Не так давно тоже интересовался этим вопросом, читал разные источники, нюансов конечно море и надо 100500 раз подумать перед принятием окончательного решения!
Вот список нюансов на которые натолкнулся:
- Нужно проверять ответы от платежных систем по ip. Обычно в документации ip указывают, если нет, то писать в поддержку и уточнять.
- Проверять тип валюты, которая к вам заходит. Например, у Perfect Money есть euro и usd. При оплате заявки, клиент может принудительно изменить в адресной строке параметры, при которых оплата уйдет не с евро счета, а с usd и естественно в этом случае вы будете в минусе.
- Выставить настройки в апи, которые позволяют идентифицировать с 100% что это вы делаете обращение на перевод.
- Безопасность хранения данных и финансов. Максимально ограничит доступ к паролям и логинам платежных систем. Выставить масимальные настройки безопасности в самих платежных системах (двухфакторная авторизация, ограничение доступа по ip и пр.).
- Максимально ограничить доступ к административной панели обменника (ip, максимальная сложность пароля, нетривиальный адрес входа в панель для админа, контрольные слова, контрольные пароли для создания перевода через админку).
- Антифрод. Необходимо обращать внимание на входящие платежи от клиентов, желательно хотя-бы частично на автоматическом уровне, потому что если вам заходят грязные деньги, особенно это касается qiwi, яндекс и банковских переводов, то вы рискуете быть заблокированными и потерять средства.
- Использовать несколько счетов. Рано или поздно вы столкнетесь с блокировой счета, поэтому конечно должна быть возможность быстро перейти на другой и выполнить обязательства перед клиентами.
- Важно иметь оперативную связь с платежными системами для решения проблем.
- Продумать ддос защиту. Примерно 90-95% ддос атак могут быть отбиты при помощи сервиса cloudflaer.com на минимальном платном тарифе, для остальных 5-10 % нужно иметь всегда под рукой или грамотного админа или более серьезную защиту на уровне хостера. Вменяемые решения на уровне хостера, как правило, очень дорогие.
- Если вы планируете заниматься Webmoney, то это должен быть отдельный сайт, с абсолютно другим доменным именем, дизайном и счетами, чем сайт на котором вы будете менять запрещенные к обмену с Webmoney валюты. Whois данные также нужно скрыть.
- Для успешной работы вам таки скорее всего придется в движке разрабатывать робота, который будет следить за курсами в автоматическом режиме. Лучше робота, который сможет следить за изменениями курсов конкурентов на мониторингах и устанавливать курс лучше.
- В поддержке должны работать проверенные и грамотные люди.
вот оригинал
https://forum.bits.media/index.php?/topic/33710-правильно-создать-обменник-криптовалют-ньюансы/&tab=comments#comment-619045 , там ещё есть советики всякие.
