Дозвіл Add Withdrawal Addresses дає API-ключу змогу додавати та видаляти адреси виведення коштів у Вашому обліковому записі Kraken. У цій статті пояснюється, що робить цей дозвіл, які ризики для безпеки він створює та які кроки Ви можете зробити для захисту свого облікового запису.
Якщо Ви активуєте дозвіл Add Withdrawal Addresses для API-ключа, будь-який застосунок або сервіс, що використовує цей ключ, зможе:
Це означає, що власник API-ключа може змінювати адреси, на які дозволено надсилати Ваші кошти, без входу на kraken.com або в Застосунок Kraken.
Активація цього дозволу суттєво збільшує потенційні наслідки у разі компрометації Вашого API-ключа. Перш ніж його активувати, уважно зважте наведені нижче ризики.
Якщо зловмисник отримає Ваш API-ключ (через витік даних, фішинг, шкідливе програмне забезпечення або будь-яким іншим способом), він зможе додати власну адресу виведення коштів до Вашого облікового запису. У поєднанні з дозволом Withdraw Funds це дасть зловмиснику змогу вивести Ваші активи на підконтрольну йому адресу.
Багато клієнтів підʼєднують API-ключі до сторонніх сервісів: трекерів портфеля, торгових ботів та інструментів для податкової звітності. Якщо Ви надасте дозвіл Add Withdrawal Addresses ключу, який використовує сторонній сервіс:
Рекомендація: Ніколи не надавайте дозвіл Add Withdrawal Addresses API-ключу, який Ви використовуєте разом із будь-яким стороннім сервісом. Вмикайте цей дозвіл лише для ключів, які використовуються у застосунках під Вашим повним контролем.
Дозвіл Add Withdrawal Addresses стає особливо небезпечним у поєднанні з дозволом Withdraw Funds на одному API-ключі. Зловмисник, який отримає доступ до ключа з обома дозволами, зможе додати власну адресу виведення коштів і негайно ініціювати виведення — все через API, без жодної додаткової верифікації, окрім самого ключа.
Рекомендація: Уникайте одночасного увімкнення Add Withdrawal Addresses і Withdraw Funds на одному API-ключі, якщо це не є вкрай необхідним. Використовуйте окремі ключі з мінімальним набором дозволів, потрібних кожному застосунку.
Якщо Вам все ж необхідно використовувати дозвіл Add Withdrawal Addresses, виконайте наведені нижче кроки, щоб знизити ризики.
Обмежте API-ключ так, щоб його можна було використовувати лише з певних IP-адрес. Це означає, що навіть у разі викрадення ключа ним не вдасться скористатися з неавторизованої мережі.
Налаштуйте API-ключ так, щоб термін його дії автоматично завершувався через заданий період. Це обмежує час, протягом якого зловмисник може скористатися скомпрометованим ключем.
Вмикайте лише ті дозволи, які Ваш застосунок справді потребує. Якщо застосунку потрібно лише зчитувати дані облікового запису або розміщувати ордери, не надавайте йому дозволів на виведення коштів або керування адресами.
Використовуйте окремий API-ключ для кожного застосунку або сценарію використання. Так, якщо один ключ буде скомпрометовано, під загрозою опиниться лише обмежений набір дозволів.
Регулярно перевіряйте адреси виведення коштів у Вашому обліковому записі та журнали використання API-ключів. Якщо Ви помітите адреси або активність, яку не впізнаєте, негайно відкличте API-ключ і зверніться до Служби підтримки Kraken.
Додайте другий рівень захисту, увімкнувши 2FA безпосередньо для Вашого API-ключа. Після увімкнення кожен API-запит із цим ключем має містити дійсний код 2FA — тобто лише викраденого ключа зловмиснику буде недостатньо, щоб внести зміни до Вашого облікового запису.
Дізнайтеся більше: Як працює двофакторна автентифікація (2FA) для ключів API?
Дія | Чому це важливо |
|---|---|
Вмикайте лише на ключах, які повністю контролюєте | Усуває ризик доступу третіх сторін |
Не поєднуйте з дозволом «Виведення коштів» на одному ключі (якщо це не обовʼязково) | Обмежує збитки у разі компрометації ключа |
Увімкніть список дозволених IP-адрес | Блокує використання з неавторизованих мереж |
Встановіть термін дії ключа | Скорочує термін придатності викраденого ключа |
Один ключ — один застосунок | Обмежує масштаб наслідків у разі злому |
Регулярно перевіряйте адреси та активність | Допомагає вчасно виявити несанкціоновані зміни |