Lägg till uttagsadresser – API-behörighet

När du aktiverar behörigheten Add Withdrawal Addresses på en API-nyckel kan alla program eller tjänster som använder nyckeln:

• Lägga till nya uttagsadresser för kryptovaluta och fiat på ditt konto.
• Ta bort befintliga uttagsadresser från ditt konto.

Det innebär att API-nyckelinnehavaren kan ändra vart dina medel får skickas utan att logga in på kraken.com eller använda Kraken-appen.

Att aktivera den här behörigheten ökar avsevärt den potentiella skadan om din API-nyckel någonsin äventyras. Tänk igenom följande risker noga innan du aktiverar den.

Om en angripare får tag på din API-nyckel (via ett dataintrång, nätfiske, skadlig programvara eller på annat sätt) kan de lägga till en egen uttagsadress på ditt konto. Kombinerat med behörigheten Withdraw Funds skulle det ge en angripare möjlighet att ta ut dina tillgångar till en adress de kontrollerar.

Många kunder kopplar API-nycklar till tredjepartstjänster som portföljspårare, handelsbottar och skatteverktyg. Om du beviljar behörigheten Lägg till uttagsadresser till en nyckel som används av en tredjepartstjänst:

• Tredjepartstjänsten kan själv drabbas av intrång. Även välrenommerade tjänster kan drabbas av säkerhetsintrång. Om en angripare får tillgång till tjänstens infrastruktur kan de använda din lagrade API-nyckel för att lägga till en skadlig uttagsadress på ditt konto.
• Tredjeparten kan lagra din nyckel på ett osäkert sätt. Du har ingen kontroll över hur en tredjepart lagrar, överför eller skyddar din API-identifieringsinformation.
• Illojala anställda eller insiders på ett tredjepartsföretag kan missbruka API-nycklar med utökade behörigheter.

Behörigheten Add Withdrawal Addresses blir särskilt riskabel i kombination med behörigheten Withdraw Funds på samma API-nyckel. En angripare med tillgång till en nyckel med båda behörigheterna kan lägga till en egen uttagsadress och direkt initiera ett uttag – allt via API:et utan någon ytterligare verifiering utöver nyckeln själv.

Om du behöver använda behörigheten Add Withdrawal Addresses, följ stegen nedan för att minska risken.

Begränsa din API-nyckel så att den bara kan användas från specifika IP-adresser. Det innebär att nyckeln inte kan användas från ett obehörigt nätverk, även om den skulle stjälas.

Konfigurera din API-nyckel så att den automatiskt upphör att gälla efter en viss period. Det begränsar den tid en angripare har på sig att använda en komprometterad nyckel.

Aktivera bara de behörigheter som appen faktiskt behöver. Om en app bara behöver läsa kontodata eller lägga order, ge den inte behörigheter för uttag eller adresshantering.

Använd en dedikerad API-nyckel för varje applikation eller användningsfall. Om en nyckel komprometteras exponeras bara ett begränsat antal behörigheter.

Granska regelbundet uttagsadresserna på ditt konto och kontrollera användningsloggarna för dina API-nycklar. Om du ser adresser eller aktivitet som du inte känner igen, återkalla API-nyckeln omedelbart och kontakta Kraken Support.

Lägg till ett extra skyddslager genom att aktivera 2FA direkt på din API-nyckel. När det är aktiverat måste varje API-anrop med nyckeln innehålla en giltig 2FA-kod, vilket innebär att en stulen nyckel ensam inte räcker för att en angripare ska kunna göra ändringar på ditt konto.

Läs mer: Hur fungerar tvåfaktorsautentisering (2FA) för API-nycklar?

• Så här skapar du ett API-nyckelpar

• API-nyckelbehörigheter – en genomgång