«Бот трикутного арбітражу», що працював 41 день

Лютий 2025. Львів'янин купує в продавця з Telegram «бота трикутного арбітражу USDT/USDC/BUSD» за 0,4 ETH. Продавець показує на YouTube відео, де бот працює і що кілька хвилин записує в журнал прибуткові угоди. Для роботи бот вимагає API-ключі від його акаунта Binance з правом торгівлі. Він усе налаштовує. 41 день бот торгує дрібними сумами й потроху заробляє 2,4 % — рівно як обіцяли. А на 42-й день бот кидає весь баланс, 74 000 USDT, у малоліквідну пару на тій самій біржі, і ордери виконуються за абсурдними цінами. Зустрічні ордери в цих угодах належать шахраєві.

Як працює довга афера з ботом «на довірі»

Бот — справжня програма. Він тижнями справді робить дрібні прибуткові арбітражні угоди — це фаза, коли він доводить свою «чесність». Тим часом шахрай стежить, як росте баланс (через API-ключ, який дала жертва). Коли баланс перевищує поріг, який шахрай вважає вартим крадіжки, бот робить одну угоду на злив — проти ордерів, які шахрай заздалегідь виставив на малоліквідному ринку. Права на виведення для цього не треба: гроші йдуть через біржову книгу ордерів. Жертва бачить утрату вже постфактум і думає, що бот просто «зламався».

Чотири жорсткі правила для API-ключів

  • Ніколи не давайте дозвіл на виведення на API-ключі. Великі біржі дозволяють створювати ключі лише для читання або лише для торгівлі, без виведення. Для будь-якого стороннього інструмента за замовчуванням — «без виведення». Але саме по собі це не зупинить злив через книгу ордерів, як у цій історії, тому потрібні ще три правила.
  • Білий список IP-адрес для API-ключа. Великі біржі дозволяють прив'язати ключ до конкретних IP-адрес. Вкажіть сервер, який контролюєте ви, і ніколи не залишайте ключ без обмеження. Якщо продавець наполягає, що бот має працювати на його сервері, то ключ тримає він, і прив'язка до IP захищає вас від кого завгодно, крім нього самого.
  • Щотижня перевіряйте історію торгів. Відкривайте на біржі розділ історії й переглядайте кожну угоду бота. Бот, що раптом укладає велику угоду в малоліквідній парі, — тривожний сигнал. Помітьте це на 30-й день, а не на 42-й.
  • Довіряйте джерелу бота, не продавцю. Код Hummingbot відкритий, його можна прочитати рядок за рядком; 3Commas і Cryptohopper — комерційні сервіси, що працюють роками й мають публічну історію. Але й у відомих сервісів траплялися витоки API-ключів, тож правила щодо дозволів вище діють і тут. Боти від продавців із Telegram — це пастка.

Який вигляд має справжній арбітраж

Прибутковий арбітраж на ліквідних парах між великими біржами вимірюється в базисних пунктах, триває секунди й потребує інфраструктури, якої звичайні користувачі не мають. Якщо «бот» обіцяє стабільні кілька відсотків на місяць на арбітражі стейблкоїнів, він або бреше про дохідність, або приховує ризик. Легких грошей в арбітражі між централізованими біржами немає — спреди давно зникли.