في ظهر يوم الأحد، بدا كل شيء هادئًا جدًا. السوق كان غير متحمس، والدردشات في مجموعة التواصل كانت نشطة جدًا، وبرنامج التداول الآلي الخاص بنا يعمل بشكل طبيعي — يجمع البيانات، يضع أوامر صغيرة، يكتب السجلات. فجأة، ظهرت سجل صفقة على واجهة التداول، والحساب ينتمي إلينا، لكننا لم نقم بأي عملية. على الرغم من أن المبلغ ليس كبيرًا، إلا أن الشعور كان كأنك تسمع خطوات غريبة في المنزل في منتصف الليل — توتر كامل في الجسم في لحظة واحدة.

على الفور، انفجر بعض الأشخاص في الحديث. بعضهم اعتقد أن مفتاح API قد تم تسريبه، وآخرون شككوا في وجود مشكلة في نظام البورصة، ولم تتوصل المناقشات الحادة إلى نتيجة. وفي خضم الجدال، سأل الشاب الجديد بصوت منخفض: "لقد استخدمنا مفتاحنا هذا لأكثر من شهر، ولم نقم بتغييره أبدًا؟"
في لحظة، سكت الجميع.
في عالم تداول الأصول الرقمية، غالبًا ما نعتبر مفتاح API بمثابة مفتاح الباب — نخبئه ونظن أنه لا يمكن اختراقه. لكن في الواقع، مجرد إخفائه غير كافٍ. خاصة عند استخدام واجهات التداول الرئيسية، فإن الجلسة (session) هي في الحقيقة شهادة مؤقتة ذات صلاحية، تشبه تصريح مرور صالح، وتؤكد أن روبوتك لديه صلاحية لإجراء التداولات. إذا كانت مدة صلاحية هذه الشهادة طويلة جدًا، فبمجرد سرقتها أو تسريبها، ستكون العواقب وخيمة جدًا. تلك الصفقة الغامضة كانت بمثابة إشارة تحذير، ونحن هنا محظوظون نسبياً، حيث لم تكن الخسائر كبيرة. لكن المرة القادمة، ماذا لو كانت الخسائر أكبر؟ لا يمكن المجازفة بمثل هذا التفكير.
منذ ذلك اليوم، قررت أن أحل هذه المشكلة بشكل نهائي. في البداية لم أفهم لماذا يجب فعل ذلك، ثم شعرت بالغضب، وأخيرًا قررت أن أغير النظام بنفسي. بما أن المتداولين يمكنهم التناوب على العمل، فلماذا لا يمكن للرموز البرمجية أن تتغير صلاحيتها بشكل دوري؟ قرر فريقنا إضافة آلية تدوير تلقائي للجلسة في النظام — ببساطة، جعل توثيق الواجهة يتجدد بشكل دوري، وكل مرة يكون تصريح مرور جديد مؤقت، حتى لو حصل عليها الهاكرز، فإنها لن تكون ذات فائدة.