很多人第一次发现API密钥泄露时的反应：慌乱，不知道对方拿到了什么权限，也不知道资产还在不在。先记住一件事：API密钥权限可以被限制，你越快动手，对方能造成的破坏就越小。链上交易一旦完成不可逆，没有银行客服帮你冻结追回。所以发现泄露后的每一分钟都很重要。下面按操作顺序，一步步做完该做的事。

各大交易所注册链接：

欧易官网

币安官网

芝麻Gate

第一步：立刻登录，删掉泄露的密钥

这是整个流程里最紧急、最不能拖的一步。在你动手之前，对方的交易机器人理论上可以一直在后台替你下单。

用手机或一台干净的电脑登录交易所（不要用怀疑中招的设备），右上角头像→账户和安全→API管理，找到泄露的密钥点删除，确认弹窗完成删除。不确定是哪个泄露了，最保险的办法是全部删掉，宁可后续重新创建，也不留隐患。删除后密钥立即失效，对方机器人瞬间被切断。DEX的API密钥操作逻辑类似，登录平台找到API管理删除即可，DEX密钥通常与钱包签名绑定，删除后同样立即失效。

第二步：联系客服，主动报备要求冻结

删除密钥后马上去帮助中心或在线客服提交人工工单，说清楚三件事：API密钥泄露了、已经自行删除、请求协助检查账户近期是否有异常操作。如果客服查到对方用你的密钥下了尚未成交的挂单或未经授权的委托，他们可以在后台协助撤销或锁定。万一泄露发生在一段时间前你还没发现，客服的后台监控数据能帮你追溯损失。

一件事不要做：不要向客服提供密码、验证码、私钥或助记词。真正的客服永远不会索要这些。遇到要求输入完整助记词的"客服窗口"，直接关掉。

第三步：审计资金，逐笔核对出入记录

密钥删了客服也通知了，接下来在区块浏览器里彻底核对一遍账户资金。打开交易所资产页面，对照记忆和最近几周的出入金记录，一笔一笔看有没有非本人操作的转账或订单。

发现任何异常立刻截图保存，后续提交工单或报案时用得上。如果确认有未经授权的资产转移，立刻联系客服提交证据，同时考虑向当地执法部门报案。加密货币很难追回，但留个案底对后续调查有帮助。

第四步：重建安全防线，避免再次泄露

删掉泄露密钥只是解决眼前问题，不重新设置权限，下次同样会发生。

最小权限原则：创建新密钥时，看行情跟单跑网格只勾"只读"，不要勾"交易"。需要跑量化必须开"交易"权限，但坚决不要开"提现"。API权限里最危险的就是提现——一旦泄露对方直接转走资产，超过90%的API损失都源于用户开了提现权限。

绑定IP白名单：在API管理里找到IP访问限制，把自己的服务器IP或家中静态IP填入白名单。开启后密钥只能从允许的IP发起请求，黑客拿到密钥也会被拦截。住宅宽带动态IP每次变了都要去更新，嫌麻烦就用固定出口IP的服务器当跳板。

定期换密钥：每1到3个月换一次。先创建新密钥→替换应用程序里的旧信息→确认全部换好→再删旧密钥。别先删旧的再建新的，中间有空窗期。另外确保账户开了Google Authenticator或短信2FA，2024年一家主流交易所的数据显示，这类措施累计拦截了数十亿美元的潜在欺诈损失。

紧急撤销流程一张表

声明：本文为API安全应急科普，不构成操作建议。各交易所流程有差异，以官方说明为准。