A permissão Add Withdrawal Addresses permite que uma chave de API adicione e remova endereços de levantamento na sua Conta Kraken. Este artigo explica o que a permissão faz, os riscos de segurança envolvidos e as medidas que pode tomar para proteger a sua conta.
Ao ativar a permissão Add Withdrawal Addresses numa chave de API, qualquer aplicação ou serviço que utilize essa chave pode:
Isto significa que o detentor da chave de API pode modificar os destinos para os quais os seus fundos podem ser enviados, sem iniciar sessão em kraken.com nem utilizar a Aplicação Kraken.
Ativar esta permissão aumenta significativamente o impacto potencial caso a sua chave de API seja comprometida. Antes de a ativar, considere cuidadosamente os riscos seguintes.
Se um atacante obtiver a sua chave de API (por violação de dados, phishing, malware ou qualquer outro meio), poderá adicionar o seu próprio endereço de levantamento à sua conta. Combinada com a permissão Withdraw Funds, esta situação permitiria ao atacante levantar os seus ativos para um endereço sob o seu controlo.
Muitos clientes associam chaves de API a serviços de terceiros, como trackers de portefólio, bots de negociação e ferramentas de relato fiscal. Se conceder a permissão Add Withdrawal Addresses a uma chave utilizada por um serviço de terceiros:
Recomendação: Nunca conceda a permissão Add Withdrawal Addresses a uma chave de API que partilhe com qualquer serviço de terceiros. Ative esta permissão apenas nas chaves utilizadas em aplicações que controla totalmente.
A permissão Add Withdrawal Addresses torna-se especialmente perigosa quando combinada com a permissão Withdraw Funds na mesma chave de API. Um atacante com acesso a uma chave que tenha ambas as permissões pode adicionar o seu próprio endereço e iniciar imediatamente um levantamento, tudo através da API, sem qualquer verificação adicional para além da própria chave.
Recomendação: Evite ativar as permissões Add Withdrawal Addresses e Withdraw Funds na mesma chave de API, a menos que seja estritamente necessário. Utilize chaves separadas com as permissões mínimas de que cada aplicação necessita.
Se precisar mesmo de utilizar a permissão Add Withdrawal Addresses, siga os passos abaixo para reduzir o risco.
Restrinja a sua chave de API para que só possa ser utilizada a partir de endereços IP específicos. Assim, mesmo que a chave seja roubada, não poderá ser utilizada a partir de uma rede não autorizada.
Configure a sua chave de API para expirar automaticamente após um período definido. Isto limita o período durante o qual um atacante pode utilizar uma chave comprometida.
Ative apenas as permissões que a sua aplicação realmente necessita. Se uma aplicação apenas precisar de ler dados da conta ou executar negociações, não lhe conceda permissões de levantamento ou de gestão de endereços.
Utilize uma chave de API dedicada para cada aplicação ou caso de utilização. Assim, se uma chave for comprometida, apenas um conjunto limitado de permissões fica exposto.
Reveja regularmente os endereços de levantamento da sua conta e verifique os registos de utilização das chaves de API. Se detetar endereços ou atividade que não reconhece, revogue a chave de API imediatamente e contacte o Apoio Kraken.
Adicione uma segunda camada de proteção ativando a 2FA diretamente na sua chave de API. Quando ativada, cada pedido de API efetuado com a chave tem de incluir um código 2FA válido – uma chave roubada, por si só, não é suficiente para que um atacante efetue alterações na sua conta.
Saiba mais: Como funciona a autenticação de dois fatores (2FA) para chaves de API?
Ação | Porque é importante |
|---|---|
Ative apenas em chaves que controla totalmente | Evita a exposição a terceiros |
Nunca associe com a permissão Levantar Fundos na mesma chave (salvo se necessário) | Limita os danos em caso de comprometimento da chave |
Ativar a lista branca de IP | Bloqueia a utilização a partir de redes não autorizadas |
Definir a expiração da chave | Limita o tempo de utilidade de uma chave roubada |
Utilize uma chave por aplicação | Limita o impacto em caso de comprometimento |
Reveja os endereços de levantamento e a atividade regularmente | Deteta alterações não autorizadas atempadamente |