Add Withdrawal Addresses - Permiso de API

Cuando activas el permiso Add Withdrawal Addresses en una clave API, cualquier aplicación o servicio que utilice esa clave puede:

• Añadir nuevas direcciones de retirada de criptomonedas y moneda fiat a tu cuenta.
• Eliminar direcciones de retirada existentes de tu cuenta.

Esto significa que el poseedor de la clave API puede modificar a qué direcciones se pueden enviar tus fondos sin necesidad de iniciar sesión en kraken.com ni de usar la aplicación de Kraken.

Activar este permiso aumenta considerablemente el impacto potencial si tu clave API se ve comprometida. Antes de activarlo, analiza detenidamente los siguientes riesgos.

Si un atacante obtiene tu clave API (a través de una filtración de datos, phishing, malware o cualquier otro medio), podría añadir su propia dirección de retirada a tu cuenta. Combinado con el permiso Withdraw Funds, esto permitiría al atacante retirar tus activos a una dirección bajo su control.

Muchos usuarios conectan claves API a servicios de terceros, como trackers de cartera, bots de trading y herramientas de declaración fiscal. Si concedes el permiso Add Withdrawal Addresses a una clave utilizada por un servicio de terceros:

• El propio servicio de terceros podría verse comprometido. Incluso los servicios de buena reputación pueden sufrir brechas de seguridad. Si un atacante accede a la infraestructura del servicio, podría usar tu clave API almacenada para añadir una dirección de retirada maliciosa a tu cuenta.
• El tercero podría almacenar tu clave de forma insegura. No tienes ningún control sobre cómo un tercero almacena, transmite o protege tus credenciales de API.
• Empleados desleales o personas con acceso privilegiado en una empresa tercera podrían usar indebidamente claves API con permisos elevados.

El permiso Add Withdrawal Addresses resulta especialmente peligroso cuando se combina con el permiso Withdraw Funds en la misma clave API. Un atacante con acceso a una clave que tenga ambos permisos podría añadir su propia dirección e iniciar un retiro de inmediato, todo a través de la API y sin ninguna verificación adicional más allá de la propia clave.

Si necesitas usar el permiso Add Withdrawal Addresses, sigue los pasos que se indican a continuación para reducir el riesgo.

Restringe tu clave API para que solo pueda utilizarse desde direcciones IP concretas. Así, aunque te roben la clave, no podrá usarse desde una red no autorizada.

Configura tu clave API para que caduque automáticamente tras un período determinado. Esto limita el tiempo del que dispone un atacante para usar una clave comprometida.

Activa únicamente los permisos que tu aplicación realmente necesite. Si una aplicación solo necesita leer datos de la cuenta o realizar operaciones, no le otorgues permisos de retiro ni de gestión de direcciones.

Usa una clave API dedicada para cada aplicación o caso de uso. Así, si una clave se ve comprometida, solo queda expuesto un conjunto limitado de permisos.

Revisa periódicamente las direcciones de retirada de tu cuenta y comprueba los registros de uso de tu clave API. Si detectas direcciones o actividad desconocidas, revoca la clave API de inmediato y contacta con la Atención al cliente de Kraken.

Añade una segunda capa de protección habilitando la 2FA directamente en tu clave API. Una vez activada, cada llamada API realizada con la clave debe incluir un código 2FA válido, por lo que una clave robada por sí sola no es suficiente para que un atacante realice cambios en tu cuenta.

Más información: ¿Cómo funciona la autenticación de dos factores (2FA) para las claves API?

• Cómo generar un par de claves API