如何保護您的 Kraken 帳號：完整的安全指南

雙重認證實施

1. Kraken要求使用者在存取提現或API金鑰管理等敏感帳戶功能之前啟用雙重認證（2FA）。

2. 透過身分驗證器應用程式實現的基於時間的一次性密碼 (TOTP) 仍然是 Kraken 上最廣泛採用的 2FA 方法，提供比基於簡訊的驗證更強大的保護。

3. 停用 2FA 且未在 72 小時內重新啟用的使用者將面臨自動會話終止和資金流動能力暫時限制。

4. Kraken 的後端強制執行 TOTP 註冊的設備綁定 — 每個新設備都必須經過手動審核流程，包括電子郵件確認和 IP 位址驗證。

5. 10 分鐘內失敗的 2FA 嘗試超過 5 次將觸發 15 分鐘的鎖定窗口，並啟動發送到註冊恢復電子郵件的自動安全警報。

API Key權限分割

1. 每個 Kraken API 金鑰在建立時都被指派了細化權限 - 不存在預設的「完全存取」權限。

2、提幣權限與交易、查詢範圍隔離；啟用提款功能需要透過 2FA 和電子郵件確認進行明確的重新驗證。

3. 使用 IP 白名單建立的金鑰僅接受來自預先核准的 IPv4 或 IPv6 位址的請求，Kraken 會記錄所有非白名單連線嘗試以供審核。

4. Kraken 會自動撤銷連續 90 天不活動的 API 金鑰，用戶會在計畫停用前 7 天收到通知。

5. 每個 API 金鑰都會顯示即時使用指標，包括通話量、端點分佈和上次使用的時間戳記 - 直接在安全設定儀表板中可見。

提幣地址白名單

1. Kraken 要求將所有加密貨幣提款目的地的地址列入白名單，要求在首次使用前透過電子郵件和 2FA 進行手動確認。

2. 新新增的位址會進入 48 小時待處理狀態，在此期間無法發起提現－無論使用者驗證等級為何，此冷卻時間均適用。

3. 與已知混合服務或高風險交易所熱錢包相關的地址會被 Kraken 的內部威脅情報層標記並阻止列入白名單。

4. 使用者可以為每種資產類型維護最多 25 個白名單位址，每個條目都包含從區塊鏈分析工具匯出的地理位置元資料。

5. 嘗試提現到非白名單位址會立即觸發交易拒絕，並由 Kraken 的信任與安全團隊啟動全面的帳戶安全審查。

會話管理和設備識別

1. Kraken 使用畫布渲染、WebGL 參數和 TLS 堆疊特徵來採用持久設備指紋識別，而不僅依賴 cookie 或使用者代理字串。

2. 24 小時內跨三個以上唯一裝置的並發會話會提示對所有活動會話進行強制重新驗證，標記為「受信任」的會話除外。

3. 會話令牌在 30 天不活動後過期，且 Kraken 不支援安全關鍵介面的無限期「記住此裝置」功能。

4. 來自無法辨識的裝置的登入嘗試會向連結到該帳戶的所有先前驗證的行動裝置產生即時推播通知。

5. 使用者可以直接從帳戶安全頁面查看和終止所有活動會話，包括位置、瀏覽器、作業系統版本和大致登入時間。

恢復短語和身份驗證控制

1. Kraken不儲存或處理恢復短語；私鑰管理仍然完全脫離平台並且超出了 Kraken 的運作範圍。

2. 在 KYC 期間提交的身份驗證文件使用 AES-256-GCM 進行靜態加密，並僅在主動審核週期期間進行解密－客戶支援代理無法存取。

3. 更改已驗證的身份資訊（例如法定姓名或居住地址）需要提交新的公證文件並延遲 72 小時處理。

4. 電子郵件地址變更會觸發所有提款功能暫停 14 天，直到新地址完成全面驗證和二次質詢解決。

5. Kraken 的支援團隊在任何情況下都不會要求提供密碼、2FA 代碼或助記詞訊息，即使是在升級的帳戶恢復過程中也是如此。

常見問題解答

Q：我可以使用硬體安全模組 (HSM) 來簽署 Kraken API 請求嗎？是的。透過進階 API 設定面板進行設定時，Kraken 支援由 FIPS 140-2 3 級認證的 HSM 產生的 ECDSA P-256 簽署。

Q：Kraken 是否提供 Face ID 或 Touch ID 等生物辨識登入選項？不會。 Kraken 故意將生物辨識身分驗證從其登入流程中排除，以防止依賴可能繞過加密會話完整性檢查的裝置層級信任模型。

Q：如果從 Tor 出口節點存取我的 Kraken 帳戶會發生什麼事？所有源自 Tor、I2P 或已知匿名代理網路的請求都會被 HTTP 403 拒絕並記錄下來以供取證分析 — 即使對於經過驗證的帳戶也不例外。

Q：Kraken 的安全標頭是否符合 OWASP 安全標頭專案標準？是的。 Kraken 在所有 Web 端點上實施嚴格的 CSP、HSTS、X-Content-Type-Options、Referrer-Policy 和 Feature-Policy 標頭，並由獨立的第三方滲透測試人員每季度進行審核。