不開提幣權限確實移除了最直接的風險，因為對方無法把資產轉出帳戶，但這並不等於安全，原因在於交易權限本身已經足以令你的資產在帳戶內部被換掉。實際手法是在流動性極低的交易對上，用你的帳戶掛出遠離市價的買單或賣單，再由對方控制的帳戶成交，資產從頭到尾都留在你的帳戶，只是已經由主流幣變成一堆幾乎沒有買家的代幣，而且紀錄上顯示為你自己下的委託，事後追究相當困難。因此開放交易權限時，仍然應該配合幾項限制：設定 IP 白名單、為金鑰設定有效期、只在確實需要自動化執行時開通，以及定期檢視委託與成交紀錄有沒有自己不認識的交易對。更根本的一點是要分清楚兩件事，你需要的是一個工具，還是需要把帳戶交給一個人；如果只是想有紀律地執行買賣，自己下單或使用平台內建的條件單，並不需要把金鑰交給第三方。若目的只是把持倉兌換成港元，透過場外交易完成交收更為直接，亦不涉及任何帳戶授權。

先把說法拆開來看。跨平台套利在機制上確實存在，它賺取的是同一資產在不同平台之間的短暫價差，但這類操作的成敗取決於執行速度、交易與提幣成本、以及在兩邊平台預先備好資金的能力，所以專業參與者通常是用自己的資金與自己的帳戶去做，並不需要向散戶收集帳戶權限。當一個邀約的核心條件是「你開 API 我來操作」，就要問一個很基本的問題：如果策略真的穩定有效，為何需要用別人的帳戶承擔風險。實務上兩種要求都應該拒絕，要求開提幣權限的等於把資產轉出的能力交出去，而只要求交易權限的亦可以透過對敲式成交令你的資產換成賣不出去的代幣。另外要留意幾個常見配套訊號：以固定百分比形式描述回報、提供一個顯示收益的專屬面板、初期讓你順利提出小額、之後以升級或保證金名義要求加碼、以及用限時名額催促你即時決定。正確做法是不要交出任何金鑰，並記住你可以拒絕而不需要解釋；若已經交出，立刻到平台後台刪除全部金鑰，再檢查提幣白名單與二步驗證綁定。

刪除或停用全部 API 金鑰是第一步，亦是最需要立即完成的一步，因為它會即時切斷對方的操作能力，其他排查工作可以在此之後進行。第二步是檢查帳戶設定有沒有被改動，重點包括提幣白名單是否被新增了陌生地址、二步驗證是否仍然綁定在自己的裝置、預留電郵與電話有沒有被更換，以及登入紀錄中有沒有不屬於你的時間與地區；如果二步驗證已被更換，應立即按平台的帳戶申訴流程處理。第三步是更改帳戶密碼與該帳戶所用電郵的密碼，並檢查電郵有沒有被設定自動轉寄規則，這是一個經常被忽略但影響深遠的位置。第四步是保存證據，把委託與成交紀錄、API 存取紀錄、提幣紀錄的交易哈希、以及與對方的完整對話都截圖存檔，並記下發現異常的時間，之後透過平台官方渠道申報；若涉及詐騙，可考慮向香港警方報案並保留報案編號。最後要做的是排查金鑰是如何外洩的，常見來源包括把 secret 貼在對話或雲端筆記、原始碼連同設定檔上傳到公開的程式碼倉庫、裝置感染惡意程式，以及在假的管理面板網站輸入過金鑰；找不到原因就更換設備並重新建立整套憑證，同時務必提高警覺，事發後聲稱可以協助追回資產、但要求先付費用或索取助記詞的，一律不要理會。