Adicionar Endereços de Saque - Permissão de API

Ao ativar a permissão Add Withdrawal Addresses em uma chave de API, qualquer aplicativo ou serviço que use essa chave poderá:

• Adicionar novos endereços de saque de criptomoedas e fiat à sua conta.
• Remover endereços de saque existentes da sua conta.

Isso significa que o detentor da chave de API pode modificar os destinos para os quais seus fundos podem ser enviados, sem fazer login em kraken.com nem usar o Aplicativo Kraken.

Ativar essa permissão aumenta significativamente o impacto potencial caso sua chave de API seja comprometida. Antes de ativá-la, avalie cuidadosamente os riscos a seguir.

Se um invasor obtiver sua chave de API (por meio de vazamento de dados, phishing, malware ou qualquer outro método), ele poderá adicionar seu próprio endereço de saque à sua conta. Combinado com a permissão Withdraw Funds, isso permitiria que o invasor sacasse seus ativos para um endereço sob seu controle.

Muitos clientes conectam chaves de API a serviços de terceiros, como rastreadores de portfólio, bots de trading e ferramentas de declaração de impostos. Se você conceder a permissão Add Withdrawal Addresses a uma chave usada por um serviço de terceiros:

• O próprio serviço de terceiros pode ser comprometido. Até serviços renomados podem sofrer brechas de segurança. Se um invasor acessar a infraestrutura do serviço, poderá usar sua chave de API armazenada para adicionar um endereço de saque malicioso à sua conta.
• O terceiro pode armazenar sua chave de forma insegura. Você não tem controle sobre como um terceiro armazena, transmite ou protege suas credenciais de API.
• Funcionários desonestos ou pessoas com acesso interno em empresas terceiras podem fazer uso indevido de chaves de API com permissões elevadas.

A permissão Add Withdrawal Addresses se torna especialmente perigosa quando combinada com a permissão Withdraw Funds na mesma chave de API. Um invasor com acesso a uma chave que tenha ambas as permissões poderia adicionar seu próprio endereço e iniciar um saque imediatamente, tudo via API, sem nenhuma verificação adicional além da própria chave.

Se precisar usar a permissão Add Withdrawal Addresses, siga as etapas abaixo para reduzir seu risco.

Restrinja sua chave de API para que ela só possa ser usada a partir de endereços IP específicos. Assim, mesmo que sua chave seja roubada, ela não poderá ser usada a partir de uma rede não autorizada.

Configure sua chave de API para expirar automaticamente após um período definido. Isso limita o tempo disponível para que um invasor utilize uma chave comprometida.

Ative apenas as permissões que seu aplicativo realmente precisa. Se um aplicativo só precisa ler dados da conta ou executar negociações, não conceda a ele permissões de saque ou gerenciamento de endereços.

Use uma chave de API dedicada para cada aplicação ou caso de uso. Assim, se uma chave for comprometida, apenas um conjunto limitado de permissões será exposto.

Revise regularmente os endereços de saque da sua conta e verifique os logs de uso das suas chaves de API. Se encontrar endereços ou atividades que não reconhece, revogue a chave de API imediatamente e entre em contato com o Suporte da Kraken.

Adicione uma segunda camada de proteção ativando a verificação em duas etapas (2FA) diretamente na sua chave de API. Quando ativada, cada chamada de API feita com a chave deve incluir um código 2FA válido – ou seja, apenas a chave roubada não é suficiente para que um invasor faça alterações na sua conta.

Saiba mais: Como funciona a verificação em duas etapas (2FA) para chaves de API?

• Como gerar um par de chaves de API

• Permissões de chaves de API: guia completo