Dodawanie adresów wypłaty – uprawnienie API

Po włączeniu uprawnienia Add Withdrawal Addresses na kluczu API każda aplikacja lub usługa korzystająca z tego klucza może:

• Dodawać nowe adresy wypłaty kryptowaluty i waluty fiat do konta.
• Usuwać istniejące adresy wypłaty z konta.

Oznacza to, że posiadacz klucza API może zmieniać adresy, na które można wysyłać środki – bez logowania się na kraken.com ani w aplikacji Kraken.

Włączenie tego uprawnienia znacząco zwiększa potencjalne skutki przejęcia klucza API. Przed jego włączeniem dokładnie przeanalizuj poniższe zagrożenia.

Jeśli atakujący uzyska dostęp do Twojego klucza API (poprzez naruszenie danych, phishing, malware lub inne metody), może dodać własny adres wypłaty do Twojego konta. W połączeniu z uprawnieniem Withdraw Funds umożliwiłoby to atakującemu wypłacenie Twoich aktywów na kontrolowany przez niego adres.

Wielu klientów łączy klucze API z usługami zewnętrznymi, takimi jak trackery portfolio, boty handlowe czy narzędzia do raportowania podatkowego. Jeśli przyznasz uprawnienie Add Withdrawal Addresses kluczowi używanemu przez usługę zewnętrzną:

• Sama usługa zewnętrzna może zostać przejęta. Nawet renomowane usługi bywają ofiarami naruszeń bezpieczeństwa. Jeśli atakujący uzyska dostęp do infrastruktury usługi, może użyć Twojego klucza API, aby dodać złośliwy adres wypłaty do konta.
• Usługa zewnętrzna może przechowywać Twój klucz bez odpowiednich zabezpieczeń. Nie masz kontroli nad tym, jak zewnętrzny podmiot przechowuje, przesyła ani zabezpiecza Twoje dane uwierzytelniające API.
• Nieuczciwi pracownicy lub osoby mające wewnętrzny dostęp w firmie zewnętrznej mogą nadużywać kluczy API z rozszerzonymi uprawnieniami.

Uprawnienie Add Withdrawal Addresses staje się szczególnie niebezpieczne w połączeniu z uprawnieniem Withdraw Funds na tym samym kluczu API. Atakujący mający dostęp do klucza z oboma uprawnieniami może dodać własny adres wypłaty i natychmiast zainicjować wypłatę – wszystko za pośrednictwem API, bez żadnej dodatkowej weryfikacji poza samym kluczem.

Jeśli musisz używać uprawnienia Add Withdrawal Addresses, wykonaj poniższe kroki, aby ograniczyć ryzyko.

Ogranicz klucz API tak, aby mógł być używany wyłącznie z określonych adresów IP. Dzięki temu nawet w przypadku kradzieży klucza nie będzie można go użyć z nieautoryzowanej sieci.

Skonfiguruj klucz API tak, aby automatycznie wygasał po określonym czasie. Ogranicza to czas, w którym atakujący może wykorzystać przejęty klucz.

Włączaj wyłącznie uprawnienia, których aplikacja faktycznie potrzebuje. Jeśli aplikacja potrzebuje jedynie odczytu danych konta lub realizacji transakcji, nie przyznawaj jej uprawnień do wypłat ani zarządzania adresami wypłaty.

Używaj dedykowanego klucza API dla każdej aplikacji lub przypadku użycia. Dzięki temu, jeśli jeden klucz zostanie przejęty, narażony będzie tylko ograniczony zestaw uprawnień.

Regularnie przeglądaj adresy wypłat na swoim koncie i sprawdzaj logi użycia klucza API. Jeśli zauważysz nieznane adresy lub podejrzaną aktywność, natychmiast unieważnij klucz API i skontaktuj się z Działem Wsparcia Kraken.

Dodaj drugą warstwę ochrony, włączając 2FA bezpośrednio na kluczu API. Po włączeniu każde wywołanie API wykonane tym kluczem musi zawierać prawidłowy kod 2FA – samo posiadanie skradzionego klucza nie wystarczy atakującemu do wprowadzenia zmian na koncie.

Dowiedz się więcej: Jak działa uwierzytelnianie dwuskładnikowe (2FA) dla kluczy API?

• Jak wygenerować parę kluczy API