Nosto-osoitteiden lisääminen – API-käyttöoikeus

Kun otat Add Withdrawal Addresses -oikeuden käyttöön API-avaimessa, mikä tahansa sovellus tai palvelu, joka käyttää kyseistä avainta, voi:

• Lisätä uusia kryptovaluutta- ja fiat-nosto-osoitteita tilillesi.
• Poistaa olemassa olevia nosto-osoitteita tililtäsi.

Tämä tarkoittaa, että API-avaimen haltija voi muuttaa, mihin osoitteisiin varojasi voidaan lähettää, kirjautumatta kraken.com-sivustolle tai Kraken-sovellukseen.

Tämän oikeuden käyttöönotto lisää merkittävästi mahdollisia seurauksia, jos API-avaimesi joutuu vääriin käsiin. Harkitse huolellisesti seuraavia riskejä ennen kuin otat oikeuden käyttöön.

Jos hyökkääjä saa haltuunsa API-avaimesi – tietomurron, tietojenkalastelun, haittaohjelman tai muun keinon kautta – hän voi lisätä oman nosto-osoitteensa tilillesi. Yhdistettynä Withdraw Funds -oikeuteen hyökkääjä voi nostaa varasi haluamaansa osoitteeseen.

Monet asiakkaat yhdistävät API-avaimia kolmansien osapuolten palveluihin, kuten salkun seurantatyökaluihin, kaupankäyntibotteihin ja veroraportointityökaluihin. Jos myönnät Add Withdrawal Addresses -oikeuden avaimelle, jota kolmannen osapuolen palvelu käyttää:

• Kolmannen osapuolen palvelu itse saattaa joutua tietomurron kohteeksi. Jopa luotettavat palvelut voivat kärsiä tietoturvaloukkauksia. Jos hyökkääjä pääsee käsiksi palvelun infrastruktuuriin, hän voi käyttää tallennettua API-avaintasi lisätäkseen haitallisen nosto-osoitteen tilillesi.
• Kolmas osapuoli saattaa säilyttää avaintasi epäturvallisesti. Et voi vaikuttaa siihen, miten kolmas osapuoli säilyttää, välittää tai suojaa API-tunnistetietojasi.
• Kolmannen osapuolen yrityksen epäluotettavat työntekijät tai sisäpiiriläiset voivat käyttää väärin API-avaimia, joilla on laajennettuja oikeuksia.

Add Withdrawal Addresses -oikeus muuttuu erityisen vaaralliseksi yhdistettynä Withdraw Funds -oikeuteen samassa API-avaimessa. Hyökkääjä, jolla on pääsy avaimeen, jossa on molemmat oikeudet, voi lisätä oman osoitteensa ja käynnistää noston välittömästi – kaikki API:n kautta ilman lisävahvistusta, pelkällä avaimella.

Jos sinun täytyy käyttää Add Withdrawal Addresses -oikeutta, noudata seuraavia ohjeita riskin pienentämiseksi.

Rajoita API-avaimesi käyttö vain tiettyihin IP-osoitteisiin. Näin avain ei kelpaa luvattomassa verkossa, vaikka se varastettaisiin.

Määritä API-avaimellesi automaattinen vanhentumisaika. Näin lyhennetään aika, jonka hyökkääjällä on käytettävissään vaarantunut avain.

Ota käyttöön vain ne oikeudet, joita sovelluksesi todella tarvitsee. Jos sovellus tarvitsee vain tilitietojen lukemisen tai kaupankäynnin, älä myönnä sille nosto- tai osoitteenhallintaoikeuksia.

Käytä erillistä API-avainta kullekin sovellukselle tai käyttötapaukselle. Näin yhden avaimen vaarantuessa vain rajalliset oikeudet paljastuvat.

Tarkista tilisi nosto-osoitteet ja API-avaimen käyttölokit säännöllisesti. Jos havaitset osoitteita tai toimintaa, jota et tunnista, peruuta API-avain välittömästi ja ota yhteyttä Kraken-tukeen.

Lisää API-avaimesi suojaukseen toinen taso ottamalla 2FA käyttöön suoraan avaimelle. Kun 2FA on käytössä, jokaisen avaimella tehdyn API-kutsun on sisällettävä voimassa oleva 2FA-koodi – pelkkä varastettu avain ei siis riitä hyökkääjälle tilisi muuttamiseen.

Lue lisää: Miten API-avainten kaksivaiheinen todennus (2FA) toimii?

• API-avainparin luominen