Рынки TradeOgre, API v1 и боты, которые на нём работали

Что на самом деле листила TradeOgre

К моменту остановки TradeOgre держала около 109 торговых пар по 96 активам при суточном обороте порядка 3,5 млн долларов США. В абсолютных величинах это немного. Всё значение — в составе.

Листинг сильно смещался в две категории. Первая — приватные монеты: прежде всего Monero, а также Wownero, Pirate Chain и другие, которые регулируемые площадки постепенно делистинговали по мере ужесточения требований «правила перевода». Вторая — небольшие PoW-проекты: монеты с активными майнерами, реальным хешрейтом и сообществом, но без капитализации, оправдывающей процедуру листинга на крупной бирже.

Особенно для второй группы пара на TradeOgre часто была единственным сколько-нибудь значимым рынком. Ценообразование, давление продаж со стороны майнеров и любое представление о том, сколько монета «стоит», проходили через один стакан на одной незарегистрированной площадке. Пока всё работало, эта концентрация была незаметна; когда работать перестало — стала абсолютной.

Почти всё котировалось к BTC, немного пар — к USDT. Это означало, что выход из малоизвестного актива во что-то стабильное обычно требовал двух сделок и двух комиссий по 0,2%, а BTC оставался де-факто резервной валютой площадки.

API и как его использовали боты

TradeOgre публиковала небольшой REST API на версионированном эндпоинте, описанный на собственных страницах помощи. Он был намеренно минимальным — ни WebSocket-потоков, ни FIX-шлюза, ни типов ордеров сверх лимитных покупки и продажи, — и именно этот минимализм объясняет, сколько всего на нём построили.

Публичные эндпоинты вообще не требовали аутентификации. Полный список рынков, стакан, тикер, историю сделок или свечные данные можно было получить обычным HTTP GET, что делало TradeOgre одной из самых удобных площадок для сбора данных. Значительная часть ценовых данных по небольшим PoW-монетам, попадавших в агрегаторы, портфельные трекеры и калькуляторы майнинга, происходила именно из этих эндпоинтов.

Аутентифицированные эндпоинты использовали HTTP basic-аутентификацию с парой ключей, генерируемой в настройках аккаунта и передаваемой как имя пользователя и пароль запроса. Схема простая, но с реальным недостатком: в отличие от подписи запросов, утёкшая пара basic-auth сразу пригодна к использованию любым, кто ею завладел. В сочетании с отсутствием ограничения по IP и разрешений с областью действия практический совет тогда сводился к тому, чтобы считать любой API-ключ TradeOgre учётной записью с полными торговыми правами и хранить соответственно.

Поддержка площадки попала и в универсальные торговые библиотеки — поэтому упоминания о ней до сих пор встречаются в коде и документации.

Что стало с работавшими ботами

Когда площадка легла, боты отказали так, как отказывает большинство ботов: плохо и молча.

Грамотно написанный клиент воспринимает HTTP-ошибку как состояние, которое нужно обработать. Многие небольшие торговые скрипты этого не делают: они предполагают ответ, разбирают его, выбрасывают исключение и либо завершаются, либо неделями крутятся в цикле повторов. Пользователи с маркет-мейкинговыми стратегиями обнаружили, что у них есть открытые ордера, которые нельзя отменить, и позиции, которые нельзя закрыть, — и нет интерфейса, чтобы вмешаться.

Три вывода переносятся на любую площадку, и их стоит сформулировать прямо, потому что этот сценарий повторяется.

• Отказывать «закрыто», а не «открыто». Бот, который не может подтвердить состояние биржи, должен остановиться, а не продолжать отправлять заявки. Циклы повторов к мёртвому эндпоинту исторически приводили к впечатляющим убыткам, когда эндпоинт возвращался в неожиданном состоянии.
• Оповещать об отсутствии сигнала, а не только об ошибках. Молчание — это сигнал. Монитор, срабатывающий, если бот час не отчитывался об успешном цикле, ловит отказ биржи быстрее любого обработчика ошибок.
• Ограничивать и ротировать ключи. Для торговых ботов используйте ключи без права вывода там, где площадка это поддерживает, ограничивайте по IP, где возможно, и отзывайте ключи площадок, которыми перестали пользоваться. TradeOgre почти ничего из этого не предлагала — что само по себе информация о площадке.

Если старые ключи TradeOgre лежат у вас в конфигурационном файле или переменной окружения, удалите их. Против мёртвой площадки их не применить, но именно такие вещи и оказываются в публичных репозиториях.

RTM, BTCP и проблема длинного хвоста

Больше всего пострадали монеты, которым меньше всего было куда идти.

Raptoreum — самый наглядный случай. PoW-проект с CPU-майнингом и активным сообществом майнеров: его пара RTM/BTC на TradeOgre долгое время была основной площадкой, где майнеры конвертировали вознаграждения и где вообще формировалась рыночная цена. Когда площадка остановилась, вместе с ней исчез и этот ценовой сигнал, а майнеры одновременно лишились самого удобного выхода.

Bitcoin Private иллюстрирует другой конец шаблона. Форк биткоина 2018 года, потерявший доверие большинства бирж после скандала с эмиссией, BTCP был делистингован почти отовсюду. TradeOgre оставалась одним из последних мест, где он вообще торговался, — площадка работала как своего рода конечная станция для активов, у которых закончились альтернативы.

Ни одна из ситуаций не была здоровой, и концентрация риска здесь структурная, а не случайная. Когда единственная незарегистрированная биржа — единственный рынок актива, его держатели зависят от регуляторного положения этой биржи, знают они об этом или нет. Изъятие не просто заморозило балансы — оно убрало сам рынок.

Куда ушли эти рынки

Единой замены не существует, и честный ответ таков: у части этих активов работающего рынка больше нет вовсе.

Для приватных монет миграция шла в основном в сторону некастодиальных маршрутов: децентрализованных бирж на атомарных свопах и P2P-площадок, где сделки рассчитываются напрямую между кошельками. Это менее удобно, чем стакан, и требует управлять ключами, — зато там нет кастодиана, к которому можно прийти с обыском.

Для небольших PoW-монет без децентрализованного рынка ситуация тяжелее. Часть нашла листинг на других небольших централизованных площадках, что воспроизводит исходный риск с другим оператором. Остальные фактически неликвидны и торгуются только через прямые переговоры между держателями.

Что касается данных, агрегаторы, ранее тянувшие их из API TradeOgre, теперь по этим парам не показывают ничего. Если вы поддерживаете инструмент, зависевший от этого источника, эндпоинт исчез навсегда: его нужно заменить, а не пытаться опрашивать снова.

Структурный вывод для всех, кто строит на биржевых API: берите данные более чем с одной площадки и считайте, что стратегия, жизнеспособность которой зависит от одной незарегистрированной биржи, несёт её регуляторный риск целиком.