Full Stack · Security · Linux
Обменники, биржи, кошельки — без дыр, без простоев, без сюрпризов
Full Stack разработчик, 20+ лет в IT. Строю и защищаю продукты, где ходят чужие деньги.
Табло угроз
Мониторинг| Время | Угроза | Узел | Статус |
|---|---|---|---|
| --:-- | SQL-инъекция | API заявок | Отражено |
| --:-- | Подмена адреса кошелька | Фронтенд | Отражено |
| --:-- | Гонка при выводе | Очередь выплат | Обнаружено |
| --:-- | Перебор паролей | Админка | Отражено |
| --:-- | DDoS L7 | nginx / WAF | Отражено |
| --:-- | Утечка ключей | Горячий кошелёк | Отражено |
| --:-- | Фишинг оператора | 2FA / сессии | Отражено |
Демонстрация типовых атак на обменные пункты. Статусы иллюстративные.
Оператор
Кто за табло
Меня зовут Павел. Мне 33 года, программирую с двенадцати — больше двадцати лет в разработке.
Специализируюсь на продуктах, где ходят деньги: обменные пункты цифровых валют, биржи, кошельки, платёжные сервисы. Здесь ошибка в коде — это не кривая кнопка, а потерянные средства клиентов и репутация, которую не вернуть.
Поэтому я совмещаю три роли, которые обычно делят между разными подрядчиками: разработку, безопасность и инфраструктуру. Когда код, защита и серверы в одних руках, между ними не остаётся щелей, через которые уходят деньги. Делаю и мобильные приложения — iPhone, Android и PWA; например, ERRA Messenger ставится как PWA прямо из браузера.
Больше всего люблю нестандартные, узкоспециализированные и масштабные задачи — то, чего ещё нет на рынке. Я — автор open-source библиотек для Laravel (Bitcoin, TRON, EVM, Monero, Telegram-боты) — их можно посмотреть в разделе «Открытый код». Собственные продукты — экосистема ERRA: защищённый мессенджер, криптокошелёк с платёжным шлюзом и SaaS для соцсетей.
Говорю с владельцем бизнеса на языке рисков и денег: что может сломаться, во что это обойдётся и как это закрыть.
Живу в Анталье, Турция, работаю удалённо с клиентами из любых часовых поясов; в Анталье можно встретиться лично.
- 33 года
- В IT с 12 лет
- 3 роли в одном
Станция · Анталья, Турция · UTC+3
Направления
Ведомость услугБеру продукт целиком или закрываю один участок. Нажмите на строку — откроются подробности.
| Направление | Что входит | Стек | Статус | Подробнее |
|---|---|---|---|---|
| Обменный пункт под ключ | Заявки, курсы и резервы, интеграции с биржами и платёжками, AML-проверки, админка оператора | Laravel · Nuxt · PostgreSQL | Принимаю | |
Что входит: Заявки, курсы и резервы, интеграции с биржами и платёжками, AML-проверки, админка оператора Собираю обменник целиком: витрину, приём и обработку заявок, автоматический расчёт курсов и учёт резервов. Подключаю биржи и платёжные шлюзы, встраиваю AML-проверку адресов до того, как деньги ушли. Оператор получает админку с ролями и журналом действий, а владелец — понятную картину по каждой заявке. | ||||
| Криптобиржа | Матчинг-движок, стакан, кастоди горячих и холодных кошельков, KYC | Nest.js · Laravel · Redis | Принимаю | |
Что входит: Матчинг-движок, стакан, кастоди горячих и холодных кошельков, KYC Проектирую ядро биржи: матчинг-движок, стакан заявок и учёт балансов, в котором каждая копейка сходится. Разделяю горячие и холодные кошельки, ставлю лимиты и подтверждения на вывод. Подключаю KYC и строю админку для комплаенса и поддержки. | ||||
| Криптокошельки | HD-кошельки, мультисиг, холодное хранение, подпись офлайн | Node.js · биткоин- и EVM-ноды | Принимаю | |
Что входит: HD-кошельки, мультисиг, холодное хранение, подпись офлайн Делаю кастодиальные и внутренние кошельки на HD-деревьях ключей с отдельным адресом под каждого клиента. Основная масса средств — в холодном хранении с подписью офлайн, крупные выводы — через мультисиг. Работаю напрямую с собственными нодами, без зависимости от чужих API. | ||||
| Мобильные приложения | iPhone и Android: приложения обменников, кошельков и личных кабинетов; PWA без App Store и Google Play; биометрия, push-уведомления, защищённое хранение ключей на устройстве | Capacitor · React Native · Swift / Kotlin · PWA | Принимаю | |
Что входит: iPhone и Android: приложения обменников, кошельков и личных кабинетов; PWA без App Store и Google Play; биометрия, push-уведомления, защищённое хранение ключей на устройстве PWA хватает, когда нужны личный кабинет, заявки и уведомления: она ставится из браузера, обновляется сразу у всех и не зависит от магазинов — её нельзя удалить из App Store или Google Play. Нативное приложение нужно, когда важны глубокая работа с биометрией, фоновые задачи или требования площадки. Для финансовых приложений закладываю практики мобильной безопасности: ключи и токены — в Keychain и Keystore, pinning сертификатов, защита экранов от скриншотов и оверлеев, проверка jailbreak и root. Это снижает риски, но не отменяет защиту на сервере. Публикую в App Store и Google Play или распространяю как PWA — по задаче и рискам бизнеса. | ||||
| Аудит и пентест | Разбор существующего продукта, поиск дыр, отчёт с приоритетами, исправление | Код · сервер · процессы | Принимаю | |
Что входит: Разбор существующего продукта, поиск дыр, отчёт с приоритетами, исправление Смотрю на ваш продукт глазами атакующего: код, конфигурацию серверов, права доступа и процессы операторов. Отдаю отчёт, где каждая находка описана языком риска: что может случиться и сколько это будет стоить. Если нужно — сам закрываю найденное, начиная с самого опасного. | ||||
| Защита серверов | Hardening Linux, WAF, fail2ban, бэкапы, мониторинг, реагирование | Debian/Ubuntu · nginx | Принимаю | |
Что входит: Hardening Linux, WAF, fail2ban, бэкапы, мониторинг, реагирование Настраиваю серверы так, чтобы снаружи было видно только то, что должно быть видно. Ставлю WAF и защиту от перебора, мониторинг и алерты, которые приходят раньше жалоб клиентов. Бэкапы проверяю восстановлением, а не верой в то, что они есть. | ||||
| Ноды и инфраструктура | Развёртывание и обслуживание нод, индексаторы, RPC | Linux · Docker | Принимаю | |
Что входит: Развёртывание и обслуживание нод, индексаторы, RPC Разворачиваю и обслуживаю ноды биткоина и EVM-сетей, индексаторы и собственные RPC-узлы. Свои ноды — это независимость от сторонних провайдеров и их лимитов, а значит, меньше простоев. Слежу за синхронизацией, обновлениями и местом на дисках. | ||||
| Нестандартные задачи | То, чего ещё нет: узкие интеграции, уникальная логика, масштаб | По задаче | Обсуждаем | |
Что входит: То, чего ещё нет: узкие интеграции, уникальная логика, масштаб Больше всего люблю задачи, у которых нет готового решения на рынке. Узкая интеграция, необычная финансовая логика, нагрузка, под которую ничего не рассчитано, — опишите, что нужно. Разберём вместе, что возможно, и я честно скажу, если за что-то не возьмусь. | ||||
Система безопасности
6 уровней защитыБезопасность — не одна галочка, а шесть уровней, и дыра в любом из них сводит на нет остальные. Выберите уровень, чтобы увидеть, что именно я на нём делаю.
Код
- Параметризованные запросы — никаких строк SQL, собранных из ввода пользователя.
- Валидация данных на входе и экранирование на выходе.
- Идемпотентные операции с деньгами: повторный запрос не спишет средства дважды.
- Транзакции и блокировки при выводе — гонка запросов не удвоит выплату.
- Статический анализ и ревью зависимостей перед каждым релизом.
Данные
- Шифрование на диске и в бэкапах.
- Базы данных отделены от приложений и не смотрят в интернет.
- Минимизация персональных данных: храню только то, без чего нельзя.
- Журнал изменений балансов — каждое движение средств можно восстановить.
Ключи и средства
- Основная масса средств — в холодном хранении.
- Лимиты и ручное подтверждение крупных выводов.
- Мультисиг для операций, которые не должен совершать один человек.
- Подпись транзакций офлайн.
- Плановая ротация ключей.
Доступ
- 2FA для всех операторов.
- Роли и минимальные права: каждый видит только своё.
- Ограничение доступа к админке по IP.
- Защита сессий от перехвата и повторного использования.
- Журнал действий администраторов.
Сервер
- Hardening Debian/Ubuntu: лишние службы выключены, порты закрыты.
- nginx с WAF и fail2ban против перебора и мусорного трафика.
- Регулярные обновления безопасности.
- Мониторинг и алерты по нагрузке, ошибкам и подозрительной активности.
- Бэкапы с регулярной проверкой восстановления.
Процессы
- Модель угроз — до первой строки кода.
- Тестовая среда, повторяющая боевую.
- Пошаговый деплой с возможностью отката.
- План реагирования на инцидент: кто, что и в каком порядке делает.
| Объект | Уровень |
|---|---|
| Типовой обменник | Открыто |
| Моя сборка | Закрыто |
Маршрут
Как проходит работаШесть станций от первого разговора до сопровождения. Безопасность закладывается на второй, а не вспоминается на пятой.
Бриф
Разбираю бизнес-модель, денежные потоки и то, что уже работает. Фиксирую требования и ограничения.
Модель угроз и архитектура
До первой строки кода описываю, кто и как может атаковать продукт, и строю архитектуру с учётом этого.
Разработка
Backend, frontend и интеграции. Операции с деньгами — идемпотентные, в транзакциях, с журналом.
Аудит и тесты
Проверяю свой код как атакующий: инъекции, гонки, обход прав. Тестовая среда повторяет боевую.
Запуск
Пошаговый деплой на защищённые серверы. Мониторинг и алерты работают с первого дня.
Сопровождение
Обновления, бэкапы с проверкой восстановления, реагирование на инциденты.
Рейсы
Ведомость проектов| Тип проекта | Задача | Решение | Результат | Подробнее |
|---|---|---|---|---|
| Собственные продукты — экосистема ERRA | ||||
| Мессенджер E2E | Защищённый мессенджер, переписку в котором не может прочитать никто, кроме собеседников. | Спроектировал и разработал: сквозное шифрование, вход по секретной фразе, звонки через WebRTC, установка как PWA. | Открыть Мессенджер E2E | |
Мессенджер с end-to-end шифрованием, часть экосистемы ERRA. Я спроектировал его архитектуру и разработал продукт. Регистрация и вход — по секретной фразе из слов, как у криптокошельков: фраза шифрует все ключи и сообщения.
| ||||
| Криптокошелёк + шлюз | Мультивалютный криптокошелёк и приём криптоплатежей для сайтов — в одном продукте. | Одна seed-фраза для Bitcoin, Ethereum, Tron, Monero и EVM-сетей; Merchant API с вебхуками; вход с 2FA. | Открыть Криптокошелёк + шлюз | |
Ровно тот класс продуктов, о котором этот сайт: кошелёк, через который проходят деньги, и платёжный шлюз для чужих сайтов. Кошелёк кастодиальный: приватные ключи хранятся на сервере в зашифрованном виде (encrypted at rest), доступ к кошельку защищён паролем и 2FA. Построен на моих открытых библиотеках it-healer/laravel-bitcoin, laravel-ethereum, laravel-evm, laravel-tron, laravel-monero.
| ||||
| SaaS-автоматизация | Вести соцсети без рутины: из нового ролика на YouTube или TikTok — готовые посты на более чем десяти площадках. | Расширение Chrome работает через браузер пользователя и его вкладку Claude или Gemini — без API-ключей, ферм и прокси. | Открыть SaaS-автоматизация | |
SaaS-платформа AI-автоматизации соцсетей: следит за YouTube- и TikTok-каналами, берёт расшифровку нового ролика, пишет посты через Claude или Gemini, создаёт картинки и публикует их по расписанию.
| ||||
| Проекты под NDA | ||||
| Обменный пункт | Запуск обменника цифровых валют: заявки, курсы, резервы, работа операторов. | Backend с очередью заявок, AML-проверкой адресов и админкой с ролями. | Заполнить: результат будет добавлен | |
| Криптобиржа | Ядро торговли: матчинг, стакан, учёт балансов, ввод и вывод средств. | Отдельный матчинг-движок, учёт балансов в транзакциях, лимиты на вывод. | Заполнить: результат будет добавлен | |
| Кастодиальный кошелёк | Хранение клиентских средств с разделением на горячую и холодную части. | HD-кошельки, холодное хранение основной массы, мультисиг, подпись офлайн. | Заполнить: результат будет добавлен | |
| Мобильное приложение | Кошелёк или обменник для клиентов на iOS и Android. | Приложение с биометрическим входом и защищённым хранением ключей на устройстве. | Заполнить: результат будет добавлен | |
| Аудит и спасение | Разбор взломанного проекта: найти, как зашли, закрыть и восстановить работу. | Аудит кода и серверов, закрытие точки входа, ротация ключей, hardening. | Заполнить: результат будет добавлен | |
| Инфраструктура нод | Собственные ноды и RPC вместо сторонних провайдеров. | Ноды в Docker на защищённых серверах, мониторинг синхронизации и алерты. | Заполнить: результат будет добавлен | |
Проекты под NDA. Описания обезличены.
Открытый код
Packagist · MITЧасть инструментов, на которых строю обменники и кошельки, выложена в открытый доступ под MIT. Их можно поставить за минуту и посмотреть, как я пишу код.
| Пакет | Назначение | Версия | Установок | Подробнее |
|---|---|---|---|---|
| Боты — интерфейс для клиентов и операторов прямо в Telegram. | ||||
| Telegram-bot | Интерактивные Telegram-боты на маршрутах Laravel и Blade-шаблонах | 1.3.3 | 961 | |
composer require it-healer/laravel-telegram-bot | ||||
| Криптовалюты — строительные блоки обменников и кошельков: HD-кошельки, депозиты с вебхуками, отправка, балансы. | ||||
| Tron | TRX и TRC-20: HD-кошельки, приём депозитов, выплаты | 1.9.2 | 557 | |
composer require it-healer/laravel-tron | ||||
| EVM | Любые EVM-сети: Ethereum, BSC, Polygon, Arbitrum, Base | 1.11.0 | 405 | |
composer require it-healer/laravel-evm | ||||
| Ethereum | ETH и ERC-20: HD-кошельки, приём и вывод средств | 1.9.0 | 433 | |
composer require it-healer/laravel-ethereum | ||||
| Bitcoin | BTC: кошельки на своей ноде или лёгкий режим без ноды | 2.5.0 | 538 | |
composer require it-healer/laravel-bitcoin | ||||
| Litecoin | LTC: приём платежей и автоматические выплаты | 1.0.0 | 0 | |
composer require it-healer/laravel-litecoin | ||||
| Monero | XMR: приём платежей и выплаты через Monero Wallet RPC | 1.1.1 | 483 | |
composer require it-healer/laravel-monero | ||||
≈ 3 377 установок с Packagist · данные на 30 октября 2026 г. · все пакеты it-healer
Сводки
Бюллетень безопасностиКороткие разборы для владельцев обменников и финтеха: что происходит с безопасностью и что с этим делать — без кода атак и без паники.
| Дата | Тема | Чтение |
|---|---|---|
| 30.10.2026 | Две критические дыры в ядре PHP: почему обновляться нужно в тот же день | 6 мин |
| 29.10.2026 | SQL-инъекции: как в 2026-м всё ещё воруют базы | 6 мин |
| 28.10.2026 | Подмена Referer, Host и X-Forwarded-For: почему нельзя верить заголовкам | 6 мин |
| 27.10.2026 | Как чаще всего взламывают сайты: семь дверей, которые забывают закрыть | 7 мин |
| 26.10.2026 | Как чаще всего крадут криптовалюту: от сид-фразы до горячего кошелька обменника | 7 мин |
Оборудование
Рабочий стек- Backend
- PHP
- Laravel
- Node.js
- Nest.js
- Express
- Frontend
- Vue
- Nuxt
- TypeScript
- Данные
- PostgreSQL
- MySQL
- Redis
- Mobile
- Capacitor
- React Native
- Swift
- Kotlin
- PWA
- Инфра
- Linux
- nginx
- Docker
- Ноды BTC/EVM
Контакт
Посадка открытаОтвечаю лично. Опишите задачу в двух предложениях — остальное спрошу сам.