Legg til adresser for uttak – API-tillatelse

Når du aktiverer tillatelsen Add Withdrawal Addresses på en API-nøkkel, kan alle applikasjoner eller tjenester som bruker denne nøkkelen:

• Legge til nye adresser for uttak av kryptovaluta og fiat på kontoen din.
• Fjerne eksisterende adresser for uttak fra kontoen din.

Dette betyr at innehaveren av API-nøkkelen kan endre hvilke adresser midlene dine kan sendes til, uten å logge inn på kraken.com eller bruke Kraken-appen.

Å aktivere denne tillatelsen øker den potensielle konsekvensen betydelig hvis API-nøkkelen din skulle bli kompromittert. Vurder følgende risikoer nøye før du aktiverer den.

Hvis en angriper får tak i API-nøkkelen din – gjennom et datainnbrudd, phishing (nettfisking), skadevare eller andre metoder – kan de legge til sin egen adresse for uttak på kontoen din. Kombinert med tillatelsen Withdraw Funds ville dette gjøre det mulig for en angriper å ta ut eiendelene dine til en adresse de kontrollerer.

Mange kunder kobler API-nøkler til tredjepartstjenester som portefølje-trackere, handelsbotter og verktøy for skatterapportering. Hvis du gir tillatelsen Legg til uttaksadresser til en nøkkel som brukes av en tredjepartstjeneste:

• Selve tredjepartstjenesten kan bli kompromittert. Selv anerkjente tjenester kan rammes av sikkerhetsbrudd. Hvis en angriper får tilgang til tjenestens infrastruktur, kan de bruke den lagrede API-nøkkelen din til å legge til en ondsinnet adresse for uttak på kontoen din.
• Tredjeparten kan lagre nøkkelen din på en usikker måte. Du har ingen kontroll over hvordan en tredjepart lagrer, overfører eller beskytter påloggingsopplysningene dine for API-et.
• Illojale ansatte eller innsidere i et tredjepartsselskap kan misbruke API-nøkler med utvidede tillatelser.

Tillatelsen Add Withdrawal Addresses blir særlig farlig når den kombineres med tillatelsen Withdraw Funds på samme API-nøkkel. En angriper med tilgang til en nøkkel med begge tillatelsene kan legge til sin egen adresse og umiddelbart starte et uttak – alt via API-et, uten ytterligere verifisering utover selve nøkkelen.

Hvis du må bruke tillatelsen Add Withdrawal Addresses, følger du disse trinnene for å redusere risikoen.

Begrens API-nøkkelen slik at den kun kan brukes fra bestemte IP-adresser. Det betyr at selv om nøkkelen din blir stjålet, kan den ikke brukes fra et uautorisert nettverk.

Still inn API-nøkkelen til å utløpe automatisk etter en angitt periode. Dette begrenser tidsvinduet en angriper har til å misbruke en kompromittert nøkkel.

Aktiver kun de tillatelsene applikasjonen faktisk trenger. Hvis en applikasjon bare trenger å lese kontodata eller utføre handler, må du ikke gi den tillatelser til uttak eller adresseadministrasjon.

Bruk en dedikert API-nøkkel for hvert program eller brukstilfelle. Hvis én nøkkel kompromitteres, begrenses skaden til et minimalt sett med tillatelser.

Gå jevnlig gjennom uttaksadressene på kontoen din og sjekk bruksloggene for API-nøkkelen. Hvis du ser adresser eller aktivitet du ikke kjenner igjen, tilbakekall API-nøkkelen umiddelbart og kontakt Kraken-support.

Legg til et ekstra beskyttelseslag ved å aktivere 2FA direkte på API-nøkkelen din. Når dette er aktivert, må hvert API-kall inkludere en gyldig 2FA-kode. En stjålet nøkkel alene er dermed ikke nok for en angriper til å gjøre endringer på kontoen din.

Lær mer: Hvordan fungerer tofaktorautentisering (2FA) for API-nøkler?

• Slik genererer du et API-nøkkelpar