Воскресенье после обеда, всё казалось спокойным. Рынок был в состоянии равновесия, обсуждения в группе шли оживлённо, наш автоматический торговый алгоритм работал как обычно — собирал данные, размещал мелкие ордера, писал логи. Вдруг на торговом интерфейсе всплыла запись о сделке, аккаунт принадлежал нам, но мы вообще ничего не делали. Хотя сумма была небольшая, ощущение было такое, будто в глубокой ночи услышать чужие шаги в доме — мгновенно всё тело напряглось.

Несколько человек сразу же взорвались обсуждениями. Кто-то подумал, что утекли API-ключи, кто-то заподозрил сбой в системе биржи, но после жарких споров так и не пришли к единому мнению. В разгар спора один новичок тихо спросил: «Мы используем эти ключи уже больше месяца, почему их не меняли?»
Мгновенно все замолчали.
В мире цифровых активов мы часто считаем API-ключи ключами от двери — спрятал и считаешь, что всё в порядке. Но на самом деле, просто спрятать их недостаточно. Особенно при использовании популярных торговых интерфейсов, сессия — это всего лишь временный сертификат, как пропуск с ограниченным сроком действия, подтверждающий, что у вашего бота есть право на торговлю. Если срок действия этого сертификата установлен слишком длинным, и он будет украден или скомпрометирован, последствия могут быть очень серьёзными. Эта странная сделка — как тревожный сигнал, нам повезло, что убытки были небольшими. А что дальше? Везение — не лучший стратегический ход.
С тех пор я решил полностью устранить эту уязвимость. Сначала я не понимал, зачем это нужно, потом разозлился, а в конце просто взял и сам улучшил систему. Разве трейдеры не могут работать посменно, почему тогда права доступа в коде не могут обновляться по очереди? Наша команда решила внедрить в систему автоматическую ротацию сессий — проще говоря, регулярно обновлять интерфейсные сертификаты, чтобы каждый раз был новый временный пропуск, и даже если хакер украдёт старый, он будет бесполезен.