Auszahlungsadressen hinzufügen – API-Berechtigung

Wenn du die Berechtigung „Auszahlungsadressen hinzufügen" für einen API-Schlüssel aktivierst, kann jede Anwendung oder jeder Dienst, der diesen Schlüssel verwendet:

• Neue Kryptowährungs- und Fiat-Auszahlungsadressen zu deinem Konto hinzufügen.
• Vorhandene Auszahlungsadressen aus deinem Konto entfernen.

Das bedeutet, der Holder des API-Schlüssels kann ändern, an welche Adressen deine Einlagen gesendet werden dürfen – ohne sich bei kraken.com anzumelden oder die Kraken App zu nutzen.

Die Aktivierung dieser Berechtigung erhöht die potenziellen Auswirkungen erheblich, falls dein API-Schlüssel jemals kompromittiert wird. Bevor du sie aktivierst, solltest du die folgenden Risiken sorgfältig abwägen.

Wenn ein Angreifer deinen API-Schlüssel erlangt – durch ein Datenleck, Phishing, Malware oder auf andere Weise – könnte er eine eigene Auszahlungsadresse zu deinem Konto hinzufügen. In Kombination mit der Berechtigung „Einlagen auszahlen" könnte ein Angreifer deine Assets an eine von ihm kontrollierte Adresse auszahlen.

Viele Kunden verbinden API-Schlüssel mit Drittanbieterdiensten wie Portfolio-Trackern, Trading-Bots und Tools zur Steuererfassung. Wenn du einem Schlüssel, der von einem Drittanbieterdienst genutzt wird, die Berechtigung „Auszahlungsadressen hinzufügen" erteilst:

• Könnte der Drittanbieterdienst selbst kompromittiert werden. Selbst seriöse Dienste können von Sicherheitsvorfällen betroffen sein. Wenn ein Angreifer Zugang zur Infrastruktur des Dienstes erhält, könnte er deinen gespeicherten API-Schlüssel nutzen, um eine bösartige Auszahlungsadresse zu deinem Konto hinzuzufügen.
• Der Drittanbieter könnte deinen Schlüssel unsicher speichern. Du hast keinen Einfluss darauf, wie ein Drittanbieter deine API-Anmeldedaten speichert, überträgt oder schützt.
• Böswillige Mitarbeiter oder Insider eines Drittanbieterunternehmens könnten API-Schlüssel mit erhöhten Berechtigungen missbrauchen.

Die Berechtigung „Add Withdrawal Addresses" wird besonders gefährlich, wenn sie auf demselben API-Schlüssel zusammen mit der Berechtigung „Withdraw Funds" aktiviert ist. Ein Angreifer mit Zugang zu einem Schlüssel, der beide Berechtigungen besitzt, könnte eine eigene Auszahlungsadresse hinzufügen und sofort eine Auszahlung einleiten – alles über die API, ohne dass über den Schlüssel selbst hinaus eine weitere Verifizierung erforderlich wäre.

Wenn du die Berechtigung „Add Withdrawal Addresses" verwenden musst, folge diesen Schritten, um dein Risiko zu minimieren.

Schränke deinen API-Schlüssel so ein, dass er nur von bestimmten IP-Adressen aus verwendet werden kann. So kann der Schlüssel selbst bei einem Diebstahl nicht aus einem nicht autorisierten Netzwerk genutzt werden.

Konfiguriere deinen API-Schlüssel so, dass er nach einem festgelegten Zeitraum automatisch abläuft. Das begrenzt den Zeitraum, in dem ein Angreifer einen kompromittierten Schlüssel nutzen kann.

Aktiviere nur die Berechtigungen, die deine Anwendung tatsächlich benötigt. Wenn eine Anwendung nur Kontodaten lesen oder Trades platzieren muss, erteile ihr keine Berechtigungen für Auszahlungen oder die Adressverwaltung.

Verwende für jede Anwendung oder jeden Anwendungsfall einen eigenen API-Schlüssel. So sind bei einer Kompromittierung nur die Berechtigungen dieses einen Schlüssels betroffen.

Überprüfe regelmäßig die Auszahlungsadressen in deinem Konto und kontrolliere die Nutzungsprotokolle deiner API-Schlüssel. Wenn du unbekannte Adressen oder Aktivitäten siehst, widerrufe den API-Schlüssel sofort und wende dich an den Kraken Support.

Aktiviere 2FA direkt für deinen API-Schlüssel, um eine zweite Sicherheitsebene hinzuzufügen. Nach der Aktivierung muss jeder API-Aufruf mit dem Schlüssel einen gültigen 2FA-Code enthalten – ein gestohlener Schlüssel allein reicht dann nicht aus, um Änderungen an deinem Konto vorzunehmen.

Erfahre mehr: Wie funktioniert die Zwei-Faktor-Authentifizierung (2FA) für API-Schlüssel?

• So erzeugst du ein API-Schlüsselpaar

• API-Schlüsselberechtigungen im Überblick