TradeOgre-markten, de v1 API en de bots die erop draaiden

Wat TradeOgre echt noteerde

Toen het ophield te functioneren, had TradeOgre ongeveer 109 handelsparen over circa 96 assets, met een dagvolume van zo’n 3,5 miljoen Amerikaanse dollar. In absolute zin zijn dat kleine getallen. Hun betekenis zit volledig in de samenstelling.

De noteringen leunden sterk op twee categorieën. De eerste waren privacymunten: Monero voorop, naast Wownero, Pirate Chain en andere die gereguleerde beurzen steeds vaker delisten naarmate de travel rule strenger werd. De tweede waren kleine proof-of-work-projecten: munten met actieve miners, echte hashrate en een community, maar zonder marktkapitalisatie die het noteringsproces van een grote beurs waard was.

Vooral voor die tweede groep was een TradeOgre-paar vaak de enige betekenisvolle markt die bestond. Prijsvorming, verkoopdruk van miners en elk idee van wat de munt “waard” was liepen via één orderboek op één niet-geregistreerd platform. Die concentratie was onzichtbaar zolang het werkte en totaal zodra het stopte.

Bijna alles werd gequoteerd tegen BTC, met een klein aantal USDT-paren. Een obscuur asset omzetten in iets stabiels kostte dus meestal twee trades en tweemaal de vergoeding van 0,2%, en BTC werd daarmee de feitelijke reservemunt van het platform.

De API en hoe bots hem gebruikten

TradeOgre publiceerde een kleine REST API op een geversioneerd endpoint, gedocumenteerd op de eigen helppagina’s. Hij was bewust minimaal: geen WebSocket-streams, geen FIX-gateway, geen ordertypes naast limietkoop en limietverkoop. Die soberheid is precies de reden dat er zoveel op werd gebouwd.

Openbare endpoints vroegen helemaal geen authenticatie. Je kon de volledige marktenlijst, een orderboek, een ticker, recente transactiegeschiedenis of candledata ophalen met een gewone HTTP GET, waardoor TradeOgre een van de makkelijkste beurzen in crypto was om data van te halen. Veel van de prijsdata voor kleine proof-of-work-munten die in aggregators, portfolio-trackers en mining-calculators terechtkwam, kwam uit die endpoints.

Geauthenticeerde endpoints gebruikten HTTP basic authentication met een sleutelpaar uit de accountinstellingen, meegegeven als gebruikersnaam en wachtwoord van het verzoek. Dat is een eenvoudig schema met een reëel nadeel: anders dan bij ondertekening van verzoeken is een gelekt basic-auth-sleutelpaar direct bruikbaar voor iedereen die het heeft. Zonder IP-allowlist en zonder rechten die tot opnames zijn beperkt, was het praktische advies destijds om elke TradeOgre API-sleutel te behandelen als een inloggegeven met volledige handelsbevoegdheid en hem zo op te slaan.

Ondersteuning voor de beurs belandde in algemene handelsbibliotheken, en daarom duiken verwijzingen ernaar nog steeds op in code en documentatie.

Wat er met draaiende bots gebeurde

Toen het platform offline ging, faalden bots zoals de meeste bots falen: slecht en in stilte.

Een goed geschreven client behandelt een HTTP-fout als een situatie die je afhandelt. Heel veel kleine handelsscripts doen dat niet: ze gaan uit van een antwoord, proberen het te parsen, gooien een exception en stoppen of herhalen wekenlang in een lus. Gebruikers met market-makingstrategieën ontdekten dat ze openstaande orders hadden die ze niet konden annuleren en posities die ze niet konden sluiten, zonder interface om in te grijpen.

Drie lessen gelden voor elke beurs, en ze zijn het waard om duidelijk te benoemen omdat dit foutpatroon terugkeert.

• Stop bij twijfel, ga niet door. Een bot die de toestand van de beurs niet kan bevestigen, hoort te stoppen en niet door te gaan met orders sturen. Herhaallussen tegen een dood endpoint hebben in het verleden spectaculaire verliezen opgeleverd toen het endpoint in een onverwachte toestand terugkwam.
• Alarmeer op afwezigheid, niet alleen op fouten. Stilte is een signaal. Een monitor die afgaat als je bot een uur lang geen geslaagde cyclus heeft gemeld, vangt een beursstoring sneller op dan welke foutafhandeling ook.
• Beperk en roteer sleutels. Gebruik voor handelsbots sleutels waarmee opnemen is uitgeschakeld, waar het platform dat ondersteunt, beperk waar mogelijk op IP en trek sleutels in voor elke beurs die je niet meer gebruikt. TradeOgre bood daar weinig van, en dat zegt op zichzelf al iets over het platform.

Als je nog oude TradeOgre-sleutels in een configuratiebestand of omgevingsvariabele hebt staan, verwijder ze dan. Ze zijn niet meer te gebruiken tegen het dode platform, maar het zijn precies het soort dingen dat in een openbare repository belandt.

RTM, BTCP en het probleem van de lange staart

De munten die het zwaarst getroffen werden, waren die met het minste alternatief elders.

Raptoreum is het duidelijkste voorbeeld. Een met CPU te minen proof-of-work-project met een actieve miningcommunity, waarvan het RTM/BTC-paar op TradeOgre lange tijd de belangrijkste plek was waar miners beloningen omzetten en waar een marktprijs tot stand kwam. Toen het platform stopte, verdween dat prijssignaal mee, en de miners verloren op hetzelfde moment hun handigste uitgang.

Bitcoin Private toont het andere uiterste van het patroon. Een Bitcoin-fork uit 2018 die het vertrouwen van de meeste beurzen verloor na ophef over de muntuitgifte; BTCP was vrijwel overal gedelist. TradeOgre was een van de laatste plekken waar hij nog werd verhandeld, waardoor het platform fungeerde als een soort eindstation voor assets die geen alternatieven meer hadden.

Geen van beide situaties was gezond, en het concentratierisico was structureel, niet toevallig. Als één niet-geregistreerde beurs de enige markt voor een asset is, lopen de houders van dat asset het regelgevingsrisico van die beurs, of ze het weten of niet. De inbeslagname bevroor niet alleen saldo’s, ze haalde de markt zelf weg.

Waar die markten heen gingen

Er is geen enkel vervangend platform, en het eerlijke antwoord is dat sommige van deze assets helemaal geen werkende markt meer hebben.

Voor privacymunten is de verhuizing grotendeels richting non-custodial routes gegaan: gedecentraliseerde beurzen rond atomic swaps en peer-to-peerplatforms waar trades rechtstreeks tussen wallets worden afgewikkeld. Die zijn minder gemakkelijk dan een orderboek en vragen dat je zelf sleutels beheert, maar ze hebben geen bewaarder waar een inval kan plaatsvinden.

Voor kleine proof-of-work-munten zonder gedecentraliseerde markt is de situatie lastiger. Sommige vonden een notering op andere kleine gecentraliseerde beurzen, wat het oorspronkelijke risico met een andere exploitant herhaalt. Andere zijn feitelijk illiquide en alleen verhandelbaar via directe onderhandeling tussen houders.

Wat data betreft: aggregators die vroeger uit de TradeOgre API haalden, tonen nu niets meer voor deze paren. Als je een tool onderhoudt die van die bron afhing, is het endpoint definitief weg en moet je het vervangen in plaats van opnieuw proberen.

De structurele les voor iedereen die op beurs-API’s bouwt: haal je data van meer dan één beurs en ga er bij elke strategie die van één niet-geregistreerd platform afhangt vanuit dat je het volledige regelgevingsrisico van dat platform draagt.