Nosto-osoitteiden lisääminen – API-käyttöoikeus

Kun otat Add Withdrawal Addresses -oikeuden käyttöön API-avaimelle, kaikki kyseistä avainta käyttävät sovellukset ja palvelut voivat:

• Lisätä uusia kryptovaluutta- ja fiat-nosto-osoitteita tilillesi.
• Poistaa olemassa olevia nosto-osoitteita tililtäsi.

API-avaimen haltija voi siis muuttaa osoitteita, joihin varojasi voidaan nostaa, ilman kirjautumista kraken.com-sivustolle tai Kraken-sovellukseen.

Tämän oikeuden käyttöönotto kasvattaa merkittävästi mahdollisia seurauksia, jos API-avaimesi joutuu vääriin käsiin. Harkitse seuraavia riskejä huolellisesti ennen käyttöönottoa.

Jos hyökkääjä saa haltuunsa API-avaimesi (tietomurron, tietojenkalastelun, haittaohjelman tai muun keinon kautta), hän voi lisätä oman nosto-osoitteensa tilillesi. Yhdistettynä Withdraw Funds -oikeuteen tämä sallisi hyökkääjän nostaa varasi omaan hallinnassaan olevaan osoitteeseen.

Monet asiakkaat yhdistävät API-avaimia kolmansien osapuolten palveluihin, kuten salkun seurantatyökaluihin, kaupankäyntibotteihin ja veroraportointisovelluksiin. Jos myönnät Add Withdrawal Addresses -oikeuden kolmannen osapuolen palvelulle:

• Kolmannen osapuolen palvelu itse voi joutua tietomurron kohteeksi. Jopa luotettavat palvelut voivat kärsiä tietoturvaloukkauksia. Jos hyökkääjä pääsee palvelun infrastruktuuriin, hän voi käyttää tallennettua API-avaintasi lisätäkseen haitallisen nosto-osoitteen tilillesi.
• Kolmas osapuoli saattaa säilyttää avaintasi turvattomasti. Et voi vaikuttaa siihen, miten kolmas osapuoli säilyttää, välittää tai suojaa API-tunnistetietojasi.
• Kolmannen osapuolen yrityksen epärehelliset työntekijät tai sisäpiiriläiset voivat käyttää väärin API-avaimia, joilla on laajennettuja oikeuksia.

Add Withdrawal Addresses -oikeus muuttuu erityisen vaaralliseksi yhdistettynä Withdraw Funds -oikeuteen samassa API-avaimessa. Hyökkääjä, jolla on pääsy molempiin oikeuksiin, voi lisätä oman osoitteensa ja käynnistää noston välittömästi, kaikki API:n kautta ilman muuta vahvistusta kuin avain itse.

Jos tarvitset Add Withdrawal Addresses -oikeutta, noudata seuraavia ohjeita riskin pienentämiseksi.

Rajoita API-avaimesi niin, että sitä voidaan käyttää vain tietyistä IP-osoitteista. Vaikka avain varastettaisiin, sitä ei voi käyttää luvattomasta verkosta.

Määritä API-avaimellesi automaattinen vanhentuminen tietyn ajan kuluttua. Tämä lyhentää aikaikkunaa, jonka hyökkääjällä on käytettävissään vaarantuneen avaimen hyödyntämiseen.

Ota käyttöön vain ne oikeudet, joita sovelluksesi todella tarvitsee. Jos sovellus tarvitsee vain lukea tilitietoja tai tehdä kauppoja, älä myönnä sille nosto- tai osoitteenhallintaoikeuksia.

Käytä erillistä API-avainta jokaiselle sovellukselle tai käyttötapaukselle. Näin yhden avaimen vaarantuminen ei paljasta kuin rajatut oikeudet.

Tarkista tilisi nosto-osoitteet ja API-avaimen käyttölokit säännöllisesti. Jos havaitset tuntemattomia osoitteita tai toimintaa, peruuta API-avain välittömästi ja ota yhteyttä Kraken-tukeen.

Lisää ylimääräinen suojauskerros ottamalla 2FA käyttöön suoraan API-avaimellesi. Kun 2FA on käytössä, jokainen API-kutsu edellyttää voimassa olevaa 2FA-koodia – pelkkä varastettu avain ei siis riitä hyökkääjälle tilimuutosten tekemiseen.

Lue lisää: Miten kaksivaiheinen todennus (2FA) toimii API-avaimilla?

• Kuinka luodaan API-avainpari

• API-avaimen käyttöoikeudet selitettyinä