Opnameadressen toevoegen – API-machtiging

Als je de machtiging Add Withdrawal Addresses inschakelt op een API-sleutel, kan elke applicatie of dienst die die sleutel gebruikt:

• Nieuwe opnameadressen voor cryptovaluta en contant geld toevoegen aan je account.
• Bestaande opnameadressen verwijderen van je account.

Dit betekent dat de houder van de API-sleutel kan aanpassen waarnaar je tegoeden mogen worden verzonden, zonder in te loggen op kraken.com of de Kraken-app te gebruiken.

Het inschakelen van deze machtiging vergroot de potentiële impact aanzienlijk als je API-sleutel ooit wordt gecompromitteerd. Overweeg de volgende risico's zorgvuldig voordat je deze inschakelt.

Als een aanvaller je API-sleutel bemachtigt (via een datalek, phishing, malware of een andere methode), kan die een eigen opnameadres aan je account toevoegen. In combinatie met de machtiging Withdraw Funds kan een aanvaller daarmee je assets opnemen naar een adres dat hij zelf beheert.

Veel gebruikers koppelen API-sleutels aan diensten van derden, zoals portfolio-trackers, tradingbots en belastingrapportagetools. Als je de machtiging Add Withdrawal Addresses verleent aan een sleutel die door een dienst van een derde partij wordt gebruikt:

• De dienst van de derde partij zelf kan worden gecompromitteerd. Zelfs gerenommeerde diensten kunnen te maken krijgen met beveiligingsinbreuken. Als een aanvaller toegang krijgt tot de infrastructuur van de dienst, kan die je opgeslagen API-sleutel gebruiken om een kwaadaardig opnameadres aan je account toe te voegen.
• De derde partij kan je API-sleutel onveilig opslaan. Je hebt geen controle over hoe een derde partij je API-inloggegevens opslaat, doorstuurt of beveiligt.
• Malafide medewerkers of insiders bij een externe partij kunnen misbruik maken van API-sleutels met verhoogde machtigingen.

De machtiging Add Withdrawal Addresses wordt extra gevaarlijk in combinatie met de machtiging Withdraw Funds op dezelfde API-sleutel. Een aanvaller met toegang tot een sleutel met beide machtigingen kan een eigen opnameadres toevoegen en direct een opname starten – volledig via de API, zonder aanvullende verificatie.

Als je de machtiging Add Withdrawal Addresses toch moet gebruiken, neem dan de volgende stappen om je risico te beperken.

Beperk je API-sleutel zodat deze alleen vanaf specifieke IP-adressen gebruikt kan worden. Zo kan de sleutel niet worden misbruikt vanuit een onbevoegd netwerk, zelfs als hij gestolen is.

Stel je API-sleutel zo in dat deze na een vaste periode automatisch verloopt. Dit beperkt de tijd die een aanvaller heeft om een gecompromitteerde sleutel te misbruiken.

Schakel alleen de machtigingen in die je applicatie daadwerkelijk nodig heeft. Als een applicatie alleen accountgegevens hoeft te lezen of trades hoeft te plaatsen, verleen dan geen machtigingen voor opnames of adresbeheer.

Gebruik een aparte API-sleutel voor elke applicatie of elk gebruiksscenario. Zo geldt bij een gecompromitteerde sleutel slechts een beperkt aantal rechten als blootgesteld.

Controleer regelmatig de opnameadressen op je account en bekijk de gebruikslogboeken van je API-sleutels. Zie je adressen of activiteit die je niet herkent, trek de API-sleutel dan onmiddellijk in en neem contact op met Kraken Support.

Voeg een tweede beveiligingslaag toe door 2FA rechtstreeks op je API-sleutel in te schakelen. Zodra ingeschakeld, moet elke API-aanroep een geldige 2FA-code bevatten – een gestolen sleutel alleen is dus niet voldoende om wijzigingen in je account door te voeren.

Meer informatie: Hoe werkt tweevoudige verificatie (2FA) voor API-sleutels?

• Een API-sleutelpaar aanmaken