Взломать всё как сильные мира сего используют уязвимости систем в своих интересах

17

Хакинг в банковском деле

Многие процедуры, которые мы сегодня считаем обычной составляющей банковского дела, появились как хаки, когда различные влиятельные игроки пытались обойти правила, ограничивающие их поведение и прибыль. Я обращаю на это внимание не ради критики. Хакинг — реальный способ заставить правительство пересмотреть и обновить правила в этой сфере.

На протяжении большей части ХХ в. Федеральная резервная система регулировала банковскую деятельность в США с помощью так называемого положения Q*. Принятое в 1933 г. после Великой депрессии, Положение Q регулировало такие вещи, как потолок процентных ставок по разным видам счетов

иставок для индивидуальных и корпоративных клиентов. Положение Q — это мера безопасности. До его введения

банки конкурировали друг с другом, предлагая клиентам высокие процентные ставки по вкладам. Такая конкурен-

*Положение Q — это правило Совета управляющих Федеральной резервной системы (FRB), которое устанавливает «минимальные требования к капиталу и стандарты достаточности капитала для учреждений, регулируемых советом директоров». Было создано в 1933 г. в соответствии с законом Гласса–Стиголла с целью запретить банкам выплачивать проценты по депозитам на текущих счетах. — Прим. ред.

102

17. Хакинг в банковском деле

ция побуждала банки рисковать, чтобы заработать на этих вкладах. Ограничения положения Q снижали системный банковский риск.

Более 40 лет эта система работала, но в 1970-х гг. процентные ставки резко выросли, и банки стали отчаянно искать способы обойти положение Q и предложить более высокие процентные ставки по депозитам, чтобы они могли конкурировать с другими видами инвестиций. В начале 1970-х гг. одним из таких способов стал счет NOW* — счет с обращающимся приказом об изъятии средств, сочетающий возможности текущего счета для осуществления платежей и снятия денег посредством приказов (чеков) и депозита, на нем деньги замораживаются на определенный срок, после которого выплачиваются проценты. Счета NOW внешне выглядели как процентные депозитные счета, но технически являлись обычными текущими счетами.

Нам известно имя хакера, который изобрел счета NOW, — это Рональд Хаселтон, президент и исполнительный директор Consumer Savings Bank в Вустере, штат Массачусетс. Говорят, что Хаселтон услышал, как клиентка спросила, почему она не может выписывать чеки со своего сберегательного счета. Он тоже задался этим вопросом и взломал правила положения Q, чтобы создать, по сути, первый процентный расчетный счет.

Современные депозитные сертификаты** — это еще один пример инновационного банковского хака. Хакерский ход заключался в привлечении дилера по ценным бумагам

*Аббревиатура NOW (англ.) от «negotiable orders of withdrawal». Вид счетов, предполагающий как начисление процентов, так и выписку чеков, — нечто среднее между сберегательным и расчетным счетами. —

Прим. ред.

**Депозитный сертификат (англ. Certificate of Deposit, сокр. CD) — именная ценная бумага, удостоверяющая размер внесенной вкладчиком суммы и его право на получение в банке по истечении установленного срока суммы депозита и оговоренных в сертификате процентов. — Прим. пер.

103

Часть III. Хакинг финансовых систем

для создания вторичного рынка депозитных сертификатов, благодаря которому повысилась их привлекательность для корпоративных счетов. Хакеры, придумавшие эту схему, работали в First National City Bank, ныне Citicorp. В 1961 г. банк представил оборотные депозитные сертификаты, по которым выплачивалась более высокая процентная ставка, чем по процентным счетам, а пять лет спустя вывел их на Лондонскую биржу. Вскоре после этого First National City Bank реорганизовался в холдинговую компанию, чтобы избежать банковского регулирования, которое не позволяло ему выпускать депозитные сертификаты по более высоким ставкам. Конгресс исправил ситуацию, внеся в 1956 г. поправки в закон о банковских холдинговых компаниях, в соответствии с которыми регулирование деятельности таких компаний было возложено на Совет Федеральной резервной системы.

К банковским хакам середины XX в. относятся также фонды денежного рынка и евродолларовые счета, созданные для обхода ограничений на процентные ставки, предлагаемые по более традиционным видам счетов.

Все эти хаки стали нормой либо благодаря тому, что регулирующие органы решили не закрывать лазейки, либо благодаря тому, что конгресс прямо узаконил их, как только стали накапливаться жалобы регулирующих органов. Например, счета NOW были легализованы69 сначала в Массачусетсе и Нью-Хэмпшире, затем в Новой Англии в целом и, наконец, в 1980 г. по всей стране. Многие другие ограничения, наложенные законом о банковских холдинговых компаниях, были отменены с принятием в 1994 г. закона Ригла–Нила, разрешающего проведение банковских операций между штатами и повышающего эффективность филиальных сетей банков. Все это стало частью большой волны банковского дерегулирования, которая продолжалась вплоть до 2000-х гг.

С этой моделью мы будем встречаться снова и снова70. Сначала правительство сдерживает банкиров посредством

104

17. Хакинг в банковском деле

регулирования, чтобы ограничить объем ущерба, который они могут нанести экономике. Но правила регулятора также ограничивают и прибыль банкиров, поэтому они борются

сними. Банкиры хакают эти правила с помощью трюков, которых регуляторы не предвидели и специально не запрещали, и строят вокруг них прибыльный бизнес. Затем они делают все возможное, пытаясь повлиять на регуляторов и на само правительство, чтобы власть разрешила и нормализовала их взломы. Побочный эффект такого процесса — дорогостоящие финансовые кризисы, которые затрагивают население в целом.

Взломы продолжаются и сегодня. Закон Додда–Франка о реформировании Уолл-стрит и защите прав потребителей, принятый в 2010 г. после мирового финансового кризиса 2008 г., должен был стать масштабной реформой системы финансового регулирования. Этот закон включал в себя целый ряд банковских правил, призванных обеспечить большую прозрачность, снизить системные риски и избежать очередного финансового краха. В частности, закон регулировал деривативы, которыми часто злоупотребляли и которые стали одним из главных факторов финансового кризиса 2008 г.

Однако закон Додда–Франка был полон уязвимостей. Банки немедленно привлекли своих юристов к поиску лазеек, которые позволили бы обойти цель закона — и к черту риски для экономики. Первым делом они ухватились за конкретную формулировку, исключающую иностранную деятельность, если только она не имеет «прямой и существенной связи

сдеятельностью или торговлей в США». Как только эта уязвимость была закрыта, банкиры обошли определение зарубежного «филиала», назвав филиалы «отделениями». Это тоже проработало недолго. Наконец они зацепились за слово «гарантия». По сути, все иностранные деривативы были гарантированы американской материнской компанией, а это означало, что именно она покроет убытки, если что-то

105

Часть III. Хакинг финансовых систем

случится с зарубежными филиалами. Просто убрав слово «гарантия» и другие эквивалентные термины из своих контрактов, они могли избежать регулирования.

К концу 2014 г. банки перевели 95% своих сделок со свопами в офшоры71, в более мягкие юрисдикции, в очередной раз избегая регулирования по Додду–Франку. В 2016 г. Комиссия по торговле товарными фьючерсами попыталась закрыть эту лазейку. Она постановила, что свопы не могут быть отправлены за границу, чтобы обойти требования закона Додда–Франка, и что как гарантированные, так и негарантированные свопы должны покрываться материнской компанией. Но, увы, новое правило не успели доработать до того, как Трамп вступил в должность президента, а назначенный им председатель комиссии так и не довел дело до конца.

Другие хаки были связаны с правилом Уолкера, еще одной составляющей закона Додда–Франка, которая запрещает банкам осуществлять определенные инвестиционные операции на собственных счетах и одновременно ограничивает их взаимодействие с хедж-фондами и фондами прямых инвестиций. Банки быстро поняли, что они могут обойти это правило, если деньги поступают не с их собственных счетов. Они стали создавать различные партнерства и инвестировать через них. Это правило было отменено при администрации Трампа, в результате чего необходимость во многих хаках просто отпала. Наконец, банки поняли, что могут обойти все правила Додда–Франка, касающиеся «торговых счетов», заявив, что они предназначены для некой деятельности, которую они назвали «управление ликвидностью».

Банковские хаки иллюстрируют еще одну вещь, которую мы будем наблюдать неоднократно. Отношения банков и регулирующих органов напоминают бесконечную игру в кошки-мышки. Перед регуляторами стоит задача ограничить безответственное, агрессивное, коррумпированное поведение. Банки заинтересованы в том, чтобы заработать

106

17. Хакинг в банковском деле

как можно больше денег. Эти две цели противоположны друг другу, поэтому банки взламывают систему регулирования при любой подходящей возможности. Если какой-то банк вдруг решит этого не делать, он будет быстро задавлен конкурентами, продолжившими играть в кошки-мышки.

Очевидное решение проблемы с точки зрения безопасности — исправление — сдерживается агрессивным стремлением отрасли к нормализации (изменению самих норм). Она достигается за счет лоббирования, а также захвата регулятора. Тенденция, когда над регулирующим органом начинает доминировать отрасль и он начинает работать на нее, а не на общественные интересы, весьма распространена. Банковская отрасль также прибегает к хакингу самого законодательного процесса. С 1998 по 2016 г. индустрия финансовых услуг потратила $7,4 млрд на лоббирование72, причем только банки потратили не менее $1,2 млрд.

Если исправления не являются жизнеспособным решением, мы должны найти уязвимости до того, как они будут взломаны, и, что еще более важно, до того, как они укоренятся

вбазовой системе и лоббисты начнут настаивать на их нормализации. В финансовых системах государственные органы могли бы объединить усилия, наняв бухгалтеров и юристов для изучения систем по мере их развития и совершенствования нормативных актов, пока те находятся в стадии разработки.

Некоторые страны73, в том числе Соединенные Штаты, по крайней мере для ряда агентств, уже занимаются подобными вещами, вынося на публичное обсуждение нормативные акты, находящиеся в стадии разработки. Идея заключается

втом, чтобы таким образом выявлять способы, с помощью которых правила могут быть взломаны уже сейчас или

вближайшем будущем благодаря ожидаемым технологиям, а затем сразу вносить исправления в текст. Это не устраняет проблем захвата регуляторов или законодательного лоббирования, но по крайней мере могущественные хакеры

107

18

Хакинг финансовых бирж

Фондовые рынки, товарные биржи и другие финансовые торговые системы тоже давно созрели для взлома. Точнее сказать, они были подарком для хакеров с самого своего появления, но компьютеризация и автоматизация торговли сделали проблему еще более острой.

Хакеры в этой сфере нацелены прежде всего на информацию. Когда финансовая биржа работает так, как надо, трейдеры, располагающие более полной информацией, добиваются лучших результатов, поскольку покупают по низким ценам, а продают на пике. Хакеры подрывают этот механизм двумя основными способами. Во-первых, они используют еще не опубликованную информацию, чтобы заключать выгодные сделки раньше других. Во-вторых, они распространяют дезинформацию, которая движет рынком, а затем заключают прибыльные сделки до того, как все остальные поймут, что их обманули. Оба этих способа подрывают принцип справедливого рынка, который состоит в том, что инвесторы имеют равный доступ к рыночной информации.

Наиболее очевидным взломом первого типа является инсайдерская торговля, попавшая под недвусмысленный запрет уже настолько давно, что перестала быть хаком. Как правило,

109

Часть III. Хакинг финансовых систем

инсайдерская торговля подразумевает покупку или продажу ценной бумаги на основе непубличной информации. Трейдером может быть финансовый директор, который располагает данными о продажах своей компании до их раскрытия, пиарщик, пишущий финансовый отчет, или работник типографии, читающий этот отчет до его публикации. Вред от инсайдерской торговли двоякий: во-первых, осуществляют ее за счет всех остальных участников рынка, не владеющих важной информацией, и, во-вторых, она подрывает доверие

ксправедливости рыночной системы.

ВСША инсайдерская торговля была криминализирована в 1934 г. законом о ценных бумагах и биржах, подтвержденным и уточненным на протяжении многих лет решениями Верховного суда США. В 2021 г. три человека были обвинены в инсайдерской торговле74 за покупку акций компании Long Island Iced Tea Co. незадолго до того, как она сменила название на Long Blockchain Co. без какой-либо иной причины, кроме как желания заработать на ажиотаже вокруг блокчейна. Правило, которое просуществовало так долго, является ярким примером успешного системного патча.

Действительно, то, что эти запреты пережили почти 90 лет хакерских атак и инертности регуляторов, впечатляет. Если из этого и можно извлечь какой-то урок, то он заключается в том, что широкое правило позволяет создать более надежный, адаптируемый и устойчивый режим регулирования. Простота правила сводит к минимуму уязвимости в структуре закона. (Мы видели, насколько оказался уязвимым сложный закон Додда–Франка.) По словам бывшего председателя Комиссии по ценным бумагам и биржам (SEC) Артура Левитта, «высокая конкретизация даст юридическому сообществу различные способы обойти эти особенности. SEC и министерство юстиции специально хотят добиться расплывчатости этих законов75, чтобы иметь максимальное количество рычагов для возбуждения дел». Правила инсай-

110