Давайте создадим с нуля биржу Open Source?

[kzv]

Вроде все как у всех

[1715239103]

1715239103

[1715239103]

1715239103

[SteepPepper]

не с ордерами все ок. не ок с полями отображающими лучшее предложение и спрос на данный момент




Это формально, конечно, но многие трейдеры в уме спрэд вычисляют и их смущает это.

[a.stoev]

Вау! Крутизна! Респект ув. kzv 

А что бросилось в глаза, притормаживает биржанька малёха, призадумывается, показать график, сменить монету и тд. около 3-5 сек думает, много очень, нужно 0.5-1сек, словно что то с БД тащится, хотя вроде не должно, но это мелочи, хотя напрягает.

Затем ликвида мало, нужно как то решить проблему ликвидности, вплоть до вменяемого фейка, нет в этом ничего криминального, хотя бы свой щиток нужно неистово торговать, так чтоб пар шел и искры летели, а на других парах хотя бы в режиме ММ поставить ордера на +-10% вокруг спреда и активность должна быть, типа ХФТшники орудуют, манипулируют млять... 

[fxpc]

Вау! Крутизна! Респект ув. kzv  

А что бросилось в глаза, притормаживает биржанька малёха, призадумывается, показать график, сменить монету и тд. около 3-5 сек думает, много очень, нужно 0.5-1сек, словно что то с БД тащится, хотя вроде не должно, но это мелочи, хотя напрягает.

Затем ликвида мало, нужно как то решить проблему ликвидности, вплоть до вменяемого фейка, нет в этом ничего криминального, хотя бы свой щиток нужно неистово торговать, так чтоб пар шел и искры летели, а на других парах хотя бы в режиме ММ поставить ордера на +-10% вокруг спреда и активность должна быть, типа ХФТшники орудуют, манипулируют млять...  

Прочитай название раздела. Может она у него на утюге крутится, вот и тормозит. Разворачивай на полноценном сервере и верти как хочешь. Какое отношение ликвидность имеет к коду биржи?

[A-Bolt]

при чем тут код, где в названии раздела КОД?

Вообще-то, Оpen Source подразумевает код, а не сервис.

[fxpc]

Прочитай название раздела. Может она у него на утюге крутится, вот и тормозит. Разворачивай на полноценном сервере и верти как хочешь. Какое блять отношение ликвидность имеет к коду биржи?

Может на утюге, а может код тормозной, или технология тормозная. Это же не продажу биржа? Я так понял её делали чтобы торговали на ней люди, а не как курсовая в универе, при чем тут код, где в названии раздела КОД?

Код лежит на гитхабе. Бери и проверяй или не бери. На какую продажу? Биржа выложена бесплатно. Если код тормозной, то блесни умом и перепиши. Где в названии раздела Кодеры слово код?

[a.stoev]

Вообще-то, Оpen Source подразумевает код, а не сервис.

Код лежит на гитхабе. Бери и проверяй или не бери.

Да всё - супер, топикстартер - молодец, код вполне вменяемый, я даже не стану пенять на выбор технологии бекенда(node.js), это дело вскуса, хотя я бы конечно взял бы asp.net.core. Но вот база данных юзается явно не кашерно. На самом деле кроме регистрации и ввода-вывода, наиболее существенно писать ордерлог(поток ордеров от клиентов) и запросов ввода\вывода, по сути это вся важная информация по которой можно восстановить состояние биржи в любой момент времени, остальное производно. Ордербук, сделки, свечки, всё это производная инфа, актуальная часть которой для юзера берётся из оперативки, например последние чарты, сделки и тд. Это всё конечно пишется в БД для надежности но берётся с оперативки, ядро должно функционировать в норме без обращений к БД.

[Balthazar]

А в репозитории актуальный код? Или просто какой-то срез из прошлого? А то вижу, что в нем нет фич, которые на multicoins явно присутствуют.

[kzv]

А в репозитории актуальный код? Или просто какой-то срез из прошлого? А то вижу, что в нем нет фич, которые на multicoins явно присутствуют.

Актуальный опенсорс поддерживаю только для сервера аккаунтов. Если получаю сообщения о критических для безопасности багов, то делаю фиксы вопенсорс коде.
Все остальное актуальное в закрытом репозитории.

[valsha]

Все остальное актуальное в закрытом репозитории.

Закрытый только для себя или в продаже тоже есть?

[kzv]

Все остальное актуальное в закрытом репозитории.

Закрытый только для себя или в продаже тоже есть?

Только для себя. Продажи не планируются.
Небольшой опыт продаж показал, что без полноценной техподдержки со стороны автора с кодом никто справиться не может ((

[reddish111]

...
Небольшой опыт продаж показал, что без полноценной техподдержки со стороны автора с кодом никто справиться не может ((

Это всё из за обилия комментариев, те кто потом смотрят в эти исходиники путаются в них  

Вот пример отличного комментария  

//require('./reqHandler.js').handle(app, g_constants.WEB_SOCKETS);

/*process.on('uncaughtException', function (err) {
  console.error(err.stack);
  utils.balance_log(err.stack+"\n");
  console.log("Node NOT Exiting...");
});*/

взято тут https://github.com/3s3s/opentrade/blob/master/server/main.js

Это конечно шутка   но сымсл думаю понятен...
В нормальном проекте на продажу есть не только код с комментариями но и схема UML + блок схема и прочие словесные описания алгоритмов.

[kzv]

Проект никогда не предполагался быть на продажу. Я как дурак надеялся, что идея понравится сообществу программистов и кроме меня там появятся еще разработчики.
По факту, другие программисты коммиты делали только в фронтэнд, а в серверную часть никто так и не подумал залезть. Хотя, справедливости ради сказать, за три года все таки нашелся один единственный человек, который бескорыстно мне показал одну уязвимость. Но большинство все таки предпочитает найденные уязвимости использовать чтобы пиздить мои деньги. Поэтому код сейчас и закрыт наглухо.

[reddish111]

Проект никогда не предполагался быть на продажу. Я как дурак надеялся, что идея понравится сообществу программистов и кроме меня там появятся еще разработчики.
По факту, другие программисты коммиты делали только в фронтэнд, а в серверную часть никто так и не подумал залезть. Хотя, справедливости ради сказать, за три года все таки нашелся один единственный человек, который бескорыстно мне показал одну уязвимость. Но большинство все таки предпочитает найденные уязвимости использовать чтобы пиздить мои деньги. Поэтому код сейчас и закрыт наглухо.

Мне может и интересно посмотреть как оно устроено но я на python последнее время подсел и js конечно читать могу, и писать даже но не так оно интересно...
И когда смотришь чужой код сразу видишь кучу непонятно чего непонятно зачем, и что б хоть что то понять нужно убить дня 3 вникая в структуры и зависимости.
Нормально было б читать не код а общий алгоритм, а потом уже смотерть реализацию алгоритма в виде кода.
Чужие коды без коментариев это очень не очень.

И open source движки были и до этого, но на js вроде не было... но как я понимаю у js с рождения проблема с числами, в python это решается через decimal потому что даже float не даёт нужной точности, может через это и тырят средства?

И вот есть waves и bitshares у них же обменник есть прям из коробки.

[btc2xmr]

Но большинство все таки предпочитает найденные уязвимости использовать чтобы пиздить мои деньги.

Здравствуйте kzv.

Если не секрет - расскажите в общих чертах про уже закрытые вами уязвимости, каким образом вас взламывали?
Сам принимаю участие в создании небольшой биржи, интересно все что связано с безопасностью таких проектов.

[kzv]

Но большинство все таки предпочитает найденные уязвимости использовать чтобы пиздить мои деньги.

Здравствуйте kzv.

Если не секрет - расскажите в общих чертах про уже закрытые вами уязвимости, каким образом вас взламывали?
Сам принимаю участие в создании небольшой биржи, интересно все что связано с безопасностью таких проектов.

На лично я больше всего потерял, так это на вере в крутость программистов биткоина.
Я не стал "изобретать велосипед" и пользоваться сторонними библиотеками чтобы генерировать новые адреса для депозитов, а отдал это на откуп RPC биткоина, за что поплатился кучей бабла...
Суть в том, что до недавнего времени (во многих форках, в том числе в догах, это все еще не пофиксили), алгоритм генерации новых адресов в демонах монет был следующий: генерируется пул из где-то 1000 адресов, которые где-то там запоминаются и выдаются по одному при запросе getnewaddress.
Все замечательно если не учитывать тот факт, что какой-то умник, в какой-то ранней версии битка, сделал эти вновь сгенерированные, но еще не выданные адреса, доступными для сдачи от транзакций!!!
К чему это говно привело на бирже догадаться думаю не сложно:
1. Кто-то делает вывод средств с биржевого баланса, сдача капает на адрес которого еще нигде никто не видел, но который есть в пуле для выдачи.
2. Новый юзер регает аккаунт, заходит в кошелек, спрашивает адрес для депозита на биржу, ему выдается "новенький" адрес на который ранее уже упала сдача!
3. Радостный юзер считает упавшие на его кошель бабки своими и тут же их выводит.

В пункте 3 были еще и более продвинутые козлы, которые выводили не сразу, а сначала продавали эти монеты своему альтернативному аккаунту по цене типа 13 догов за 0.004 битка, а потом уже выводили. Когда я таких успевал брать за жопу, то начинались возмущения и даже угрозы: "мол я ни я, жопа не моя, кто-то продал, я честно  купил, теперь вывожу - давай сюда мои бабки быстро суко!!!111"

[btc2xmr]

Все замечательно если не учитывать тот факт, что какой-то умник, в какой-то ранней версии битка, сделал эти вновь сгенерированные, но еще не выданные адреса, доступными для сдачи от транзакций!!!

Спасибо, не знал об этом, но повезло сделать работу с адресами по другому принципу.
Баг жестокий, можно было очень много потерять.

[Coin-1]

3. Радостный юзер считает упавшие на его кошель бабки своими и тут же их выводит.

Может, те трейдеры полагали, что это "вэлком бонус" от Вашей криптовалютной биржи. Иногда некоторые торговые площадки проводят аирдропы на балансы своих клиентов и дарят монеты пользователям в целях привлечения новых трейдеров. Размеры этих бонусов, конечно, небольшие, хотя я не знаю, о каких суммах сдачи в Bitcoin идёт речь в Вашем случае.

Хорошо, что Вам удалось вовремя выявить серьёзный недостаток в организации серверной части и бэкэнда в целом. Наверно, есть смысл упомянуть об этом баге в документации к opensource-версии Вашей биржи на Github, чтобы другие не повторяли подобных ошибок и не теряли свои деньги.

[gov]

https://trade.multicoins.org/api/v1/account/withdraw?apikey=API_KEY&nonce=NONCE&currency=MC&quantity=20.40&address=MC_ADDRESS

Я конечно не вебдизайнер красноглазик, но в строке запроса пулять всякие секреты вроде как не рекомендуется, хацкеры могут потибзить, лучше в теле запроса джисоном, там оно шифруется, а строка запроса нет, то есть ваш провайдер или сисадмин видит ваши апи ключи и может вывести баблишко

Подсмотрите лучше как сделали это в биттрексе, там джисон в теле, и разумеется апи-ключ не прилагается в отрытом виде, а им хешируется сообщение, подписывается, так точно никто ничего не стибзит, вообще всё лучше спрятать в тело запроса, нафиг чтобы провайдер или сисадмин знал сколько вы чего там торгуете и выводите.


PS А чего график такой убогий? График на криптобирже - очень важная состовляющая, лицо биржи, разве трейдингвью прикрутить сложно?

PPS Ну и ботов поставить маркетмейкерных, движуха нужна, хотя бы свой щиток гоняйте в хвост и гриву, чтоб аж пар летел, ажиотаж должен быть, как на базаре очередь, нет очереди к магазу значит товар не интересный, все так делают.

[hostervps]

Интересная идея

я программист c++ , python