Это началось не с инцидента. Началось с цифры которая чуть не совпадала.
Аналитик проводил рутинную сверку ликвидности — не расследование, не плановый аудит, просто рабочий день. И заметил паттерн: последовательность исполнения была правильной, но тайминг — нет. Между подтверждением цены клиенту и финальным заполнением хеджа у LP проходило в среднем 37 секунд.
37 секунд. Не миллисекунды, не микросекунды. Секунды. В системе которая считалась отлично настроенной.
Брокер который всё делал правильно
Компания была средней по размеру, регулируемой, технически оснащённой. Три подключения к LP. Резервные матчинг-движки. Дашборды мониторинга в реальном времени. Алерты на отклонение спреда. Throttling для высокочастотного потока. Еженедельные заседания риск-комитета.
Клиентская база — розничные трейдеры с небольшими депозитами, преимущественно мажорные FX-пары. Ничего экзотического. Никаких скандалов. Никаких системных сбоев.
Именно в этом и была проблема. Системы которые выглядят наиболее стабильно — это часто те, где временны́е разрывы остаются необнаруженными дольше всего. Потому что нет ничего что заставило бы туда смотреть.
Симптомы которые не выглядели симптомами
На протяжении девяти недель подряд брокер наблюдал кое-что странное, но не тревожное. Стоимость спреда по EURUSD была на 4–6% выше среднего по рынку. Прибыльность клиентов была слегка повышена в дни низкой волатильности. Реджекты от LP росли мягко, но оставались в рамках внутренних допусков. Несколько клиентских кластеров показывали стабильно хорошие результаты — не подозрительно хорошие, просто немного лучше среднего.
Каждая метрика по отдельности имела объяснение. Вместе они складывались в предложение которое никто не читал.
Особенно показательна была повышенная клиентская прибыльность в дни низкой волатильности. Тихие рынки делают временны́е рассинхронизации дороже, а не дешевле — потому что каждое движение цены видно отдельно, без шума который его скрывает.
Что происходило на самом деле
Когда 37 секунд были обнаружены и начали считать реальные последствия — картина выглядела так:
| Событие | Идеальное состояние | Фактическое состояние |
|---|---|---|
| Исполнение клиента | Мгновенный внутренний хедж | Хедж задерживается ~37 сек |
| Рыночная волатильность | Предполагалась симметричной | Была микротрендовой |
| Экспозиция LP | Нейтрализуется быстро | Накапливалась кратковременно |
| Влияние на риск | Нулевое или незначительное | Систематически однонаправленное |
В спокойные часы — ничего не происходило. Но когда рынок двигался на 8–12 пипсов в узком канале, разворачивалась предсказуемая последовательность: клиенты исполнялись по цене X, брокер подтверждал мгновенно, рынок уходил на 3–6 пипсов пока хедж ещё не был поставлен, LP заполнял хедж по X ± дрейф, дрейф становился воздействием на P&L брокера. Клиенты ничего не замечали. Система логировала всё как «успешное исполнение».
И расхождение тихо накапливалось.
Парадокс: клиенты выглядели умными, а не злоумышленниками
Из-за задержки хеджа клиентские исполнения имели любопытный статистический паттерн: небольшое преимущество на входе, небольшое на выходе, небольшое преимущество на микротрендах — никогда не достаточное чтобы сработали пороги проверки честности исполнения.
Никаких нарушений правил торговли. Никакого токсичного потока. Никаких арбитражных ботов. Клиенты не координировались. Никаких манипуляций с потоком.
Просто правильная цена, доставленная слишком поздно.
Счёт
| Совокупная утечка P&L | $4,8 млн |
| Среднее воздействие на сделку | 0,03–0,17 пипса |
| Вредоносных выбросов | 0 |
| Сработавших алертов системы | 0 |
| Нарушенных правил | 0 |
Это не было взломом. Это было невзмеренным временем.
Неудобный вывод
Брокер выстроил риск-контроли для плохого поведения. Но не для медленного поведения.
Все смотрели на неправильную цену, быструю цену, злоупотребительную цену, внерыночную цену, манипуляции, latency арбитраж, токсичный поток. Никто не смотрел на правильную цену, доставленную слишком поздно.
Самая дорогая строчка в расследовании — не ошибка кода, не плохая сделка, не рыночный шок. Это допущение: «если ничего не ломается — значит всё в порядке».
Рынок не сломал систему. Система тихо кровоточила в рынок — по 37 секунд за раз.
Три вопроса которые стоит задать прямо сейчас
Что происходит в вашей книге между исполнением и хеджем? Экспозиция нейтрализуется мгновенно или в конечном счёте? Измеряете ли вы время как вектор риска — не только цену?
Риск — это не только то, что вы мониторите. Это ещё и то, что вы не измеряете.
