit.
Ein Trader erstellt einen OKX-Key mit aktiviertem Handel und deaktivierter Auszahlung und aktiviert für das Konto die Adress-Whitelist von OKX sowie eine 24-Stunden-Auszahlungsverzögerung. Ein Jahr später wird der Key bei einem Phishing-Vorfall offengelegt. Der Angreifer kann nur von einer erlaubten IP-Adresse aus Trades versuchen, die er nicht kontrolliert, und könnte selbst mit vollem Kontozugriff nicht auszahlen, ohne die Whitelist und die Verzögerung zu passieren. Der Trader widerruft den Key und ersetzt ihn.