Il permesso Add Withdrawal Addresses consente a una chiave API di aggiungere e rimuovere indirizzi di prelievo sul tuo account di Kraken. Questo articolo spiega cosa fa il permesso, i rischi per la sicurezza che comporta e i passaggi che puoi seguire per proteggere il tuo account.
Quando abiliti il permesso Add Withdrawal Addresses su una chiave API, qualsiasi applicazione o servizio che utilizza quella chiave può:
Ciò significa che il holder della chiave API può modificare gli indirizzi verso cui i tuoi fondi possono essere inviati, senza effettuare l'accesso a kraken.com o utilizzare la Kraken App.
Abilitare questo permesso aumenta significativamente il potenziale impatto in caso di compromissione della tua chiave API. Prima di abilitarlo, valuta attentamente i rischi seguenti.
Se un malintenzionato ottiene la tua chiave API (tramite una violazione dei dati, phishing, malware o qualsiasi altro mezzo), potrebbe aggiungere un proprio indirizzo di prelievo al tuo account. Combinato con il permesso Withdraw Funds, ciò consentirebbe al malintenzionato di prelevare i tuoi asset verso un indirizzo sotto il suo controllo.
Molti clienti collegano le chiavi API a servizi di terze parti come tracker di portfolio, bot di trading e strumenti per la rendicontazione fiscale. Se concedi il permesso Add Withdrawal Addresses a una chiave utilizzata da un servizio di terze parti:
Raccomandazione: Non concedere mai il permesso Add Withdrawal Addresses a una chiave API che condividi con servizi di terze parti. Abilita questo permesso solo sulle chiavi che usi in applicazioni che controlli completamente.
Il permesso Add Withdrawal Addresses diventa particolarmente pericoloso se abbinato al permesso Withdraw Funds sulla stessa chiave API. Un malintenzionato con accesso a una chiave che dispone di entrambi i permessi potrebbe aggiungere un proprio indirizzo di prelievo e avviare immediatamente un prelievo, il tutto tramite API senza alcuna verifica aggiuntiva oltre alla chiave stessa.
Raccomandazione: Evita di abilitare sia Add Withdrawal Addresses che Withdraw Funds sulla stessa chiave API, a meno che non sia strettamente necessario. Usa chiavi separate con i permessi minimi richiesti da ciascuna applicazione.
Se devi utilizzare il permesso Add Withdrawal Addresses, segui questi passaggi per ridurre il rischio.
Limita la tua chiave API in modo che sia utilizzabile solo da indirizzi IP specifici. In questo modo, anche se la chiave viene sottratta, non potrà essere usata da un network non autorizzato.
Configura la tua chiave API in modo che scada automaticamente dopo un periodo definito. In questo modo si riduce la finestra temporale a disposizione di un malintenzionato per sfruttare una chiave compromessa.
Abilita solo i permessi effettivamente necessari alla tua applicazione. Se un'applicazione ha bisogno solo di leggere i dati dell'account o di eseguire trade, non concederle permessi di prelievo o di gestione degli indirizzi.
Usa una chiave API dedicata per ogni applicazione o caso d'uso. In questo modo, se una chiave viene compromessa, solo un insieme limitato di autorizzazioni risulta a rischio.
Controlla regolarmente gli indirizzi di prelievo sul tuo account e verifica i log di utilizzo delle chiavi API. Se noti indirizzi o attività che non riconosci, revoca immediatamente la chiave API e contatta l'Assistenza clienti di Kraken.
Aggiungi un secondo livello di protezione abilitando la 2FA direttamente sulla tua chiave API. Una volta attivata, ogni chiamata API effettuata con la chiave deve includere un codice 2FA valido: una chiave rubata da sola non è sufficiente per consentire a un malintenzionato di apportare modifiche al tuo account.
Scopri di più: Come funziona l'autenticazione a due fattori (2FA) per le chiavi API?
Azione | Perché è importante |
|---|---|
Abilita solo su chiavi che controlli direttamente | Evita l'esposizione a servizi di terze parti |
Non abbinare mai a Preleva fondi sulla stessa chiave (se non strettamente necessario) | Limita i danni in caso di chiave compromessa |
Abilita la whitelist degli indirizzi IP autorizzati | Blocca l'utilizzo da reti non autorizzate |
Imposta una scadenza per la chiave | Riduce la finestra di utilizzo di una chiave rubata |
Usa una chiave per ogni applicazione | Circoscrive l'impatto di una violazione |
Controlla regolarmente indirizzi e attività | Individua tempestivamente modifiche non autorizzate |