Legg til adresser for uttak – API-tillatelse

Når du aktiverer tillatelsen Add Withdrawal Addresses på en API-nøkkel, kan enhver applikasjon eller tjeneste som bruker nøkkelen:

• Legge til nye adresser for uttak av kryptovaluta og fiat på kontoen din.
• Fjerne eksisterende adresser for uttak fra kontoen din.

Dette betyr at innehaveren av API-nøkkelen kan endre hvor midlene dine kan sendes, uten å logge inn på kraken.com eller bruke Kraken-appen.

Å aktivere denne tillatelsen øker risikoen betydelig dersom API-nøkkelen din skulle bli kompromittert. Vurder følgende risikoer nøye før du aktiverer den.

Hvis en angriper skaffer seg API-nøkkelen din – via et datainnbrudd, phishing (nettfisking), skadevare eller andre metoder – kan de legge til sin egen adresse for uttak på kontoen din. Kombinert med tillatelsen Withdraw Funds kan en angriper ta ut midlene dine til en adresse de selv kontrollerer.

Mange kunder kobler API-nøkler til tredjepartstjenester som porteføljesporere, handelsbots og skatterapporteringsverktøy. Hvis du gir tillatelsen «Legg til adresser for uttak» til en nøkkel som brukes av en tredjepartstjeneste:

• Tredjepartstjenesten kan selv bli kompromittert. Selv anerkjente tjenester kan rammes av sikkerhetsbrudd. Hvis en angriper får tilgang til tjenestens infrastruktur, kan de bruke den lagrede API-nøkkelen din til å legge til en ondsinnet adresse for uttak på kontoen din.
• Tredjeparten kan lagre nøkkelen din på en usikker måte. Du har ingen kontroll over hvordan en tredjepart lagrer, overfører eller beskytter påloggingsopplysningene dine til API-et.
• Illojale ansatte eller innsidere hos en tredjepart kan misbruke API-nøkler med utvidede tillatelser.

Add Withdrawal Addresses-tillatelsen blir spesielt farlig når den kombineres med Withdraw Funds-tillatelsen på samme API-nøkkel. En angriper med tilgang til en nøkkel som har begge tillatelsene, kan legge til sin egen adresse og umiddelbart starte et uttak – alt via API-et uten noen ekstra bekreftelse utover selve nøkkelen.

Hvis du trenger å bruke Add Withdrawal Addresses-tillatelsen, følger du disse trinnene for å redusere risikoen.

Begrens API-nøkkelen din slik at den kun kan brukes fra bestemte IP-adresser. Det betyr at selv om nøkkelen din blir stjålet, kan den ikke brukes fra et uautorisert nettverk.

Konfigurer API-nøkkelen din til å utløpe automatisk etter en angitt periode. Dette begrenser tidsvinduet en angriper har til å bruke en kompromittert nøkkel.

Aktiver kun tillatelsene applikasjonen din faktisk trenger. Hvis en applikasjon bare trenger å lese kontodata eller plassere handler, skal du ikke gi den tillatelser til uttak eller adresseadministrasjon.

Bruk en dedikert API-nøkkel for hver applikasjon eller brukstilfelle. Hvis én nøkkel blir kompromittert, begrenses skaden til et begrenset sett tillatelser.

Gå regelmessig gjennom uttaksadressene på kontoen din og sjekk bruksloggene for API-nøkkelen. Hvis du ser adresser eller aktivitet du ikke kjenner igjen, trekk tilbake API-nøkkelen umiddelbart og kontakt Kraken-support.

Legg til et ekstra beskyttelseslag ved å aktivere 2FA direkte på API-nøkkelen din. Når dette er aktivert, må hvert API-kall som gjøres med nøkkelen inneholde en gyldig 2FA-kode – det betyr at en stjålet nøkkel alene ikke er nok for at en angriper skal kunne gjøre endringer på kontoen din.

Lær mer: Hvordan fungerer tofaktorautentisering (2FA) for API-nøkler?

• Slik genererer du et API-nøkkelpar

• Forklaring av API-nøkkeltillatelser