Il permesso Add Withdrawal Addresses consente a una chiave API di aggiungere e rimuovere indirizzi di prelievo sul tuo account di Kraken. Questo articolo spiega cosa fa il permesso, i rischi di sicurezza associati e i passaggi che puoi seguire per proteggere il tuo account.
Quando abiliti il permesso Add Withdrawal Addresses su una chiave API, qualsiasi applicazione o servizio che utilizza quella chiave può:
Ciò significa che il holder della chiave API può modificare gli indirizzi verso cui i tuoi fondi possono essere inviati, senza accedere a kraken.com o alla Kraken App.
L'attivazione di questo permesso aumenta significativamente il rischio potenziale in caso di compromissione della chiave API. Prima di abilitarlo, valuta attentamente i seguenti rischi.
Se un malintenzionato ottiene la tua chiave API (tramite una violazione dei dati, phishing, malware o qualsiasi altro mezzo), potrebbe aggiungere un proprio indirizzo di prelievo al tuo account. Abbinato al permesso Withdraw Funds, ciò consentirebbe a un malintenzionato di prelevare i tuoi asset verso un indirizzo sotto il suo controllo.
Molti clienti collegano le chiavi API a servizi di terze parti come tracker di portfolio, bot di trading e strumenti per la dichiarazione fiscale. Se concedi il permesso Add Withdrawal Addresses a una chiave utilizzata da un servizio di terze parti:
Raccomandazione: Non concedere mai il permesso Add Withdrawal Addresses a una chiave API che condividi con servizi di terze parti. Abilita questo permesso solo sulle chiavi utilizzate in applicazioni che controlli direttamente.
Il permesso Add Withdrawal Addresses diventa particolarmente pericoloso se abbinato al permesso Withdraw Funds sulla stessa chiave API. Un malintenzionato con accesso a una chiave che dispone di entrambi i permessi potrebbe aggiungere un proprio indirizzo di prelievo e avviare immediatamente un prelievo, il tutto tramite API e senza alcuna verifica aggiuntiva oltre alla chiave stessa.
Raccomandazione: Evita di abilitare sia Add Withdrawal Addresses che Withdraw Funds sulla stessa chiave API, salvo stretta necessità. Usa chiavi separate con i permessi minimi richiesti da ciascuna applicazione.
Se hai bisogno di utilizzare il permesso Add Withdrawal Addresses, segui i passaggi indicati di seguito per ridurre il rischio.
Limita la tua chiave API in modo che possa essere utilizzata solo da indirizzi IP specifici. In questo modo, anche se la chiave venisse sottratta, non potrebbe essere usata da una rete non autorizzata.
Configura la tua chiave API in modo che scada automaticamente dopo un periodo prestabilito. Questo riduce il tempo a disposizione di un malintenzionato per sfruttare una chiave compromessa.
Abilita solo i permessi effettivamente necessari alla tua applicazione. Se un'applicazione deve solo leggere i dati dell'account o piazzare trade, non concederle permessi di prelievo o di gestione degli indirizzi.
Usa una chiave API dedicata per ogni applicazione o caso d'uso. In questo modo, se una chiave viene compromessa, solo un numero limitato di permessi risulta esposto.
Controlla regolarmente gli indirizzi di prelievo sul tuo account e verifica i log di utilizzo delle chiavi API. Se noti indirizzi o attività che non riconosci, revoca immediatamente la chiave API e contatta l'Assistenza clienti di Kraken.
Aggiungi un secondo livello di protezione abilitando la 2FA direttamente sulla tua chiave API. Una volta attivata, ogni chiamata API effettuata con la chiave deve includere un codice 2FA valido: una chiave rubata da sola non è sufficiente perché un malintenzionato possa apportare modifiche al tuo account.
Scopri di più: Come funziona l'autenticazione a due fattori (2FA) per le chiavi API?
Azione | Perché è importante |
|---|---|
Abilitala solo sulle chiavi che controlli direttamente | Riduce il rischio di esposizione a terze parti |
Non abbinarla mai a Withdraw Funds sulla stessa chiave (se non strettamente necessario) | Limita i danni in caso di chiave compromessa |
Abilita la whitelist indirizzi IP autorizzati | Blocca l'utilizzo da network non autorizzati |
Imposta una scadenza per la chiave | Riduce la finestra di utilizzo di una chiave rubata |
Usa una chiave per ogni applicazione | Circoscrive l'impatto di una violazione |
Controlla regolarmente indirizzi e attività | Rileva tempestivamente modifiche non autorizzate |