בוט טלגרם למסחר בקריפטו עם אפליקציית מובייל

עבור בוט טלגרם למסחר בקריפטו, אחד הלקוחות שלנו איבד 50,000 דולר עקב אחסון מפתחות API על השרת — תוקף השיג גישה למסד הנתונים ומשך את כל הכספים. לאחר מכן, פיתחנו ארכיטקטורה שבה מפתחות מסחר לעולם לא עוזבים את המכשיר של המשתמש. במשך 5 שנים ו-20+ פרויקטים, זיהינו בעיות מרכזיות שהורגות בוטים לקריפטו: פגיעה במפתחות, שגיאות בדיוק הזמנות, וניתוקי WebSocket. לדוגמה, פרויקט אחד איבד עד 5% מהעסקאות עקב tickSize שלא נלקח בחשבון ב-Binance. פרויקט אחר החמיץ אותות כשהאפליקציה עברה לרקע.

כיצד להבטיח אבטחת מפתחות API?

מפתחות בורסה עם הרשאות מסחר הם המטרה העיקרית של התקפות. ב-iOS, אנו משתמשים ב-Keychain עם kSecAttrAccessibleWhenUnlockedThisDeviceOnly; ב-Android, EncryptedSharedPreferences על גבי Android Keystore. המשתמש מזין מפתחות רק באפליקציה הניידת; הם מוצפנים מקומית. עבור כל פעולת מסחר, נדרש אישור ביומטרי. לפי Binance, 60% מהתקריות קשורות לאחסון מפתחות על השרת.

לעולם אל תעביר מפתחות דרך בוט טלגרם או קוד QR. הבוט על השרת מקבל גישה למפתחות רק דרך ערוץ מאובטח מהאפליקציה הניידת, ורק תחת פעולה מפורשת של המשתמש. גישה זו מונעת דליפות גם אם השרת נפרץ.

מדוע חיבור מחדש של WebSocket קריטי למסחר בקריפטו?

זרמי מחירי WebSocket נשברים כשהאפליקציה עוברת לרקע ב-iOS — המערכת משהה את הרשת. ללא יישום חיבור מחדש, הבוט יפספס שינויי מחיר חשובים, מה שיוביל להפסדים. לדוגמה, ניתוק של 10 שניות במהלך תנודתיות של 2% יכול לגרום לאובדן של 0.5% מההון. המנהל שלנו משתמש ב-exponential backoff ובבדיקת רקע דרך remote-notifications.

// iOS: WebSocket подключение к Binance для стримов цен
class BinanceWebSocketManager: ObservableObject {
    @Published var currentPrice: Decimal = 0
    private var webSocketTask: URLSessionWebSocketTask?
    
    func connect(symbol: String) {
        let url = URL(string: "wss://stream.binance.com:9443/ws/\(symbol.lowercased())@ticker")!
        webSocketTask = URLSession.shared.webSocketTask(with: url)
        webSocketTask?.resume()
        receiveNextMessage()
    }
    
    private func receiveNextMessage() {
        webSocketTask?.receive { [weak self] result in
            switch result {
            case .success(.string(let text)):
                if let ticker = try? JSONDecoder().decode(BinanceTicker.self, from: text.data(using: .utf8)!) {
                    DispatchQueue.main.async {
                        self?.currentPrice = Decimal(string: ticker.lastPrice) ?? 0
                    }
                }
                self?.receiveNextMessage()
            case .failure(let error):
                self?.handleReconnect(after: error)
            default:
                break
            }
        }
    }
}

WebSocket הוא הטכנולוגיה הבסיסית לנתונים בזמן אמת. יישום נכון של חיבור מחדש מפחית הודעות שהוחמצו ב-99%.

כיצד מטפלים בהזמנות מסחר ושגיאות?

הזמנת שוק, לימיט, סטופ-לימיט — כל סוג דורש אימות לפני שליחה. אנו בודקים את הגודל המינימלי (ל-Binance יש // iOS: WebSocket подключение к Binance для стримов цен class BinanceWebSocketManager: ObservableObject { @Published var currentPrice: Decimal = 0 private var webSocketTask: URLSessionWebSocketTask? func connect(symbol: String) { let url = URL(string: "wss://stream.binance.com:9443/ws/\(symbol.lowercased())@ticker")! webSocketTask = URLSession.shared.webSocketTask(with: url) webSocketTask?.resume() receiveNextMessage() } private func receiveNextMessage() { webSocketTask?.receive { [weak self] result in switch result { case .success(.string(let text)): if let ticker = try? JSONDecoder().decode(BinanceTicker.self, from: text.data(using: .utf8)!) { DispatchQueue.main.async { self?.currentPrice = Decimal(string: ticker.lastPrice) ?? 0 } } self?.receiveNextMessage() case .failure(let error): self?.handleReconnect(after: error) default: break } } } } משלו לכל זוג), שלב הכמות (minQty), ודיוק המחיר (stepSize). אם לא נלקח בחשבון, הבורסה תחזיר tickSize. האימות בצד הלקוח שלנו הופך את זה להודעה ברורה, לא לקוד שגיאה.

func validateOrder(quantity: Double, symbol: String) -> Bool { // Получаем exchangeInfo, проверяем minQty и stepSize
    return true
}