Дозвіл API на додавання адрес для виведення коштів

Коли ви вмикаєте дозвіл «Додавання адрес для виведення коштів» для API-ключа, будь-який додаток або сервіс, що використовує цей ключ, може:

• Додавати нові адреси для виведення криптовалюти та фіату у ваш акаунт.
• Видаляти існуючі адреси для виведення коштів з вашого акаунту.

Це означає, що власник API-ключа може змінити напрямок виведення ваших коштів, не входячи в систему kraken.com і не використовуючи додаток Kraken.

Увімкнення цього дозволу значно збільшує потенційні наслідки в разі компрометації вашого API-ключа. Перш ніж увімкнути його, ретельно зважте на наступні ризики.

Якщо зловмисник отримає ваш API-ключ (через витік даних, фішинг, шкідливе програмне забезпечення або будь-яким іншим способом), він зможе додати власну адресу для виведення коштів у ваш акаунт. У поєднанні з дозволом «Виведення коштів» це дозволить зловмиснику вивести ваші активи на адресу, яку він контролює.

Багато користувачів підключають API-ключі до сторонніх сервісів, таких як трекери портфелів, торгові боти та інструменти для податкової звітності. Якщо ви надасте дозвіл «Додавання адрес для виведення коштів» ключу, який використовується стороннім сервісом:

• Сторонній сервіс сам може бути зламаний. Навіть надійні сервіси можуть зазнати порушень безпеки. Якщо зловмисник отримає доступ до інфраструктури сервісу, він зможе використати ваш збережений API-ключ, щоб додати шкідливу адресу для виведення коштів у ваш акаунт.
• Стороння сторона може зберігати ваш ключ неналежним чином. Ви не маєте контролю над тим, як третя сторона зберігає, передає або захищає ваші API-облікові дані.
• Недобросовісні співробітники або інсайдери в сторонній компанії можуть зловживати API-ключами, що мають розширені дозволи.

Дозвіл «Додавання адрес для виведення коштів» стає особливо небезпечним у поєднанні з дозволом «Виведення коштів» для одного й того самого API-ключа. Зловмисник, який отримав доступ до ключа з обома дозволами, може додати власну адресу та негайно ініціювати виведення коштів через API без додаткової перевірки, окрім самого ключа.

Якщо вам все ж потрібно використовувати дозвіл «Додавання адрес для виведення коштів», виконайте наступні дії, щоб зменшити ризики.

Обмежте свій API-ключ, щоб його можна було використовувати лише з певних IP-адрес. Це означає, що навіть у разі крадіжки ключа, його неможливо буде використати з неавторизованої мережі.

Налаштуйте автоматичне закінчення терміну дії свого API-ключа після певного періоду. Це обмежує час, протягом якого зловмисник може скористатися скомпрометованим ключем.

Увімкніть лише ті дозволи, які дійсно потрібні вашій програмі. Якщо програмі потрібно лише читати дані облікового запису або розміщувати ордери, не надавайте їй дозволи на виведення коштів або керування адресами.

Використовуйте окремий API-ключ для кожної програми чи випадку використання. Таким чином, якщо один ключ буде скомпрометовано, буде викрито лише обмежений набір дозволів.

Регулярно перевіряйте адреси для виведення коштів у своєму обліковому записі та переглядайте журнали використання API-ключів. Якщо ви бачите адреси або активність, які вам не знайомі, негайно відкличте API-ключ і зверніться до служби підтримки Kraken.

Додайте другий рівень захисту, увімкнувши 2FA безпосередньо для свого API-ключа. Коли ця функція ввімкнена, кожен API-запит, зроблений за допомогою цього ключа, повинен містити дійсний 2FA-код. Це означає, що викраденого ключа недостатньо для того, щоб зловмисник міг внести зміни у ваш обліковий запис.

Дізнайтеся більше: Як працює двофакторна автентифікація (2FA) для API-ключів?

• Як створити пару ключів API

• Пояснення дозволів ключів API