Auszahlungsadressen hinzufügen – API-Berechtigung

Wenn du die Berechtigung „Auszahlungsadressen hinzufügen" für einen API-Schlüssel aktivierst, kann jede Anwendung oder jeder Dienst, der diesen Schlüssel verwendet, Folgendes:

• Neue Kryptowährungs- und Fiat-Auszahlungsadressen zu deinem Konto hinzufügen.
• Bestehende Auszahlungsadressen aus deinem Konto entfernen.

Das bedeutet, dass der Holder des API-Schlüssels ändern kann, an welche Adressen deine Mittel gesendet werden dürfen – ohne Anmeldung auf kraken.com oder über die Kraken App.

Die Aktivierung dieser Berechtigung erhöht das potenzielle Schadensausmaß erheblich, falls dein API-Schlüssel jemals kompromittiert wird. Bedenke vor der Aktivierung sorgfältig die folgenden Risiken.

Wenn ein Angreifer deinen API-Schlüssel erlangt – etwa durch ein Datenleck, Phishing, Malware oder auf anderem Wege – könnte er eine eigene Auszahlungsadresse zu deinem Konto hinzufügen. In Kombination mit der Berechtigung „Mittel auszahlen" könnte ein Angreifer damit deine Assets an eine von ihm kontrollierte Adresse auszahlen.

Viele Kunden verbinden API-Schlüssel mit Drittanbieterdiensten wie Portfolio-Trackern, Trading-Bots und Steuer-Reporting-Tools. Wenn du die Berechtigung „Auszahlungsadressen hinzufügen" für einen Schlüssel vergibst, der von einem Drittanbieterdienst genutzt wird:

• Der Drittanbieterdienst selbst könnte kompromittiert werden. Selbst seriöse Dienste können von Sicherheitsvorfällen betroffen sein. Erhält ein Angreifer Zugriff auf die Infrastruktur des Dienstes, könnte er deinen gespeicherten API-Schlüssel nutzen, um eine schädliche Auszahlungsadresse zu deinem Konto hinzuzufügen.
• Der Drittanbieter könnte deinen Schlüssel unsicher speichern. Du hast keine Kontrolle darüber, wie ein Drittanbieter deine API-Anmeldedaten speichert, überträgt oder schützt.
• Unehrliche Mitarbeiter oder Insider eines Drittunternehmens könnten API-Schlüssel mit erweiterten Berechtigungen missbrauchen.

Die Berechtigung „Add Withdrawal Addresses" wird besonders gefährlich, wenn sie zusammen mit der Berechtigung „Withdraw Funds" auf demselben API-Schlüssel aktiviert ist. Ein Angreifer, der Zugriff auf einen Schlüssel mit beiden Berechtigungen hat, könnte eine eigene Adresse hinzufügen und sofort eine Auszahlung veranlassen – alles über die API, ohne weitere Verifizierung außer dem Schlüssel selbst.

Falls du die Berechtigung „Add Withdrawal Addresses" benötigst, gehe die folgenden Schritte durch, um dein Risiko zu minimieren.

Schränke deinen API-Schlüssel so ein, dass er nur von bestimmten IP-Adressen aus verwendet werden kann. Selbst bei Diebstahl kann der Schlüssel dann nicht über ein nicht autorisiertes Netzwerk genutzt werden.

Konfiguriere deinen API-Schlüssel so, dass er nach einem festgelegten Zeitraum automatisch abläuft. Das begrenzt den Zeitraum, in dem ein Angreifer einen kompromittierten Schlüssel nutzen kann.

Aktiviere nur die Berechtigungen, die deine Anwendung tatsächlich benötigt. Wenn eine Anwendung nur Kontodaten lesen oder Trades ausführen muss, vergib ihr keine Auszahlungs- oder Adressverwaltungsberechtigungen.

Verwende für jede Anwendung oder jeden Anwendungsfall einen eigenen API-Schlüssel. So ist bei einer Kompromittierung nur ein begrenzter Berechtigungsumfang betroffen.

Überprüfe regelmäßig die Auszahlungsadressen in deinem Konto und kontrolliere die Nutzungsprotokolle deiner API-Schlüssel. Wenn du Adressen oder Aktivitäten entdeckst, die du nicht kennst, widerrufe den API-Schlüssel sofort und wende dich an Kraken Support.

Füge eine zweite Schutzebene hinzu, indem du 2FA direkt für deinen API-Schlüssel aktivierst. Ist 2FA aktiviert, muss jeder API-Aufruf mit dem Schlüssel einen gültigen 2FA-Code enthalten – ein gestohlener Schlüssel allein reicht einem Angreifer nicht aus, um Änderungen an deinem Konto vorzunehmen.

Erfahre mehr: Wie funktioniert die Zwei-Faktor-Authentifizierung (2FA) für API-Schlüssel?

• So erstellst du ein API-Schlüsselpaar