Permisiunea API – Adăugare adrese de retragere

Când activezi permisiunea Add Withdrawal Addresses pe o cheie API, orice aplicație sau serviciu care utilizează acea cheie poate:

• Să adauge adrese de retragere noi pentru criptomonede și fiat în contul tău.
• Să elimine adrese de retragere existente din contul tău.

Aceasta înseamnă că deținătorul cheii API poate modifica destinațiile spre care fondurile tale pot fi trimise, fără a se autentifica pe kraken.com sau fără a folosi Aplicația Kraken.

Activarea acestei permisiuni crește semnificativ impactul potențial dacă cheia ta API este vreodată compromisă. Înainte de a o activa, analizează cu atenție riscurile de mai jos.

Dacă un atacator obține cheia ta API (printr-o breșă de date, phishing, Malware sau orice alt mijloc), ar putea adăuga propria adresă de retragere în contul tău. Combinată cu permisiunea Withdraw Funds, aceasta i-ar permite atacatorului să retragă activele tale către o adresă pe care o controlează.

Mulți clienți conectează chei API la servicii terțe, cum ar fi instrumente de urmărire a portofoliului, roboți de tranzacționare și instrumente de raportare fiscală. Dacă acorzi permisiunea Add Withdrawal Addresses unei chei utilizate de un serviciu terț:

• Serviciul terț în sine ar putea fi compromis. Chiar și serviciile de renume pot suferi breșe de securitate. Dacă un atacator obține acces la infrastructura serviciului, ar putea folosi cheia ta API stocată pentru a adăuga o adresă de retragere malițioasă în contul tău.
• Serviciul terț îți poate stoca cheia în mod nesigur. Nu ai control asupra modului în care o terță parte stochează, transmite sau protejează datele tale de autentificare API.
• Angajați necinstiți sau persoane din interior dintr-o companie terță ar putea utiliza abuziv cheile API cu permisiuni extinse.

Permisiunea Add Withdrawal Addresses devine deosebit de periculoasă când este combinată cu permisiunea Withdraw Funds pe aceeași cheie API. Un atacator cu acces la o cheie cu ambele permisiuni poate adăuga propria adresă și poate iniția imediat o retragere – totul prin API, fără nicio verificare suplimentară în afara cheii în sine.

Dacă trebuie să folosești permisiunea Add Withdrawal Addresses, urmează pașii de mai jos pentru a reduce riscurile.

Restricționează cheia API astfel încât să poată fi utilizată doar de la anumite adrese IP. Astfel, chiar dacă cheia este furată, nu poate fi folosită dintr-o rețea neautorizată.

Configurează cheia API să expire automat după o perioadă stabilită. Astfel restrângi intervalul de timp în care un atacator poate folosi o cheie compromisă.

Activează doar permisiunile de care aplicația ta are cu adevărat nevoie. Dacă o aplicație are nevoie doar să citească datele contului sau să plaseze ordine, nu îi acorda permisiuni de retragere sau de gestionare a adreselor.

Folosește o cheie API dedicată pentru fiecare aplicație sau caz de utilizare. Astfel, dacă o cheie este compromisă, doar un set limitat de permisiuni rămâne expus.

Verifică periodic adresele de retragere din contul tău și consultă jurnalele de utilizare ale cheii API. Dacă observi adrese sau activitate pe care nu le recunoști, revocă imediat cheia API și contactează Asistența Kraken.

Adaugă un al doilea nivel de protecție activând 2FA direct pe cheia ta API. Odată activat, fiecare apel API efectuat cu cheia trebuie să includă un cod 2FA valid – o cheie furată singură nu îi este suficientă unui atacator pentru a modifica contul tău.

Află mai multe: Cum funcționează autentificarea cu doi factori (2FA) pentru cheile API?

• Cum se generează o pereche de chei API