Как криптобиржи выявляют и предотвращают манипулирование рынком

Содержание

• Масштаб проблемы
• Вош-трейдинг: как он выглядит и как его выявить
• Спуфинг и лееринг: манипуляции в стакане ордеров
• Выявление схем pump-and-dump в реальном времени
• Фронтраннинг и инсайдерская торговля на биржах
• Построение системы рыночного надзора
• Что регуляторы ожидают от вашего надзора
• Проблема ложных срабатываний
• Штрафы за ошибки
• Дорожная карта внедрения для операторов бирж

Масштаб проблемы

Начнём с неприятной правды. По оценке Национального бюро экономических исследований, до 70% заявленного торгового объёма на нерегулируемых криптобиржах является фиктивным. Forbes провёл собственный анализ в 2022 году и обнаружил, что более половины всего объёма торгов биткоином, вероятно, составляли вош-сделки. Это было четыре года назад. На регулируемых платформах ситуация улучшилась, но проблема никуда не исчезла.

Почему это важно для вас как оператора биржи? По двум причинам.

Во-первых, регуляторы следят. SEC возбудила дела против нескольких бирж в 2024 и 2025 годах за завышенные показатели объёма. ESMA в рамках MiCA теперь требует от поставщиков услуг криптоактивов наличия систем рыночного надзора. У VARA в Дубае есть чёткие правила мониторинга целостности рынка. Если у вас есть лицензия — или вы планируете её получить — вам нужен надзор. Точка.

Во-вторых, фиктивный объём убивает доверие. Институциональные трейдеры сверяют ваши данные об объёме со сторонними агрегаторами вроде Kaiko, CoinGecko и Nomics. Если заявленный объём не совпадает с внешними оценками, они не будут торговать на вашей платформе. Они слишком много раз обжигались.

Мы работали с биржами, у которых был реальный объём, но они не могли его доказать, потому что у них не было должного надзора и отчётности. Это почти хуже, чем отсутствие объёма вообще — вы делаете всё правильно, но не можете это продемонстрировать.

Вот что вам действительно нужно знать о выявлении и предотвращении каждого типа манипуляций.

Вош-трейдинг: как он выглядит и как его выявить

Вош-трейдинг — это когда кто-то торгует сам с собой, чтобы накрутить показатели объёма. Это самая распространённая форма манипуляций на криптобиржах, и одновременно самая простая для выявления — если вы ищете.

Очевидные паттерны:

Самоторговля — простейшая форма. Один аккаунт размещает ордер на покупку и ордер на продажу по одной цене, и они исполняются друг против друга. Ваш матчинговый движок обрабатывает это как обычную сделку, но это фиктивный объём.

Детекция проста: помечайте любую сделку, где покупатель и продавец — один и тот же аккаунт. Большинство матчинговых движков могут полностью блокировать самоматчинг. Наш умеет. Но это отсекает только любительский уровень.

Чуть менее очевидные паттерны:

Скоординированные аккаунты — сложнее. Два-три аккаунта, контролируемые одним человеком, торгуют между собой. Они используют разные email-адреса, иногда разные IP-адреса. На первый взгляд объём выглядит реальным.

Вот как их поймать:

• Корреляция по IP. Если два аккаунта постоянно торгуют друг с другом и делят IP-адреса (даже время от времени), это тревожный сигнал. Логируйте IP на уровне сессий, а не только при регистрации.
• Фингерпринтинг устройств. Браузерные отпечатки, идентификаторы устройств и сигнатуры API-клиентов могут связать аккаунты, даже когда IP различаются.
• Анализ таймингов. Вош-трейдеры ленивы. Их ордера обычно следуют предсказуемым временным паттернам — ордера размещаются с интервалом в миллисекунды друг за другом или через регулярные промежутки. Реальные трейдеры так себя не ведут.
• Перекрёстная проверка KYC. Если ваша система KYC/AML собирает данные устройств и поведенческую биометрию при онбординге, вы можете сопоставить их с торговыми паттернами.
• Анализ выводов средств. Следуйте за деньгами. Если два аккаунта, активно торгующие друг с другом, также отправляют средства на один и тот же внешний кошелёк, они почти наверняка связаны.

Построение правил детекции:

Начните со скоринговой модели. Каждый индикатор (пересечение IP, временной паттерн, совпадение устройства, адрес вывода) добавляет баллы. Установите порог — скажем, 75 из 100 — при котором система помечает пару аккаунтов для ручной проверки.

Не баньте автоматически сразу. Будут ложные срабатывания. Семья, использующая общую домашнюю сеть, может вызвать срабатывание по IP-корреляции. Два сотрудника торговой фирмы могут работать из одного офиса. Ручная проверка важна.

Конвейер детекции должен работать почти в реальном времени. Пакетной обработки раз в день недостаточно — к моменту обнаружения ущерб доверию к вашему объёму уже нанесён.

Спуфинг и лееринг: манипуляции в стакане ордеров

Спуфинг — это размещение крупных ордеров, которые вы никогда не собираетесь исполнять. Цель — создать ложное впечатление о предложении или спросе, сдвинуть цену, а затем отменить ордера до их исполнения.

Лееринг — более изощрённый родственник спуфинга. Вместо одного крупного ордера манипулятор размещает несколько ордеров на разных ценовых уровнях, создавая «слои» в стакане, которые намекают на сильную поддержку или сопротивление. Как только цена движется в нужную сторону, он отменяет все слои и фиксирует прибыль по своей реальной позиции.

На что обращать внимание:

• Высокое соотношение отмен к исполнениям. Обычные трейдеры иногда отменяют ордера. Спуферы отменяют почти всё. Если у аккаунта доля отмен выше 90% по данной паре — это подозрительно. Выше 95% при крупных размерах ордеров? Почти наверняка спуфинг.
• Время жизни ордера. Спуфинг-ордера существуют секунды или меньше. Отслеживайте среднее время жизни ордеров по аккаунтам. Если кто-то стабильно размещает крупные ордера, живущие менее 5 секунд до отмены, — помечайте.
• Направленное смещение. Смотрите на соотношение отменённых и исполненных ордеров. Если кто-то отменяет крупные ордера на покупку и одновременно исполняет мелкие ордера на продажу (или наоборот), это классический паттерн спуфинга.
• Влияние на дисбаланс стакана. Измеряйте, изменили ли отменённые ордера существенным образом спред бид-аск или видимую глубину на момент их активности. Отсутствие влияния — меньше поводов для беспокойства. Значимое влияние на ценообразование — проблема.

Реализация в вашем матчинговом движке:

Ваша админ-панель должна отслеживать эти метрики по каждому аккаунту и каждой торговой паре. Настройте автоматические оповещения на:

1. Превышение порога доли отмен (начните с 90%, дальше настраивайте)
2. Среднее время жизни крупных ордеров ниже порога (начните с 3 секунд)
3. Паттерны, где отмены на одной стороне стакана коррелируют с исполнениями на другой

Сложность в том, что маркет-мейкеры отменяют много ордеров. Так устроен маркет-мейкинг — вы постоянно корректируете котировки в зависимости от рыночных условий. У хорошего маркет-мейкера может быть 95% отмен, и это абсолютно законно.

Разница в том, что маркет-мейкеры отменяют и перевыставляют. Спуферы отменяют и не перевыставляют. Отслеживайте поведение перевыставления наряду с отменами, чтобы разделить эти два типа.

Выявление схем pump-and-dump в реальном времени

Схемы pump-and-dump нацелены на низколиквидные токены. Группа скупает предложение, раскручивает токен через соцсети и Telegram-группы, а затем сбрасывает, когда розничные покупатели поднимают цену.

Pump-and-dump частично вне вашего контроля — вы не можете запретить людям раздувать хайп вокруг токенов в Twitter. Но вы можете выявлять признаки на бирже и действовать быстро.

Сигналы детекции:

• Аномалии объёма. Токен, торгующийся на $5 000 в день, внезапно делает $500 000 за час. Устанавливайте пороги оповещений относительно базового объёма каждого токена. Обычно мы используем 10-кратное превышение среднего часового объёма за 30 дней как триггер.
• Скорость изменения цены. Движение цены на 30%+ менее чем за час по низкокапитализированному токену, особенно в сочетании со всплеском объёма.
• Концентрация покупок. Если 3–5 аккаунтов обеспечивают более 60% объёма покупок во время всплеска, это координация.
• Корреляция с соцсетями. Некоторые надзорные платформы сопоставляют ончейн-данные и биржевые данные с упоминаниями в соцсетях. Если токен получает 50-кратный рост упоминаний в Twitter одновременно со всплеском объёма — памп идёт прямо сейчас.

Что вы реально можете с этим сделать:

• Временно приостановить торги по паре при превышении порогов цены и объёма
• Увеличить спред или снизить максимальный размер ордера по паре на время аномалии
• Уведомлять пользователей заметными предупреждениями, когда токен демонстрирует паттерны pump-and-dump
• Проверить аккаунты, накопившие позиции до начала пампа, — скорее всего, это организаторы

Ваша инфраструктура безопасности должна включать автоматические выключатели именно для такого сценария. Движение цены на 50% за 15 минут по микрокап-токену должно запускать автоматическую паузу торгов.

Фронтраннинг и инсайдерская торговля на биржах

О фронтраннинге никто не хочет говорить, но он случается. Сотрудники биржи — или любой, имеющий доступ к потоку ожидающих ордеров — могут торговать впереди крупных ордеров с гарантированной прибылью. Это происходило на крупных централизованных биржах (дело Coinbase 2022 года попало в заголовки), и это по-прежнему риск на любой бирже, где персонал видит ожидающее состояние стакана.

Как это предотвратить:

• Ограничения на торговлю для сотрудников. Запретите всем сотрудникам торговать на собственной платформе. Точка. Некоторые биржи разрешают это с предварительным согласованием, но выглядит это ужасно, а комплаенс-нагрузка того не стоит.
• Контроль доступа. Производственные данные стакана ордеров должны быть доступны только системам, а не людям. Ваша админ-панель должна показывать агрегированные данные, а не отдельные ожидающие ордера.
• Аудиторские следы. Каждый запрос к стакану ордеров или базе сделок должен логироваться с идентификатором пользователя, меткой времени и параметрами запроса. Если кто-то просматривает данные потока ордеров вне своих должностных обязанностей, вы должны об этом знать.
• Информационные барьеры. Ваша команда листинга не должна иметь возможности торговать впереди анонсов листингов. Команда рыночных данных не должна знать о предстоящих партнёрствах. Звучит элементарно, но большинство небольших бирж этого не обеспечивают.

Построение системы рыночного надзора

Не нужно строить всё с нуля. Вот как бы мы подошли к этому для биржи среднего размера.

Уровень 1 — встроено в матчинговый движок (с первого дня):

• Предотвращение самоторговли (блокировка матчинга одного аккаунта)
• Отслеживание доли отмен по аккаунтам
• Оповещения об аномалиях объёма по торговым парам
• Базовая корреляция по IP и устройствам для связанных аккаунтов

Ваше биржевое ПО должно уметь это из коробки. Если ваша текущая платформа не отслеживает долю отмен или не помечает самоторговлю, это проблема.

Уровень 2 — добавить в течение 90 дней после запуска:

• Поведенческая скоринговая модель для детекции вош-трейдинга
• Детекция спуфинга с анализом времени жизни ордеров
• Автоматические выключатели для сценариев pump-and-dump
• Мониторинг (или запрет) торговли сотрудников
• Автоматическая генерация SAR (отчётов о подозрительной активности)

Уровень 3 — построить или купить для масштаба:

• Модели машинного обучения, обученные на ваших собственных данных
• Межрыночный надзор (если вы предлагаете несколько торговых пар или деривативы)
• Интеграция мониторинга соцсетей
• Оповещения в реальном времени для комплаенс-офицеров через админ-панель
• Интеграция с провайдерами блокчейн-аналитики (Chainalysis, Elliptic)

Сторонние поставщики надзорных решений вроде Eventus (Validus), NICE Actimize и платформы SMARTS от Nasdaq предлагают модули для крипторынка. Они дорогие — $50K–$200K в год в зависимости от объёма, — но проверены в бою, и регуляторы их признают.

Для большинства бирж с дневным объёмом до $50 млн правильный баланс — построить уровни 1 и 2 своими силами и подключить стороннего поставщика для уровня 3.

Что регуляторы ожидают от вашего надзора

Ответ зависит от юрисдикции, но тренд очевиден: все хотят большего.

MiCA (ЕС): Статья 76 требует от CASP «выявлять случаи предполагаемого злоупотребления рынком и сообщать о них». Вам нужны задокументированные процедуры надзора, обученный комплаенс-персонал и возможность предоставлять отчёты о торговом надзоре по запросу. ESMA опубликовала технические стандарты, определяющие, как выглядит «адекватный» надзор.

VARA (Дубай): Свод правил VARA требует от бирж внедрения систем рыночного надзора, выявляющих вош-трейдинг, спуфинг и манипулирование ценами. На лицензионном аудите они хотят видеть вашу логику детекции, пороги оповещений и процедуры реагирования.

MAS (Сингапур): Закон о платёжных услугах пока не содержит положений о злоупотреблениях рынком применительно к крипте, но MAS дала понять, что они появятся. Если вы работаете по лицензии MPI или CMS, от вас ожидается поддержание «честного и упорядоченного рынка» — что функционально означает надзор.

SEC (США): SEC применяет существующие правила о манипулировании рынком из законодательства о ценных бумагах к криптоактивам, которые она считает ценными бумагами. Если вы зарегистрированная ATS или подаёте заявку, вам нужен надзор, сопоставимый с тем, что поддерживают традиционные биржи.

Общая нить: регуляторы хотят видеть письменные политики, автоматизированные системы детекции, процедуры расследований и записи о прошлых расследованиях и их итогах. «Мы не видели манипуляций» — неприемлемый ответ: вам нужно показать, как бы вы их поймали, случись они.

Подробнее о том, как регуляторные аудиты работают на практике, читайте в нашем глубоком разборе архитектуры безопасности.

Проблема ложных срабатываний

Вот о чём никто не рассказывает про рыночный надзор: большинство ваших оповещений будут ложными. Особенно в первые 6 месяцев.

Легитимный маркет-мейкер вызовет оповещения о спуфинге. Кит-трейдер, передумавший в последний момент, будет выглядеть как вош-трейдер. Токен, упомянутый популярным инфлюенсером, вызовет оповещения о pump-and-dump без каких-либо реальных манипуляций.

Доля ложных срабатываний у большинства новых надзорных систем составляет 85–95%. Это значит, что ваша комплаенс-команда тратит большую часть времени на расследование легитимной активности. Это деморализует и дорого стоит.

Как её снизить:

• Настраивайте пороги на основе своих данных. Не копируйте чужие пороги. Доля отмен 90% означает совершенно разное на бирже с активными маркет-мейкерами и без них.
• Вносите известных маркет-мейкеров в белый список. Если у вас есть соглашения с маркет-мейкерами, у их аккаунтов должны быть другие пороги оповещений по доле отмен и частоте ордеров.
• Комбинируйте сигналы. Не оповещайте по одному индикатору. Требуйте два-три коррелированных сигнала перед генерацией оповещения. Просто высокая доля отмен? Вероятно, нормально. Высокая доля отмен + короткое время жизни ордеров + направленные исполнения? Стоит расследовать.
• Возвращайте итоги расследований в модель. Каждое ложное срабатывание — это обучающие данные. После 6 месяцев настройки доля ложных срабатываний должна быть ниже 50%. Через год — ниже 30%.
• Используйте ML только при достаточном объёме данных. Моделям машинного обучения для надзора нужны тысячи размеченных примеров, чтобы работать хорошо. Если такого объёма нет, системы на правилах надёжнее.

Штрафы за ошибки

Последствия неадекватного рыночного надзора становятся всё жёстче с каждым годом.

Регуляторные штрафы: SEC оштрафовала Bittrex на $24 млн в 2023 году. FCA оштрафовала Binance Markets Limited и ограничила её операции в Великобритании. В 2025 году две европейские биржи лишились авторизации CASP после того, как аудиты MiCA признали их системы надзора неадекватными.

Потеря банковского обслуживания. Банки мониторят своих клиентов-бирж. Если ваша биржа попадёт в регуляторный список наблюдения или будет помечена за подозрительные паттерны объёма, банковский партнёр может расторгнуть с вами договор. Получить новый банк после этого крайне сложно.

Исключение из листингов. CoinGecko и CoinMarketCap дисконтируют объём бирж с известными проблемами вош-трейдинга. Пометка от крупных агрегаторов делает привлечение институционального объёма практически невозможным.

Уголовная ответственность. В серьёзных случаях руководители бирж могут столкнуться с персональными уголовными обвинениями. Бывший CEO Bitzlato был арестован в 2023 году. Основатели BitMEX столкнулись с федеральными обвинениями. «Я не знал» — не защита, когда регуляторы могут показать, что у вас не было адекватного надзора.

Продуманная структура комиссий тоже может помочь. Модели maker-taker с ощутимыми комиссиями тейкера делают вош-трейдинг дороже, что снижает его частоту без необходимости ловить каждый случай надзором.

Дорожная карта внедрения для операторов бирж

Вот практический путь, разбитый по кварталам.

Q1 — Фундамент:

• Включите предотвращение самоторговли в матчинговом движке
• Внедрите отслеживание и оповещения по доле отмен (по аккаунту, по паре)
• Настройте детекцию аномалий объёма (триггер — 10-кратное превышение базового уровня)
• Задокументируйте политику рыночного надзора (регуляторы её запросят)
• Назначьте комплаенс-офицера, ответственного за расследование оповещений
• Убедитесь, что ваша система KYC собирает отпечатки устройств и IP-данные

Q2 — Детекция:

• Постройте или купите детекцию спуфинга (время жизни ордеров + паттерны отмен)
• Внедрите выявление связанных аккаунтов (корреляция по IP, устройствам, выводам)
• Добавьте автоматические выключатели для экстремальных движений цены и объёма
• Создайте рабочий процесс расследований в админ-панели
• Обучите комплаенс-персонал процедурам расследований

Q3 — Изощрённость:

• Добавьте детекцию pump-and-dump с корреляцией по соцсетям
• Внедрите ограничения и мониторинг торговли сотрудников
• Начните настройку порогов оповещений на основе данных расследований Q1–Q2
• Оцените сторонних поставщиков надзорных решений для возможностей уровня 3
• Постройте автоматическую генерацию SAR на основе итогов расследований

Q4 — Зрелость:

• Интегрируйте блокчейн-аналитику (Chainalysis или аналог)
• Если объём позволяет, начните обучение ML-моделей на размеченных данных расследований
• Проведите внешний аудит вашей надзорной программы
• Подготовьте отчёты о надзоре к следующей регуляторной проверке

Не пропускайте Q1 и не прыгайте сразу к ML-моделям. Мы видели биржи, потратившие $100K на сложное надзорное ПО, которым они не могли пользоваться, потому что у них не было базового сбора данных. Начните с простого. Собирайте данные. Настраивайте правила. А потом уже усложняйте.

Биржи, которые серьёзно относятся к целостности рынка, — единственные, кто доживает до того, чтобы стать настоящим бизнесом. Всё остальное — просто шум.

---

Источники и дальнейшее чтение

• Консультационный отчёт IOSCO о платформах торговли криптоактивами — Международная организация комиссий по ценным бумагам
• Руководство FATF по виртуальным активам и VASP — Группа разработки финансовых мер борьбы с отмыванием денег
• Анализ Forbes фиктивного объёма криптоторговли — Forbes Digital Assets
• Принудительные меры SEC на крипторынках — Комиссия по ценным бумагам и биржам США
• Технические стандарты ESMA для рыночного надзора по MiCA — Европейское управление по ценным бумагам и рынкам