Блог им. SerSer

Уязвимость ФОРТС

Добрый день всем!

Всем на обсуждение.

Вот такое письмо было разослано более месяца назад:

26 мая 2016 г., 20:41

Кому: ir@moex.comКопия: pr@moex.com, media@cbr.ru, info@msk.bcs.ru, Ask@corp.finam.ru, research@sberbank-cib.ru, ceo@aton.ru, clients@itinvest.ru, letters@rbc.ru, timmartynov@gmail.com
 

Добрый день!

 

Найдена уязвимость Модуля расчета гарантийного обеспечения рынка фьючерсов и опционов, позволяющая открывать позиции по основным инструментам (Фьючерсный контракт на Индекс РТС, Фьючерсный контракт на курс доллар США — российский рубль), без Гарантийного Обеспечения и в объемах (до 10 миллионов  контрактов) значительно превышающих объем открытых позиций и среднедневной объем торгов по данным инструментам.

 

Риски уязвимости

Выставление одним участником  одной заявки на 1 000 000 контрактов на курс доллар США — российский рубль (1 млрд. долларов США) приведет к одномоментному изменению цены фьючерса на 4% (достижение либо нижней, либо верхней границы торгового диапазона) без изменения цены по базовому активу. То есть, возникнет ситуация для сверхприбыльной арбитражной сделки, которой воспользуются все крупные участники рынка. После реализации заявки возникнет маржинальное требование и принудительное закрытие позиций, что вызовет движение цены до противоположной границы торгового диапазона.

Размер убытка у участника, Брокера, НКЦ и Московской Биржи может достигнуть 5 млрд. руб.

Выставление множества заявок множеством участников (или группой участников) может полностью парализовать срочный рынок и привести к множественным дефолтам крупных брокерских компаний. Фактически к хаосу на финансовом рынке России.

 

 




А теперь вопросы для всех:
     1 как думаете от кого и какая была реакция?
     2 что делать с данной уязвимостью?
★2
44 комментария
Судя по последнему абзацу письмо можно смело в мусорку выкидывать. Дети балуются.
avatar
Reshpekt Fund Russia ☮
Reshpekt Fund Russia, у меня больше вопросов к абзацу, описывающему пушистого зверька в деталях. Во-первых, каким образом выставление заявки уведет фьюч на 4%. Во-вторых, если ГО считается неправильно, откуда возьмутся маржинальные требования?

Вата короче.
avatar
bstone
bstone, выставить заявку по планке
avatar
Маркин Павел
Сергей С., ну выстави планку на пустом месте и подержи чуток, вколотят столько, что устанешь отползать.
avatar
Reshpekt Fund Russia ☮
+1
Reshpekt Fund Russia, про это и было письмо, что если выставить планку на пустом месте, «Рынок» всё съест и вернется к нормальному состоянию. А значит у выставившего будет гигантский лось, который он не покроет. И брокер перед НКЦ не покроет. и наступает процедура «Дефолт-менеджмента» вплоть до "Применяется процедура «размазывания» убытков и позиций:  закрываются позиции добросовестных участников, имеющих противоположные позиции по данному инструменту, по цене, позволяющей ограничить убыток НКЦ размером выделенного капитала"(http://moex.com/s1581)

avatar
Маркин Павел
Сергей С., откатят в точку и всё. Какой дефолт-менеджмент, если эксплойт пролез вне лимитов без го.
avatar
Reshpekt Fund Russia ☮
+1
Reshpekt Fund Russia, когда у нас Биржа сделки отменяла? В соответствии с ФЗ О ПРОТИВОДЕЙСТВИИ НЕПРАВОМЕРНОМУ ИСПОЛЬЗОВАНИЮ ИНСАЙДЕРСКОЙ ИНФОРМАЦИИ И МАНИПУЛИРОВАНИЮ РЫНКОМ Биржа не может отменить данные сделки
avatar
Маркин Павел
+1
Сергей С., да прям. Ну, допустим, ты открыл на бомжа брокерский счёт. Бомж жахнул эксплойт-лимиткой в 1 mio лотов Si и на бомже (по сути на брокере) повисли гденить 2.5 ярда убытка, которые ему насували сразу. Твой второй подсадной держал лимит размазанный возле планки и взял сколько-то там десятков миллионов с этого шипа, не больше, чтоб не отсвечивать. Эксплойт пролез без обеспечения, обсчитав биржевую систему рисков, брать нечего. Какие варианты у биржи и брокеров с точки зрения минимального геморроя? Канешн приостановят и откатят всё.
avatar
Reshpekt Fund Russia ☮
Reshpekt Fund Russia, смотрите выше — не могут.
avatar
Маркин Павел
Reshpekt Fund Russia, "Совершение операций, сопровождающихся использованием инсайдерской информации и (или) являющихся манипулированием рынком, не является основанием для признания их недействительными
"
avatar
Маркин Павел
Сергей С., тут нет инсайда или манипулирования ценой, а есть взлом системы рисков. Одно дело, когда есть ГО в системе на 1 mio лотов и вы этим ГО разные шипы запускаете, тут не отменят, другое дело, когда нет ГО…
avatar
Reshpekt Fund Russia ☮
Reshpekt Fund Russia, А вот в  НКЦ мне сказали, что в основном это риски брокеров — "… значит они Вам дают такое плечо..."
avatar
Маркин Павел
Reshpekt Fund Russia, Многоуважаемый Reshpekt, а почему все кидаются на идею «1 mio лотов», хотя основная идея «сделки без ГО». «Бомж» же может не «жахнуть», а так «стрельнуть из рогатки» в какой нибудь стакан неликвидных опционов и сделать «перелив средств» 
avatar
Маркин Павел
Сергей С., предположу, что у идеи «сделки без ГО через эксплоит» вероятность быть незамеченной крайне мала. Соответственно если зловредный хакер и будет эту идею монетизировать, то разово… жахая…
avatar
Reshpekt Fund Russia ☮
Reshpekt Fund Russia, сделки без ГО, спокойно проходят и даже никто не обращает внимания. «купил подешевле — продал подороже» позиция 0, разница на счет
avatar
Маркин Павел
Сергей С., тут надо уточнить — в случае заявки на покупку, речь идет о верхней планке или нижней?
avatar
bstone
bstone, а разница то какая? эффект то одинаков
avatar
Маркин Павел
Сергей С., ну вот, разочаровашка. А я уже начал было заинтриговываться. Если выставить заявку на покупку по нижней планке, то всем будет, мягко говоря, насрать. Странно, что нет понимания этого процесса. Скорее всего именно так проверялась гипотеза, я прав? Попробуйте проверить ее, выставив заявку на покупку по верхней планке :))
avatar
bstone
+1
bstone, извиняюсь не точно написал. покупка по верхней продажа по нижней
avatar
Маркин Павел
Сергей С., ага, ну если это действительно так, то это может быть серьезно. Проверка ограничивалась лишь выставлением заявки или доходила до реальных сделок?
avatar
bstone
bstone, до реальных сделок. и даже при отрицательном счете.
avatar
Маркин Павел
Сергей С., ммм, а почему НКЦ откосило на брокеров? Это фишка отдельного брокера?
avatar
bstone
bstone, Биржа является разработчиком Модуля. Модуль передается Брокерам в пользование.
avatar
Маркин Павел
Сергей С., ну в этом есть определенная логика. Но по факту имеем бэк-дор в модуле ГО, который делает биржа, и которая не отвечает материально за проблемы, из-за него возникающие. С другой стороны брокеры, которые не могут влиять на реализацию модуля, но которые отвечают за дырки в нем материально. Ну и НКЦ, который в любом случае свалит либо на брокера, либо на биржу. Вот примерно так и получается, что особо никто не парится :)
avatar
bstone
+1


avatar
helk3rn
+1
Adept, Совсем не дети, уязвимость существует, испытания проведены
avatar
Маркин Павел
0
Сергей С., и каким же способом выставить такую заявку? детали плиз.
avatar
nik
+1
nik, «детали плиз» — как и любой уникальный эксплойт имеет стоимость пока необнародован
avatar
Маркин Павел
0
Сергей С., вот потому и проигнорировали все адресаты,  что обычный трололо))
avatar
nik
0
nik, слепая вера в «непокобелимость» системы — вот причина игнорирования.
И кстати не все проигнорировали.
avatar
Маркин Павел
0
Сергей С., ну так продемонстрировать наличие уязвимости можешь, или болобол?
avatar
nik
+1
nik, это Ваша официальная Оферта?
avatar
Маркин Павел
Сергей С., заявку этого размера поставь на +-100% от цены и сделай скрин, а потом уже можешь продавать!
пока действительно трололо…
avatar
matrix
-1
Сергей С., поставь, например, на sih7 ровно в 15.20 бид на 10м лотов на 5-10 копейки ниже лучшего бида. а мы посмотрим, появится твой ордер в стакане или нет. это будет лучшее подтверждение что ты не звиздишь ;)
avatar
nik
nik, Уважаемый nik, после написания письма Бирже, и прочих контактов с заинтересованными лицами, я даже ради забавы не буду заниматься такой ерундой как выставление многомиллионных лотов. 
avatar
Маркин Павел
-1
Сергей С., так и знал, что трололо))
avatar
nik
nik, У Вас есть неотъемлемое право иметь своё субъективное мнение.
avatar
Маркин Павел
Алексей С, не учтена
avatar
Маркин Павел
smart-lab.ru/blog/337760.php
avatar
D.G.
 Вообще в протоколе предусмотрена возможность ставить заявки без проверки ГО, флаг dont_check_money но данный функционал не доступен для обычных логинов!
avatar
SAI

полезные записи за 24 часа

★10 0 Не забудьте о налогах!
★8 6 Щедрость от ЦБ. Предновогодний туземун. Крипта, недвижка, инфляция, дивиденды, облигации. Воскресный инвестдайджест
★5 2 ⭐️Котайджест: 🎁подарокот ЦБ. Новогоднее ралли началось. Когда закончится?
★4 1 Мой портфель облигаций на 22 декабря. Что изменилось за месяц?
★3 11 Какие дивидендные акции купить прямо сейчас, под конец 2024г!
★3 0 Доходность под 32%. Облигации Новые Технологии 001Р-01 и 001Р-02
★3 21 Ставка 21%. Роман Андреев о ставке, причинах, влиянии на рынок и главное - как реагировать.
★3 105 21 декабря... День рожденье Сталина
★2 25 5 фактов о Сараево! Немного путешествий под Новый год
★2 0 Не забываем..
+199 29 Основные итоги и выводы из 2024 года
+115 21 Ставка 21%. Роман Андреев о ставке, причинах, влиянии на рынок и главное - как реагировать.
+110 25 5 фактов о Сараево! Немного путешествий под Новый год
+78 31 Неделя движухи
+76 9 Золотодобытчики, металлурги, строители - какие действия можно предпринять в связи с смягчением ДКП?
+70 26 Кречетов на радостях, что в этот раз угадал отскок рынка переименовал волны Вульфа в волны Кречетова!😀
+68 25 Итоги под конец года - доходность 38% с начала года.
+68 105 21 декабря... День рожденье Сталина
+54 45 Возможен ли боковик лет на двадцать по японскому сценарию?
+48 24 Улетел от инфляции в Бангкок

самые обсуждаемые сегодня

87к «Мы проиграли войну», — гласит передовица итальянской Il Fatto Quotidiano с портретом главаря киевского режима.
46к В чем причина устойчивости российских предприятий?
36к Как увеличить население России
31к Неделя движухи
29к Основные итоги и выводы из 2024 года
26к Кречетов на радостях, что в этот раз угадал отскок рынка переименовал волны Вульфа в волны Кречетова!😀
25к Итоги под конец года - доходность 38% с начала года.
24к Прогнозы у каждого свои.
24к Улетел от инфляции в Бангкок
22к Муки выбора

теги блога Маркин Павел

....все тэги



UPDONW
Новый дизайн