Les marchés TradeOgre, l’API v1 et les bots qui tournaient dessus

Ce que TradeOgre cotait réellement

À l’arrêt de son activité, TradeOgre proposait environ 109 paires réparties sur près de 96 actifs, pour un volume quotidien de l’ordre de 3,5 millions de dollars américains. Des chiffres modestes dans l’absolu. Toute leur portée tient à la composition.

Les cotations penchaient nettement vers deux catégories. D’abord les cryptos de confidentialité — Monero avant tout, aux côtés de Wownero, Pirate Chain et d’autres que les plateformes réglementées avaient progressivement retirées à mesure que les obligations de la « travel rule » se durcissaient. Ensuite les petits projets en preuve de travail : des cryptos avec des mineurs actifs, une puissance de calcul réelle et une communauté, mais sans capitalisation justifiant la procédure de cotation d’une grande plateforme.

Pour ce second groupe surtout, une paire TradeOgre constituait fréquemment le seul marché significatif existant. La découverte du prix, la pression vendeuse des mineurs et toute notion de la « valeur » de la crypto passaient par un unique carnet d’ordres sur une unique plateforme non enregistrée. Cette concentration était invisible tant que cela fonctionnait, et totale dès l’arrêt.

Presque tout était coté contre BTC, avec quelques paires en USDT. Sortir d’un actif obscur vers quelque chose de stable demandait donc généralement deux transactions et deux prélèvements de 0,2 %, et laissait le BTC comme monnaie de réserve de fait.

L’API et son usage par les bots

TradeOgre publiait une petite API REST sur un point d’accès versionné, documentée sur ses propres pages d’aide. Elle était volontairement minimale — ni flux WebSocket, ni passerelle FIX, ni types d’ordres au-delà de l’achat et de la vente à cours limité — et ce minimalisme explique précisément tout ce qui a été bâti dessus.

Les points d’accès publics ne demandaient aucune authentification. On pouvait récupérer la liste complète des marchés, un carnet d’ordres, un ticker, l’historique récent ou des chandeliers par un simple GET HTTP, ce qui faisait de TradeOgre l’une des plateformes les plus faciles à interroger. Une grande partie des données de prix des petites cryptos en preuve de travail présentes dans les agrégateurs, les suivis de portefeuille et les calculateurs de minage provenait de ces points d’accès.

Les points d’accès authentifiés reposaient sur l’authentification HTTP basique avec une paire de clés générée dans les paramètres du compte, transmise comme nom d’utilisateur et mot de passe de la requête. Un schéma simple avec un défaut réel : contrairement à la signature de requêtes, une paire de clés en authentification basique divulguée est immédiatement exploitable par quiconque la détient. Sans liste blanche d’adresses IP ni permissions restreintes, la consigne pratique de l’époque était de traiter toute clé d’API TradeOgre comme un identifiant conférant les pleins pouvoirs de trading et de la stocker en conséquence.

La prise en charge de la plateforme s’est retrouvée dans des bibliothèques de trading généralistes, d’où les références qui subsistent aujourd’hui dans du code et de la documentation.

Le sort des bots en fonctionnement

Quand la plateforme est tombée, les bots ont échoué comme échouent la plupart des bots : mal, et en silence.

Un client bien écrit traite une erreur HTTP comme un état à gérer. Beaucoup de petits scripts de trading ne le font pas : ils supposent une réponse, l’analysent, lèvent une exception, puis s’arrêtent ou bouclent en réessayant pendant des semaines. Des utilisateurs exécutant des stratégies de tenue de marché ont découvert des ordres ouverts impossibles à annuler et des positions impossibles à clôturer, sans interface pour intervenir.

Trois enseignements se transposent à toute plateforme, et méritent d’être énoncés clairement car ce mode de défaillance revient.

• Échouer en position fermée, pas ouverte. Un bot incapable de confirmer l’état de la plateforme doit s’arrêter, pas continuer à soumettre. Les boucles de réessai contre un point d’accès mort ont historiquement produit des pertes spectaculaires au retour du service dans un état inattendu.
• Alerter sur l’absence, pas seulement sur l’erreur. Le silence est un signal. Un moniteur qui se déclenche si votre bot n’a pas signalé de cycle réussi depuis une heure détecte une panne plus vite que n’importe quel gestionnaire d’erreurs.
• Restreindre et faire tourner les clés. Utilisez des clés sans droit de retrait pour les bots là où la plateforme le permet, restreignez par IP quand c’est possible, et révoquez les clés des plateformes que vous n’utilisez plus. TradeOgre n’offrait presque rien de tout cela, ce qui est en soi une information.

Si d’anciennes clés TradeOgre traînent dans un fichier de configuration ou une variable d’environnement, supprimez-les. Elles ne peuvent rien contre la plateforme morte, mais c’est exactement le genre d’élément qui finit dans un dépôt public.

RTM, BTCP et le problème de la longue traîne

Les cryptos les plus touchées ont été celles qui avaient le moins d’ailleurs où aller.

Raptoreum en est l’illustration la plus nette. Projet en preuve de travail minable par processeur avec une communauté active, sa paire RTM/BTC sur TradeOgre a longtemps été le lieu principal où les mineurs convertissaient leurs récompenses et où se formait un prix de marché. À l’arrêt de la plateforme, ce signal de prix a disparu, et les mineurs ont perdu leur sortie la plus commode au même moment.

Bitcoin Private illustre l’autre extrémité du schéma. Fork de Bitcoin de 2018 ayant perdu la confiance de la plupart des plateformes après une controverse sur son offre, BTCP avait été retiré presque partout. TradeOgre figurait parmi les derniers endroits où il s’échangeait encore : la plateforme faisait office de terminus pour des actifs à court d’alternatives.

Aucune des deux situations n’était saine, et cette concentration du risque était structurelle, non accidentelle. Quand une unique plateforme non enregistrée constitue le seul marché d’un actif, ses détenteurs sont exposés à la position réglementaire de cette plateforme, qu’ils le sachent ou non. La saisie n’a pas seulement gelé des soldes : elle a supprimé le marché lui-même.

Où sont partis ces marchés

Il n’existe pas de remplaçant unique, et la réponse honnête est que certains de ces actifs n’ont plus de marché fonctionnel du tout.

Pour les cryptos de confidentialité, la migration s’est faite surtout vers des voies non dépositaires : plateformes décentralisées construites autour d’échanges atomiques, et plateformes de gré à gré où les transactions se règlent directement entre portefeuilles. Moins pratiques qu’un carnet d’ordres et exigeant de gérer ses clés, elles n’ont pas de dépositaire susceptible d’être perquisitionné.

Pour les petites cryptos en preuve de travail sans marché décentralisé, la situation est plus difficile. Certaines ont trouvé une cotation sur d’autres petites plateformes centralisées, ce qui reproduit le risque initial avec un autre exploitant. D’autres sont de fait illiquides, échangeables uniquement par négociation directe entre détenteurs.

Côté données, les agrégateurs qui puisaient dans l’API TradeOgre n’affichent plus rien pour ces paires. Si vous maintenez un outil qui dépendait de cette source, le point d’accès a disparu définitivement : il faut le remplacer, non le réinterroger.

L’enseignement structurel pour qui construit sur des API d’échange : puisez vos données à plus d’une plateforme, et considérez que toute stratégie dont la viabilité dépend d’une seule plateforme non enregistrée en porte intégralement le risque réglementaire.