加密货币投资组合追踪器的隐私风险与交易所 API 密钥：实用安全检查清单
投资组合追踪器可以汇总多个交易所的余额和交易记录，帮你节省时间。但这种便利也意味着，又多了一个需要保护财务数据和账户访问权限的地方。在连接任何账户之前，先确定追踪器需要哪些信息，将每个 API 密钥的权限限制在必要范围内，并了解如何撤销访问权限。
具体风险取决于追踪器、交易所以及你授予的权限。即使是只读权限，也可能暴露余额、资产持仓和交易记录。请把每次连接都视为一次有针对性的数据共享，而不是无害的快捷操作。了解加密货币投资组合追踪器有哪些隐私风险，有助于你在连接账户前评估这类数据暴露。
连接前：确定追踪器实际需要什么
先想清楚你要完成什么。如果你只需要每月查看一次持仓快照，手动录入可能就够了。用电子表格记录资产、数量、交易所和日期，就能满足这一需求，也不必让第三方服务访问你的交易所账户。
手动录入会更费事，尤其是交易频繁时。但这样也能由你掌控记录哪些信息。你可以每周录入一次余额，并省略与个人追踪无关的充值或交易记录。
如果自动更新很重要，请确认追踪器是否支持只读访问。只读 API 密钥可以让追踪器获取余额或交易记录，但不能下单交易。不过，不同交易所对权限的具体命名可能不同。请仔细阅读交易所的权限设置页面，不要只看追踪器的说明；了解如何安全设置交易所只读 API 密钥时，务必确认交易和提现权限均已关闭。
还要考虑追踪器能从所获数据中推断出哪些信息。充值、提现和交易记录可能暴露你何时使用某个交易所，以及持仓如何变化。“加密货币投资组合追踪器的隐私风险与交易所 API 密钥”所指的正是两个相互关联的问题：追踪器收集的数据，以及密钥授予的访问权限。
创建密钥前，先列出你打算使用的功能。如果你只需要查看余额，除非追踪器确实需要交易记录且你愿意额外披露，否则不要开启相关权限。如果追踪器无法说明某项权限的用途，先暂停操作，联系其客服了解清楚后再连接。
连接前：检查 API 密钥权限
交易所通常会在 API 权限设置中提供复选框或开关。各项权限的名称可能不同，因此请逐一仔细核对。对于投资组合追踪器，除非有明确且经过核实的理由，否则应关闭交易、提现、内部转账及其他账户管理权限。
留意与下单或撤单、转移资金、更改账户设置或管理其他 API 密钥有关的权限。只负责展示投资组合数据的追踪器不应需要这些权限。如果交易所提供单独的只读选项，请选择该选项，并确认交易和提现权限均已关闭。
有些交易所还允许按 IP 地址限制 API 密钥。如果追踪器公布了固定 IP 地址范围，且交易所支持 IP 白名单，这种限制或许有帮助。但不要猜测地址，也不要使用从非官方来源复制的地址。如果追踪器的说明不够明确，在核实详情之前先不要启用此选项。
创建密钥后也要再次检查权限，而不只是设置过程中看一眼。记录权限设置和检查日期；在密码管理器中简单记一笔，比把截图存到普通照片图库里更安全。
如需进一步加强账户防护，可以对照加密货币交易所安全检查清单检查你的设置。关键很简单：追踪器连接所拥有的权限，不应超出其实际用途所需。
设置过程中：限制共享的账户和数据
只连接你确实需要追踪的交易所、子账户和钱包。如果交易所将长期持仓与活跃交易分开管理，只连接长期持仓所在的子账户，就能减少追踪器接收的活动信息。
导入钱包前，请确认追踪器需要的只是公开地址或只读连接，而不是助记词或私钥。绝不要在投资组合追踪器中输入钱包助记词。要求你提供助记词的服务，索取的是钱包控制权，而不只是查看余额的权限。
批准导入完整交易记录前，先检查导入选项。你可能可以设置日期范围、选择特定资产，或关闭某些数据类别。如果你只需要查看当前余额，就不要仅仅因为默认开启了相关选项，而导入多年无关的活动记录。
完成设置前，检查追踪器显示的账户名称。你可能本来想连接企业子账户，却误连了个人账户；也可能连上了包含你原本不打算共享活动记录的交易所账户。仔细核对一次，就能避免不必要的数据导出。
如果条件允许，请使用专门用于追踪的交易所子账户。将其权限和持仓限制在既定用途内，不要仅仅因为追踪器提供一键连接，就随意添加账户。
设置完成后：保护设备和账户中的密钥
将 API 密钥和密钥密码保存在可靠的密码管理器中。条目中注明交易所、追踪器和创建日期，并记录授予的权限。与零散的笔记相比，密码管理器更便于检查和更新。
不要把密钥保存在未加密的文本笔记、邮件草稿、聊天消息或截图中。这些文件可能会同步到其他设备或云服务，访问范围可能比你预想的更广。如果你已经把密钥截在图片里，请从设备中删除，并检查同步文件夹和“最近删除”文件夹。
保护用于管理交易所访问权限的设备。启用屏幕锁、安装操作系统更新，并避免在共用电脑上创建或修改密钥。如果设备丢失，在通过交易所撤销密钥之前，应将已保存的密钥视为可能已经泄露。
在交易所和追踪器账户上启用多重身份验证（如有）。如果支持，优先使用身份验证器应用或硬件安全密钥，并将恢复代码保存在与受保护设备分开的地方。若有人通过钓鱼攻击或已遭入侵的设备获取密码，单靠密码可能无法阻止对方登录。
每项服务都使用唯一密码。如果追踪器支持登录提醒或活跃会话列表，请开启提醒，并在设置完成后检查会话列表。即使 API 密钥本身不能进行交易，账户安全仍然重要，因为追踪器登录账户一旦被入侵，投资组合详情也可能泄露。
使用追踪器期间：留意异常的密钥活动
定期查看交易所的 API 管理页面，检查密钥名称、权限、最近使用情况以及 IP 限制。即使余额看起来没有变化，不熟悉的使用时间或权限变更也值得关注。
- 查找你不认识的 API 密钥，包括旧的测试密钥。
- 确认交易、提现和转账权限仍处于关闭状态。
- 查看交易所是否有关于新增 API 访问或安全设置变更的提醒。
- 检查追踪器的登录记录，并退出不认识的会话。
- 如果显示的数值对不上，请与交易所中的余额进行核对。
不要以为追踪器的控制面板就是完整的安全日志。请直接查看交易所的 API 活动记录和账户提醒。如果交易所显示某个密钥在陌生地点或不熟悉的时间被使用，先撤销密钥，再调查原因。
也要留意客服人员提出的要求。正规客服不会通过消息向你索取 API 密钥密码、账户密码或身份验证代码。除非确有必要，否则不要分享密钥名称或经过遮挡的截图；发送任何内容前，请先移除账户标识和密钥值。
情况发生变化时：安全地撤销并更换访问权限
如果存有密钥密码的手机或电脑丢失、怀疑追踪器账户遭到访问，或交易所报告异常活动，请撤销 API 密钥。先进入交易所的 API 设置，停用或删除密钥，并确认其状态已变为“已撤销”或“未启用”。掌握如何撤销加密货币交易所 API 密钥，可以帮助你在设备丢失或发现异常活动时迅速切断访问。
如果怀疑账户遭到入侵，也要保护交易所登录账户：更改密码、检查多重身份验证、退出陌生会话，并通过官方客服渠道联系交易所。如果资金或账户设置可能受到影响，请按照交易所的安全事件处理流程操作，不要指望追踪器帮你解决问题。
如果要更换追踪器，请先撤销旧追踪器的密钥，再创建替代密钥。不要为了“以防万一”而让两把密钥同时保持启用。创建新密钥后，确认其权限，并且只连接你需要的账户数据。
交易所账户设置发生变化时，例如新增子账户结构或重置安全设置，请检查所有现有 API 密钥。有些密钥可能已经不再需要，之前设置的权限也可能不再适用于新配置。在密码管理器中维护一份简单的密钥清单，方便确认每个条目对应哪个追踪器。
撤销密钥后，再次检查交易所，确认该密钥已不再启用。仅在追踪器中删除连接，不一定会撤销交易所的 API 密钥；这是两项独立操作，可能需要分别完成。
选择或停用追踪器前：先测试退出流程
注册前，先了解如何断开交易所账户，以及服务会如何处理已保存的凭据。点击“断开连接”可能只会停止后续同步，并不会删除服务已经保存的数据。请查看追踪器当前的设置和说明文档；删除选项和数据保留条款可能会变化，务必直接核实。
在把追踪器作为唯一记录来源之前，先测试其导出功能。如果可以，先导出少量样本，再确认日期、资产名称和交易类型是否以可用格式显示。将重要记录保存在自己控制的安全位置，不要依赖对某个追踪器账户的持续访问。
停用服务时，先导出所需记录，断开每个交易所和钱包的连接，然后在交易所撤销相应的 API 密钥。查看追踪器账户设置中是否还需要单独提交删除申请，并保存相关确认信息。如果服务没有说明是否会删除凭据或交易数据，请在关闭账户前联系支持团队，要求对方明确答复。
最后，在移除追踪器连接后，再次查看交易所的 API 页面。确认所有与该追踪器相关的密钥均已停用；只读密钥若仍然有效，依旧可能泄露账户数据。
