«Бот треугольного арбитража», работавший 41 день

Февраль 2025. Житель Белграда покупает у продавца в Telegram «бота треугольного арбитража USDT/USDC/FDUSD» за 0,4 ETH. Продавец показывает видео на YouTube, где бот работает и каждые несколько минут пишет в журнал прибыльные сделки. Для работы боту нужен API-ключ от его аккаунта на Binance с правом торговли. Он всё настраивает. 41 день бот торгует малыми суммами и медленно набирает 2,4 % — ровно как обещано. На 42-й день бот вливает весь баланс, 74 000 USDT, в низколиквидную пару на той же бирже, и ордера исполняются по абсурдным ценам. Встречные заявки в стакане принадлежат оператору.

Как работает долгий развод с ботом «на доверии»

Бот — настоящая программа. Неделями он действительно совершает мелкие прибыльные арбитражные сделки: это фаза, когда он доказывает, что работает. Тем временем мошенник следит за ростом баланса через API-ключ, который дала сама жертва. Когда баланс дорастает до суммы, ради которой стоит стараться, бот совершает одну сделку против ордеров, заранее выставленных оператором в тонком рынке. Право на вывод для этого не нужно: деньги уходят через стакан. Жертва видит потерю постфактум и считает, что бот «сломался».

Четыре жёстких правила для API-ключей

  • Никогда не давайте разрешение на вывод на API-ключе. Крупные биржи позволяют создавать ключи только для чтения или только для торговли, без права вывода. Для любого стороннего инструмента по умолчанию — «без вывода». Но от слива, как в этой истории, одно это не спасает — поэтому нужны и три следующих правила.
  • Белый список IP-адресов для API-ключа. Крупные биржи позволяют привязать ключ к конкретным IP-адресам. Укажите IP сервера, который контролируете вы сами, — и никогда не оставляйте ключ открытым для любых адресов. Если продавец настаивает, что ключ должен работать на его сервере, значит, ключ фактически у него, и ограничение по IP защищает вас от кого угодно, кроме него.
  • Раз в неделю проверяйте историю сделок. Откройте историю на бирже и просмотрите каждую сделку бота. Внезапная крупная сделка в низколиквидной паре — тревожный сигнал. Сам слив проходит одной сделкой, и проверка его не остановит, но вовремя покажет, что бот полез в пары, где ему нечего делать.
  • Доверяйте источнику бота, не продавцу. У Hummingbot открытый код, который можно прочитать построчно; 3Commas и Cryptohopper — давно работающие коммерческие сервисы с публичной историей. Но и у известных сервисов случались утечки API-ключей, так что правила выше действуют и для них. Боты от продавцов из Telegram — ловушка.

Как выглядит «реальный» арбитраж

Прибыль от арбитража ликвидных пар между крупными биржами измеряется сотыми долями процента, окно длится секунды, а нужна для этого инфраструктура, которой у частного трейдера нет. Если «бот» обещает стабильные пару процентов в месяц на арбитраже стейблкоинов, он либо врёт о доходности, либо скрывает риск. Лёгких денег в арбитраже между централизованными биржами нет — спреды давно выбраны.