Adăugare adrese de retragere – Permisiune API

Când activezi permisiunea Add Withdrawal Addresses pe o cheie API, orice aplicație sau serviciu care utilizează acea cheie poate:

• Adăuga adrese de retragere noi de criptomonedă și fiat în contul tău.
• Elimina adresele de retragere existente din contul tău.

Aceasta înseamnă că deținătorul cheii API poate modifica destinațiile către care fondurile tale pot fi trimise, fără a se conecta la kraken.com sau a folosi Aplicația Kraken.

Activarea acestei permisiuni crește semnificativ impactul potențial în cazul în care cheia ta API este compromisă. Înainte de a o activa, analizează cu atenție riscurile de mai jos.

Dacă un atacator obține cheia ta API (printr-o breșă de date, phishing, malware sau orice alt mijloc), acesta ar putea adăuga propria adresă de retragere în contul tău. Combinat cu permisiunea Withdraw Funds, acest lucru i-ar permite atacatorului să retragă activele tale către o adresă pe care o controlează.

Mulți clienți conectează chei API la servicii terțe, cum ar fi instrumente de urmărire a portofoliului, roboți de tranzacționare și instrumente de raportare fiscală. Dacă acorzi permisiunea Add Withdrawal Addresses unei chei utilizate de un serviciu terț:

• Serviciul terț în sine ar putea fi compromis. Chiar și serviciile cu reputație bună pot suferi breșe de securitate. Dacă un atacator obține acces la infrastructura serviciului, ar putea folosi cheia ta API stocată pentru a adăuga o adresă de retragere malițioasă în contul tău.
• Serviciul terț poate stoca cheia ta în mod nesigur. Nu ai control asupra modului în care un terț stochează, transmite sau protejează datele tale de autentificare API.
• Angajații rău-intenționați sau persoanele cu acces privilegiat dintr-o companie terță pot abuza de cheile API cu permisiuni ridicate.

Permisiunea Add Withdrawal Addresses devine deosebit de periculoasă când este combinată cu permisiunea Withdraw Funds pe aceeași cheie API. Un atacator care obține acces la o cheie cu ambele permisiuni poate adăuga propria adresă și iniția imediat o retragere, totul prin API, fără nicio verificare suplimentară în afara cheii în sine.

Dacă trebuie să folosești permisiunea Add Withdrawal Addresses, urmează pașii de mai jos pentru a reduce riscurile.

Restricționează cheia API astfel încât să poată fi utilizată doar de la adrese IP specifice. Chiar dacă cheia este furată, nu va putea fi folosită dintr-o rețea neautorizată.

Configurează cheia API să expire automat după o perioadă stabilită. Astfel limitezi intervalul de timp în care un atacator poate folosi o cheie compromisă.

Activează doar permisiunile de care aplicația ta are efectiv nevoie. Dacă o aplicație are nevoie doar să citească datele contului sau să plaseze ordine, nu îi acorda permisiuni de retragere sau gestionare a adreselor.

Folosește o cheie API dedicată pentru fiecare aplicație sau caz de utilizare. Astfel, dacă o cheie este compromisă, doar un set limitat de permisiuni rămâne expus.

Verifică periodic adresele de retragere din contul tău și consultă jurnalele de utilizare ale cheilor API. Dacă observi adrese sau activitate pe care nu le recunoști, revocă imediat cheia API și contactează Asistența Kraken.

Adaugă un al doilea nivel de protecție activând 2FA direct pe cheia ta API. Odată activat, fiecare apel API efectuat cu cheia trebuie să includă un cod 2FA valid – ceea ce înseamnă că o cheie furată nu este suficientă pentru ca un atacator să modifice contul tău.

Află mai multe: Cum funcționează autentificarea cu doi factori (2FA) pentru cheile API?

• Cum să generezi o pereche de chei API

• Permisiunile cheii API explicate