Plataforma & Segurança
Um bloqueio de saques é qualquer configuração que impede que fundos saiam de uma conta de exchange por meio de uma chave de API: criar a chave sem permissão de saque, restringir saques a endereços pré-aprovados, ou habilitar atrasos e confirmações do lado da exchange; é a diferença entre uma chave comprometida custar a você operações ruins e custar todo o seu saldo.
Plataformas de automação mantêm chaves de API o tempo todo; a questão é o que essas chaves podem fazer se vazarem. A permissão de negociação permite que uma chave abra e feche posições, que é o que a automação precisa. A permissão de saque permite que ela envie fundos para uma carteira externa, o que a automação nunca precisa, e que tem sido o mecanismo por trás da maioria dos roubos relacionados a bots. Listas de permissão de endereço e atrasos de saque na exchange adicionam uma segunda trava mesmo para chaves criadas de forma descuidada, e algumas exchanges as exigem para saques via API de qualquer forma.
A AlgoVesta só solicita chaves somente-trading e afirma, no guia de configuração de cada uma das 16 exchanges suportadas, que a permissão de saque deve permanecer desativada; a plataforma não tem nenhum caminho de código que saque ou transfira fundos. As chaves são verificadas ao serem adicionadas, armazenadas com criptografia em repouso, e podem ser vinculadas na exchange aos endereços IP fixos de execução mostrados no painel. No MetaTrader 5 o equivalente é que um login de corretora pode operar mas não pode sacar da corretora; os saques são feitos por meio do próprio portal do cliente da corretora, com sua própria autenticação. O botão de pânico fecha posições e para bots; ele não move e não pode mover fundos. Veja chave de API somente-trading e a página de Segurança.
Um trader cria uma chave na OKX com negociação habilitada e saque desabilitado, e habilita a lista de permissões de endereço e o atraso de saque de 24 horas da OKX na conta. Um ano depois a chave é exposta em um incidente de phishing. O invasor só consegue tentar operações a partir de um IP permitido, que ele não controla, e não conseguiria sacar mesmo com acesso total à conta, sem passar pela lista de permissões e pelo atraso. O trader revoga a chave e a substitui.