Adicionar Endereços de Saque - Permissão de API

Ao ativar a permissão Add Withdrawal Addresses em uma chave de API, qualquer aplicativo ou serviço que utilize essa chave poderá:

• Adicionar novos endereços de saque de criptomoedas e fiat à sua conta.
• Remover endereços de saque existentes da sua conta.

Isso significa que o detentor da chave de API pode modificar para onde seus fundos podem ser enviados, sem precisar fazer login em kraken.com ou usar o Aplicativo Kraken.

Ativar esta permissão aumenta significativamente o impacto potencial caso sua chave de API seja comprometida. Antes de ativá-la, avalie cuidadosamente os riscos a seguir.

Se um invasor obtiver sua chave de API (por meio de vazamento de dados, phishing, malware ou qualquer outro método), ele poderá adicionar seu próprio endereço de saque à sua conta. Combinada com a permissão Withdraw Funds, isso permitiria que o invasor sacasse seus ativos para um endereço sob o controle dele.

Muitos clientes conectam chaves de API a serviços de terceiros, como rastreadores de portfólio, bots de trading e ferramentas de declaração de impostos. Se você conceder a permissão Add Withdrawal Addresses a uma chave usada por um serviço de terceiros:

• O próprio serviço de terceiros pode ser comprometido. Até serviços respeitáveis podem sofrer violações de segurança. Se um invasor obtiver acesso à infraestrutura do serviço, ele poderá usar sua chave de API armazenada para adicionar um endereço de saque malicioso à sua conta.
• O serviço de terceiros pode armazenar sua chave de forma insegura. Você não tem controle sobre como um terceiro armazena, transmite ou protege suas credenciais de API.
• Funcionários desonestos ou com acesso privilegiado em uma empresa terceira podem fazer uso indevido de chaves de API com permissões elevadas.

A permissão Add Withdrawal Addresses torna-se especialmente perigosa quando combinada com a permissão Withdraw Funds na mesma chave de API. Um invasor com acesso a uma chave que tenha ambas as permissões poderia adicionar seu próprio endereço e iniciar um saque imediatamente, tudo pela API, sem nenhuma verificação adicional além da própria chave.

Se você precisar usar a permissão Add Withdrawal Addresses, siga as etapas abaixo para reduzir o risco.

Restrinja sua chave de API para que ela só possa ser usada a partir de endereços IP específicos. Assim, mesmo que sua chave seja roubada, ela não poderá ser usada a partir de uma rede não autorizada.

Configure sua chave de API para expirar automaticamente após um período determinado. Isso reduz o tempo disponível para que um invasor use uma chave comprometida.

Ative apenas as permissões que seu aplicativo realmente precisa. Se o aplicativo só precisa ler dados da conta ou executar ordens, não conceda permissões de saque ou gerenciamento de endereços.

Use uma chave de API dedicada para cada aplicação ou caso de uso. Assim, se uma chave for comprometida, apenas um conjunto limitado de permissões ficará exposto.

Revise regularmente os endereços de saque da sua conta e verifique os registros de uso da chave de API. Se você identificar endereços ou atividades desconhecidos, revogue a chave de API imediatamente e entre em contato com o Suporte da Kraken.

Adicione uma segunda camada de proteção ativando a 2FA diretamente na sua chave de API. Quando ativada, toda chamada de API feita com a chave deve incluir um código 2FA válido, ou seja, uma chave roubada sozinha não é suficiente para que um invasor faça alterações na sua conta.

Saiba mais: Como funciona a verificação em duas etapas (2FA) para chaves de API?

• Como gerar um par de chaves API