Dimanche après-midi, tout semblait calme. Le marché n’était ni chaud ni froid, les discussions dans le groupe de chat étaient animées, notre programme de trading automatique fonctionnait comme d’habitude — collecte de données, petites ordres, journalisation. Soudain, une transaction s’affiche dans l’interface de trading, le compte appartient à notre équipe, mais nous n’avons rien fait. Bien que le montant ne soit pas élevé, cette sensation était comme entendre des pas inconnus dans la maison en pleine nuit — tout le corps se tend instantanément.

Plusieurs personnes ont immédiatement commencé à s’emballer. Certains pensaient que la clé API avait été compromise, d’autres suspectaient un problème avec le système de la plateforme d’échange, mais après une discussion animée, aucune conclusion n’a été tirée. Pendant que les débats faisaient rage, le nouveau venu a doucement demandé : « Notre clé API est utilisée depuis plus d’un mois, pourquoi ne l’avons-nous pas changée ? »
Instantanément, tout le monde s’est tu.
Dans le monde du trading d’actifs numériques, nous considérons souvent la clé API comme la clé de la porte — si elle est bien cachée, on pense que tout est sécurisé. Mais en réalité, la simple dissimulation ne suffit pas. Surtout lorsqu’on utilise ces interfaces de trading populaires, la session n’est en fait qu’un justificatif temporaire avec une durée de validité — comme un passeport valable, qui confirme que votre robot a le droit de trader. Si cette preuve est configurée pour une longue période, en cas de vol ou de fuite, les conséquences peuvent être difficiles à imaginer. Cette transaction inexplicable était comme un signal d’alerte, nous avons eu de la chance cette fois, la perte n’était pas grande. Mais la prochaine fois ? La chance ne peut pas être une stratégie.
Depuis ce jour, j’ai décidé de résoudre complètement ce problème de sécurité. Au début, je ne comprenais pas pourquoi il fallait faire cela, puis je me suis un peu énervé, et finalement j’ai décidé de modifier le système moi-même. Puisque les traders peuvent faire des rotations de garde, pourquoi le code ne pourrait-il pas faire de même pour les permissions ? Notre équipe a décidé d’ajouter un mécanisme de rotation automatique des sessions dans le système — en gros, faire en sorte que les justificatifs d’interface soient renouvelés régulièrement, chaque fois avec un nouveau passeport temporaire, de sorte que même si un hacker récupère l’ancien, cela ne lui sert à rien.