Блог им. SerSer

Уязвимость ФОРТС

Добрый день всем!

Всем на обсуждение.

Вот такое письмо было разослано более месяца назад:

26 мая 2016 г., 20:41

Кому: [email protected]Копия: [email protected], [email protected], [email protected], [email protected], [email protected], [email protected], [email protected], [email protected], [email protected]
 

Добрый день!

 

Найдена уязвимость Модуля расчета гарантийного обеспечения рынка фьючерсов и опционов, позволяющая открывать позиции по основным инструментам (Фьючерсный контракт на Индекс РТС, Фьючерсный контракт на курс доллар США — российский рубль), без Гарантийного Обеспечения и в объемах (до 10 миллионов  контрактов) значительно превышающих объем открытых позиций и среднедневной объем торгов по данным инструментам.

 

Риски уязвимости

Выставление одним участником  одной заявки на 1 000 000 контрактов на курс доллар США — российский рубль (1 млрд. долларов США) приведет к одномоментному изменению цены фьючерса на 4% (достижение либо нижней, либо верхней границы торгового диапазона) без изменения цены по базовому активу. То есть, возникнет ситуация для сверхприбыльной арбитражной сделки, которой воспользуются все крупные участники рынка. После реализации заявки возникнет маржинальное требование и принудительное закрытие позиций, что вызовет движение цены до противоположной границы торгового диапазона.

Размер убытка у участника, Брокера, НКЦ и Московской Биржи может достигнуть 5 млрд. руб.

Выставление множества заявок множеством участников (или группой участников) может полностью парализовать срочный рынок и привести к множественным дефолтам крупных брокерских компаний. Фактически к хаосу на финансовом рынке России.

 

 




А теперь вопросы для всех:
     1 как думаете от кого и какая была реакция?
     2 что делать с данной уязвимостью?
★2
44 комментария
Судя по последнему абзацу письмо можно смело в мусорку выкидывать. Дети балуются.
avatar
Reshpekt Fund Russia ☮
Reshpekt Fund Russia, у меня больше вопросов к абзацу, описывающему пушистого зверька в деталях. Во-первых, каким образом выставление заявки уведет фьюч на 4%. Во-вторых, если ГО считается неправильно, откуда возьмутся маржинальные требования?

Вата короче.
avatar
bstone
bstone, выставить заявку по планке
avatar
Маркин Павел
Сергей С., ну выстави планку на пустом месте и подержи чуток, вколотят столько, что устанешь отползать.
avatar
Reshpekt Fund Russia ☮
+1
Reshpekt Fund Russia, про это и было письмо, что если выставить планку на пустом месте, «Рынок» всё съест и вернется к нормальному состоянию. А значит у выставившего будет гигантский лось, который он не покроет. И брокер перед НКЦ не покроет. и наступает процедура «Дефолт-менеджмента» вплоть до "Применяется процедура «размазывания» убытков и позиций:  закрываются позиции добросовестных участников, имеющих противоположные позиции по данному инструменту, по цене, позволяющей ограничить убыток НКЦ размером выделенного капитала"(http://moex.com/s1581)

avatar
Маркин Павел
Сергей С., откатят в точку и всё. Какой дефолт-менеджмент, если эксплойт пролез вне лимитов без го.
avatar
Reshpekt Fund Russia ☮
+1
Reshpekt Fund Russia, когда у нас Биржа сделки отменяла? В соответствии с ФЗ О ПРОТИВОДЕЙСТВИИ НЕПРАВОМЕРНОМУ ИСПОЛЬЗОВАНИЮ ИНСАЙДЕРСКОЙ ИНФОРМАЦИИ И МАНИПУЛИРОВАНИЮ РЫНКОМ Биржа не может отменить данные сделки
avatar
Маркин Павел
+1
Сергей С., да прям. Ну, допустим, ты открыл на бомжа брокерский счёт. Бомж жахнул эксплойт-лимиткой в 1 mio лотов Si и на бомже (по сути на брокере) повисли гденить 2.5 ярда убытка, которые ему насували сразу. Твой второй подсадной держал лимит размазанный возле планки и взял сколько-то там десятков миллионов с этого шипа, не больше, чтоб не отсвечивать. Эксплойт пролез без обеспечения, обсчитав биржевую систему рисков, брать нечего. Какие варианты у биржи и брокеров с точки зрения минимального геморроя? Канешн приостановят и откатят всё.
avatar
Reshpekt Fund Russia ☮
Reshpekt Fund Russia, смотрите выше — не могут.
avatar
Маркин Павел
Reshpekt Fund Russia, "Совершение операций, сопровождающихся использованием инсайдерской информации и (или) являющихся манипулированием рынком, не является основанием для признания их недействительными
"
avatar
Маркин Павел
Сергей С., тут нет инсайда или манипулирования ценой, а есть взлом системы рисков. Одно дело, когда есть ГО в системе на 1 mio лотов и вы этим ГО разные шипы запускаете, тут не отменят, другое дело, когда нет ГО…
avatar
Reshpekt Fund Russia ☮
Reshpekt Fund Russia, А вот в  НКЦ мне сказали, что в основном это риски брокеров — "… значит они Вам дают такое плечо..."
avatar
Маркин Павел
Reshpekt Fund Russia, Многоуважаемый Reshpekt, а почему все кидаются на идею «1 mio лотов», хотя основная идея «сделки без ГО». «Бомж» же может не «жахнуть», а так «стрельнуть из рогатки» в какой нибудь стакан неликвидных опционов и сделать «перелив средств» 
avatar
Маркин Павел
Сергей С., предположу, что у идеи «сделки без ГО через эксплоит» вероятность быть незамеченной крайне мала. Соответственно если зловредный хакер и будет эту идею монетизировать, то разово… жахая…
avatar
Reshpekt Fund Russia ☮
Reshpekt Fund Russia, сделки без ГО, спокойно проходят и даже никто не обращает внимания. «купил подешевле — продал подороже» позиция 0, разница на счет
avatar
Маркин Павел
Сергей С., тут надо уточнить — в случае заявки на покупку, речь идет о верхней планке или нижней?
avatar
bstone
bstone, а разница то какая? эффект то одинаков
avatar
Маркин Павел
Сергей С., ну вот, разочаровашка. А я уже начал было заинтриговываться. Если выставить заявку на покупку по нижней планке, то всем будет, мягко говоря, насрать. Странно, что нет понимания этого процесса. Скорее всего именно так проверялась гипотеза, я прав? Попробуйте проверить ее, выставив заявку на покупку по верхней планке :))
avatar
bstone
+1
bstone, извиняюсь не точно написал. покупка по верхней продажа по нижней
avatar
Маркин Павел
Сергей С., ага, ну если это действительно так, то это может быть серьезно. Проверка ограничивалась лишь выставлением заявки или доходила до реальных сделок?
avatar
bstone
bstone, до реальных сделок. и даже при отрицательном счете.
avatar
Маркин Павел
Сергей С., ммм, а почему НКЦ откосило на брокеров? Это фишка отдельного брокера?
avatar
bstone
bstone, Биржа является разработчиком Модуля. Модуль передается Брокерам в пользование.
avatar
Маркин Павел
Сергей С., ну в этом есть определенная логика. Но по факту имеем бэк-дор в модуле ГО, который делает биржа, и которая не отвечает материально за проблемы, из-за него возникающие. С другой стороны брокеры, которые не могут влиять на реализацию модуля, но которые отвечают за дырки в нем материально. Ну и НКЦ, который в любом случае свалит либо на брокера, либо на биржу. Вот примерно так и получается, что особо никто не парится :)
avatar
bstone
+1


avatar
helk3rn
+1
Adept, Совсем не дети, уязвимость существует, испытания проведены
avatar
Маркин Павел
0
Сергей С., и каким же способом выставить такую заявку? детали плиз.
avatar
nik
+1
nik, «детали плиз» — как и любой уникальный эксплойт имеет стоимость пока необнародован
avatar
Маркин Павел
0
Сергей С., вот потому и проигнорировали все адресаты,  что обычный трололо))
avatar
nik
0
nik, слепая вера в «непокобелимость» системы — вот причина игнорирования.
И кстати не все проигнорировали.
avatar
Маркин Павел
0
Сергей С., ну так продемонстрировать наличие уязвимости можешь, или болобол?
avatar
nik
+1
nik, это Ваша официальная Оферта?
avatar
Маркин Павел
Сергей С., заявку этого размера поставь на +-100% от цены и сделай скрин, а потом уже можешь продавать!
пока действительно трололо…
avatar
matrix
-1
Сергей С., поставь, например, на sih7 ровно в 15.20 бид на 10м лотов на 5-10 копейки ниже лучшего бида. а мы посмотрим, появится твой ордер в стакане или нет. это будет лучшее подтверждение что ты не звиздишь ;)
avatar
nik
nik, Уважаемый nik, после написания письма Бирже, и прочих контактов с заинтересованными лицами, я даже ради забавы не буду заниматься такой ерундой как выставление многомиллионных лотов. 
avatar
Маркин Павел
-1
Сергей С., так и знал, что трололо))
avatar
nik
nik, У Вас есть неотъемлемое право иметь своё субъективное мнение.
avatar
Маркин Павел
Алексей С, не учтена
avatar
Маркин Павел
smart-lab.ru/blog/337760.php
avatar
D.G.
 Вообще в протоколе предусмотрена возможность ставить заявки без проверки ГО, флаг dont_check_money но данный функционал не доступен для обычных логинов!
avatar
SAI

полезные записи за 24 часа

★7 3 Что ждет крипту в России в 2024 году: разбираем последствия нового закона на мемах
★6 7 🚀Всем по ₽30 млн!
★5 0 В избранное. Топ вкладов с максимальными ставками
★5 48 Братские народы
★4 44 СБП: до 30 млн руб. в месяц без комиссии
★4 28 Гигант поглотил экономику страны. Лекарства от диабета и ожирения и низкие проценты по кредитам.
★4 0 Северсталь (CHMF). Отчет за 1Q 2024г. Дивиденды. Перспективы.
★4 9 Почему падают акции НОВАТЭКа и стоит ли в них сейчас инвестировать
★3 11 Сургутнефтегаз, отчет 2023, записная книжка #SNGS
★3 12 Итоги 34 месяцев инвестиций. 3,751 млн рублей
+91 34 Шаурма как индикатор экономики: считаем инфляцию⁠⁠
+86 19 Российская публицистика уничтожена санкциями. Google отдает предпочтение антироссийским постам.
+81 18 Азия. Среда.
+69 3 Что ждет крипту в России в 2024 году: разбираем последствия нового закона на мемах
+60 44 СБП: до 30 млн руб. в месяц без комиссии
+54 28 Гигант поглотил экономику страны. Лекарства от диабета и ожирения и низкие проценты по кредитам.
+52 5 Мои итоги апреля
+52 25 "Цель она есть". День труда: ФРС не спит. (GOLD)
+51 17 В Краснодаре продают авто за 1 млрд.руб.!
+48 11 Сургутнефтегаз, отчет 2023, записная книжка #SNGS

самые обсуждаемые сегодня

23к Прогноз уровня жизни в РФ.
18к 20000 в год. Законопроект об обязательном страховании жилья. Хотите?
7к Повышение услуг ЖКХ с 1 июля.
7к История боли.... Высветился прошлый пост....
4к 💰От каких компаний ожидаются самые щедрые дивиденды?

теги блога Маркин Павел

....все тэги



UPDONW
Новый дизайн