Bot de cripto seguro: por qué la clave solo-trade lo cambia todo
El mayor miedo al automatizar cripto es simple: ¿y si el bot se lleva mi dinero? Theta responde a eso por arquitectura, no por promesa. El bot opera con una clave de API solo-trade — puede leer tu saldo y enviar órdenes de compra y venta, pero no puede retirar. Tus fondos nunca salen de tu cuenta del exchange.
Esto es lo opuesto a la custodia. No transfieres cripto hacia nosotros; nunca tocamos un saldo. Lo peor que una clave filtrada podría hacer es operar dentro de tu propia cuenta — nunca mover fondos fuera.
Por qué confiar
La clave de API lee y opera, y no puede retirar. Y el rechazo se equivoca hacia el lado seguro: si el exchange responde de un modo que no permita confirmar los permisos, la conexión ni siquiera se completa. Tus fondos nunca salen de tu cuenta del exchange.
No es filosofía, es una traba del motor: por cuenta propia exige 0,35% sobre el costo promedio, lo que cubre la ida y la vuelta de la comisión más margen (la comisión exacta varía por exchange). Si el precio cae, el bot mantiene y reabre después. La traba es sobre lo que el bot hace solo, no sobre ti: mandar vender ahora sigue siendo tu decisión.
Simula con saldo virtual, sin límite de tiempo, antes de arriesgar un solo centavo real. El simulador corre contra velas reales del propio exchange, así que es él quien reproduce cualquier número que publicamos.
En los bots gestionados, el Plan del Piloto ajusta cuántas monedas y cuánto por moneda a partir del dinero que existe en el exchange — subiendo una escalera pública conforme el capital crece. Si no logra leer el saldo del exchange, no planifica el escalón: prefiere detenerse antes que adivinar un número.
Qué pasó en 2022 (y por qué importa)
En diciembre de 2022, 3Commas — una de las mayores plataformas de automatización de trading — confirmó la filtración de cerca de 100.000 claves de API de usuarios (fuente: comunicado de la propia 3Commas, diciembre de 2022). Muchas de esas claves tenían permiso de retiro. El resultado fue previsible: quien tenía retiros habilitados quedó vulnerable a que le vaciaran los fondos.
La lección no es "nunca uses bots". Es: nunca le des permiso de retiro a un bot. Una clave solo-trade convierte una filtración catastrófica en un susto manejable — el atacante no puede sacar nada del exchange.
Cómo crear una clave de API segura, paso a paso
En tu exchange (Binance, Bybit o Coinbase), al generar la clave de API:
- Habilita solo Lectura (Read) y Spot Trading. Deja Retiro (Withdraw) SIN MARCAR.
- Activa la restricción por IP (IP allowlist) y añade solo el IP del bot de Theta: 187.127.30.44.
- Nunca compartas la Secret Key — aparece una sola vez. Guárdala solo donde la pegarás en Theta.
- Si el exchange lo permite, exige confirmación en 2 pasos para cambiar permisos de la clave.
Por qué la IP allowlist cambia el juego
Aunque tu clave se filtre, con IP allowlist solo funciona desde el servidor de Theta. Un atacante en otra máquina es simplemente rechazado por el exchange — la clave es inútil fuera de la IP autorizada. Es un segundo candado, independiente del primero.
Y del lado de Theta esto no depende del exchange: la conexión rechaza cualquier clave que venga con permiso de retiro, y rechaza también cuando no puede confirmar los permisos — ante la duda, niega.
Qué hacemos con tu clave (y qué vigilamos)
La clave que conectas es solo-trade por obligación: una clave con permiso de retiro se rechaza ya en el registro. La que entra se cifra en la base de datos. Y si activas la restricción por IP en el exchange (paso 2 arriba), una clave filtrada es un papel mojado, porque desde otra IP el exchange la rechaza — sin la restricción sigue sin poder retirar, pero puede operar. Además, una auditoría de contabilidad corre cada madrugada y un vigía revisa el servidor cada 5 minutos.
- Clave con retiro: rechazada en el registro. Solo entra clave solo-trade.
- Cifrada en la base de datos; con la restricción por IP activada en el exchange, inútil fuera de nuestro servidor.
- Auditoría de contabilidad cada madrugada; vigía revisa el servidor cada 5 min.
Custodia vs. sin custodia, en una frase
Custodia: entregas tus fondos a un tercero y confías en que te los devuelva. Sin custodia (Theta): tus fondos quedan en tu cuenta del exchange todo el tiempo; el bot solo opera dentro de ella. No existe botón de retiro en Theta — así que no existe custodia. Mantienes el control y revocas la clave cuando quieras, directo en el exchange.
Preguntas frecuentes
¿Por qué debería confiar en Theta?
¿Theta puede retirar mi dinero?
¿Y si la clave de API de Theta se filtra?
¿Tengo que configurar la IP allowlist manualmente?
¿Qué exchanges son compatibles?
Sin cobros automáticos. Cancela cuando quieras.
30 días gratis, sin tarjeta · después R$ 59/mes (de R$ 97) o R$ 490/año (de R$ 790) · precio de fundador congelado hasta el 31/12/2026. Fuera de Brasil: US$ 12/mes (de US$ 19) o US$ 99/año (de US$ 149). Cripto (USDT): $12 = 1 mes, $24 = 3 meses, $79 = 1 año.
Sigue explorando
Theta es software de automatización; no es recomendación de inversión. Las criptos implican riesgo; el resultado pasado no garantiza el resultado futuro. Pagas por el software — tus fondos permanecen en tu exchange.