Дозвіл Add Withdrawal Addresses надає API-ключу можливість додавати та видаляти адреси виведення коштів в обліковому записі Kraken. У цій статті описано, що робить цей дозвіл, які ризики для безпеки він несе та як захистити свій обліковий запис.
Якщо Ви увімкнете дозвіл Add Withdrawal Addresses для API-ключа, будь-який застосунок або сервіс, що використовує цей ключ, зможе:
Це означає, що власник API-ключа може змінювати адреси, на які дозволено надсилати Ваші кошти, — без входу на kraken.com чи використання Застосунку Kraken.
Увімкнення цього дозволу суттєво підвищує потенційні наслідки у разі компрометації Вашого API-ключа. Перш ніж увімкнути його, уважно ознайомтеся з наведеними нижче ризиками.
Якщо зловмисник отримає Ваш API-ключ (через витік даних, фішинг, шкідливе програмне забезпечення або будь-яким іншим способом), він зможе додати власну адресу виведення коштів до Вашого облікового запису. У поєднанні з дозволом Withdraw Funds це дало б зловмиснику змогу вивести Ваші активи на підконтрольну йому адресу.
Багато клієнтів підʼєднують API-ключі до сторонніх сервісів — наприклад, трекерів портфелів, торгових ботів та інструментів для податкової звітності. Якщо Ви надаєте дозвіл Add Withdrawal Addresses ключу, який використовується стороннім сервісом:
Рекомендація: Ніколи не надавайте дозвіл Add Withdrawal Addresses API-ключу, яким Ви користуєтесь разом із будь-яким стороннім сервісом. Вмикайте цей дозвіл лише для ключів, які використовуються у застосунках, що повністю перебувають під Вашим контролем.
Дозвіл Add Withdrawal Addresses стає особливо небезпечним у поєднанні з дозволом Withdraw Funds на одному API-ключі. Зловмисник, який отримає доступ до ключа з обома дозволами, зможе додати власну адресу та одразу ініціювати виведення коштів — повністю через API, без будь-якої додаткової верифікації, крім самого ключа.
Рекомендація: Уникайте одночасного вмикання Add Withdrawal Addresses і Withdraw Funds на одному API-ключі, якщо у цьому немає крайньої потреби. Використовуйте окремі ключі з мінімальним набором дозволів, потрібних кожному застосунку.
Якщо Вам все ж потрібно використовувати дозвіл Add Withdrawal Addresses, виконайте наведені нижче кроки, щоб знизити ризики.
Обмежте API-ключ так, щоб його можна було використовувати лише з певних IP-адрес. Це означає, що навіть у разі викрадення ключа скористатися ним із неавторизованої мережі буде неможливо.
Налаштуйте API-ключ так, щоб термін його дії автоматично завершувався через встановлений період. Це скорочує час, протягом якого зловмисник може використати скомпрометований ключ.
Вмикайте лише ті дозволи, які справді потрібні Вашому застосунку. Якщо застосунку потрібно лише читати дані облікового запису або торгувати, не надавайте йому дозволів на виведення коштів чи керування адресами.
Використовуйте окремий API-ключ для кожного застосунку або сценарію використання. Це означає, що в разі компрометації одного ключа під загрозою опиниться лише обмежений набір дозволів.
Регулярно перевіряйте адреси виведення коштів у Вашому обліковому записі та журнали використання API-ключів. Якщо Ви виявите незнайомі адреси або підозрілу активність, негайно відкличте API-ключ і зверніться до Служби підтримки Kraken.
Додайте другий рівень захисту, увімкнувши 2FA безпосередньо для Вашого API-ключа. Після увімкнення кожен API-виклик з використанням цього ключа повинен містити дійсний код 2FA — тобто викраденого ключа самого по собі недостатньо, щоб зловмисник міг вносити зміни до Вашого облікового запису.
Дізнайтеся більше: Як працює двофакторна автентифікація (2FA) для ключів API?
Дія | Чому це важливо |
|---|---|
Вмикайте лише на ключах, які Ви повністю контролюєте | Захист від ризиків третіх сторін |
Не поєднуйте з дозволом «Виведення коштів» на одному ключі (якщо це не є обовʼязковим) | Мінімізує збитки у разі компрометації ключа |
Увімкніть список дозволених IP-адрес | Блокує використання з несанкціонованих мереж |
Встановіть термін дії ключа | Обмежує термін корисності викраденого ключа |
Один ключ — один застосунок | Обмежує масштаб наслідків у разі злому |
Регулярно перевіряйте адреси та активність | Допомагає вчасно виявити несанкціоновані зміни |