Expusiste una clave API por error: qué hacer en los primeros minutos

Pasa más de lo que se admite: alguien pide ayuda con un bot en un grupo de Telegram y pega la configuración completa, o sube su script a un repositorio público sin darse cuenta de que el archivo tenía la clave y el secreto. Hay programas que recorren esos lugares buscando claves en minutos. Si te pasó, no sirve borrar el mensaje y esperar que nadie lo haya visto. Lo que importa es invalidar la clave cuanto antes y después revisar con tranquilidad si se usó. Esta es la secuencia, en orden de urgencia.

Minuto uno: borrar la clave en el exchange

Entrá al exchange desde la app o escribiendo la dirección a mano, andá a la sección de Gestión de API dentro del perfil y eliminá la clave expuesta. No la edites ni le saques permisos: borrala, porque una clave modificada sigue siendo la misma credencial. Si no estás seguro de cuál fue, borrá todas las que tengas en esa plataforma; volver a crear las que necesitás lleva unos minutos. Si la clave tenía permiso de retiro, también conviene usar la opción de congelar o desactivar la cuenta mientras revisás.

Revisar órdenes, retiros y transferencias recientes

Con la clave ya borrada, abrí el historial de órdenes, el de retiros y el de transferencias internas de las últimas horas. Lo que buscás son operaciones que no hiciste: compras de monedas raras con poco volumen, ventas a precios absurdos o movimientos hacia subcuentas. Un patrón conocido es usar tu saldo para comprar caro una moneda ilíquida en la que el atacante tiene órdenes de venta. Anotá todo lo extraño con fecha, hora e identificador de orden y sacá capturas antes de tocar nada.

Limpiar el lugar donde quedó publicada

Ahora sí, borrá el mensaje o el archivo. Si fue en un repositorio, eliminar el archivo no alcanza porque queda en el historial de cambios; lo más simple es eliminar o volver privado el repositorio y crear uno nuevo sin la clave. Si compartiste una planilla, quitá el acceso por enlace. Revisá si la misma clave estaba copiada en otros lugares: una nota del celular, un mail que te mandaste, la configuración de un servicio en la nube. La clave nueva no debería vivir en ninguno de esos sitios.

Crear la clave nueva con menos permisos

Cuando vuelvas a generar una clave, dale solo lo que el bot o la herramienta necesita: lectura y operación, casi nunca retiro. Si la plataforma lo permite, restringila a la dirección IP del servidor donde corre tu programa, y anotá la fecha de creación para rotarla cada tanto. Guardá el secreto en un gestor de contraseñas o en una variable de entorno del servidor, no dentro del código. Si hubo movimientos no autorizados, contactá al soporte desde la app con el detalle que anotaste.

Límite de riesgo: Argentina Crypto Guide

Los activos digitales son volátiles y los derivados pueden ampliar pérdidas. Este sitio no tiene inicio de sesión, cartera, depósito ni chat de soporte. Un enlace de referido solo registra atribución; no garantiza acceso, precio, recompensa, aprobación ni resultados de inversión. La disponibilidad puede variar por residencia, entidad y producto; el idioma o la marca no confirman acceso regional.

Control del escenario

• Borrar la clave expuesta en la gestión de API del exchange, sin editarla, antes que cualquier otra cosa.
• Revisar órdenes, retiros y transferencias de las últimas horas y capturar lo que no reconozcas.
• Eliminar el archivo o mensaje y verificar que la clave no siga copiada en notas, mails o repositorios.
• Crear la clave nueva sin permiso de retiro, con restricción de IP si está disponible y fecha anotada.