Каким запомнился VTB API Hackathon и зачем это банку

Привет, Хабр! На связи лидер Платформы API ВТБ Игорь Бессчастный. В преддверии начала нового горячего сезона ИТ-соревнований хочется напомнить о хакатоне, который ВТБ проводит уже 5 лет, а для рынка это совсем не мало!

Хакатоны для нас — не просто формат найма, а рабочий инструмент взаимодействия с сообществом разработчиков и рынком: мы проверяем гипотезы, смотрим, как решаются реальные задачи и понимаем, какие подходы уже готовы к продакшену, а какие — нет. Поэтому ключевой темой юбилейного VTB API Hackathon стал открытый банкинг — подход к управлению личными финансами, к которому рынок идёт уже давно. 

В этой статье мои коллеги — лидеры треков  VTB API Hackathon Александр Галкин, Диана Налегач и Камилла Куликова — расскажут, какие задачи моделировали, какие архитектурные решения видели у команд и почему именно такие задачи сегодня определяют развитие финтеха.

Наш хакатон

Для начала — немного о юбилейном VTB API Hackathon, который прошел при поддержке Банка России и Ассоциации ФинТех. В этом году к нам также присоединились коллеги из Альфа-Банка, Т-Банка, Совкомбанка, Райффайзенбанка. Масштаб хакатона получился показательным: более 1500 специалистов из 150 городов России, 451 команда и три технологических трека с разным фокусом, от пользовательских сервисов до enterprise-инфраструктуры.

Теперь подробнее о каждом направлении.

Мультибанк: единый интерфейс финансового сервиса. Пользователи уже живут в мультибанковском сценарии — почти у каждого из нас на телефоне больше одного банковского приложения. Пока все ждут наступления эры открытого банкинга на российском рынке, кажется, что сейчас самое время исследовать и экспериментировать с тем, каким могло быть приложение-единый интерфейс для работы со своими финансами сразу в нескольких банках. Задача трека была — создать мультибанковское решение, которое объединит данные из разных приложений в одном источнике. Для юзера — быстрый доступ к единой финансовой картине, для бизнеса — понятный путь к монетизации продукта. 

Защита API: автоматический анализ уязвимостей. API растут и усложняются, растёт и количество уязвимостей. Здесь участники разрабатывали инструменты автоматического анализа безопасности и корректности API, ориентированные на использование в реальных CI/CD-конвейерах. 

«Оркестр» из API: анализ и тестирование бизнес-процессов с применением ИИ. Современные цифровые сервисы построены на сложных цепочках вызовов API, но тестировать эти цепочки долго и трудно. И в этом треке участники создавали решения для автоматического анализа и сквозного тестирования бизнес-процессов на основе BPMN и OpenAPI.

Объединяющая идея всех треков на VTB API Hackathon — максимальная близость к реальным условиям рынка

Нам важно, чтобы участники, молодые специалисты, понимали, что сейчас актуально и необходимо в финтехе. Мы оценивали не просто работоспособные прототипы, а решения, в которых:

• применяются API-подход и стандарты индустрии,

• видна зрелая архитектура,

• корректно используются наши открытые API,

• проработаны UX и безопасность,

• заложена масштабируемость,

• практикуется продакшн-подход,

• есть реальная пользовательская ценность.

За две недели участники представили 120 решений, 62 проекта вышли в полуфинал, а 32 — в финал. В полуфинале и финале участники защищали работы перед экспертами банка, Ассоциации ФинТех и индустриальными архитекторами. По итогам отбора призовой фонд в 2 млн рублей разделили девять команд. Дополнительно по 200 тысяч рублей получили проекты «Кибер-Лига» и PHOENIX в специальных номинациях — за нестандартные продуктовые идеи, выходящие за рамки классических банковских сценариев: оплату при недостатке средств и систему семейного банкинга. 

Мультибанк

Александр Галкин, лидер трека

Идея мультибанковского приложения не новая — рынок к ней шел давно. Но именно к 2025 году стало очевидно, что это уже не эксперимент и не «концепт на будущее», а практическая необходимость.

Пользовательская реальность давно мультибанковская. Зарплата — в одном банке, кредит — в другом, инвестиции — в третьем. Деньги постоянно перемещаются между системами, а финансовая картина в итоге остается фрагментированной. Пользователю сложно управлять бюджетом, банкам — персонализировать предложения, рынку — строить сервисы поверх целостных данных.

Работая с открытыми API и хакатонами, мы много лет наблюдаем одну и ту же проблему: разработчики хотят создавать сервисы на основе банковских данных, но упираются в инфраструктуру. Каждый банк — отдельный контур, собственные форматы, свои ограничения. В таких условиях собрать сквозной пользовательский сценарий — нетривиальная инженерная задача.

Когда мы в 2024 показали пилот мультибанка, стало очевидно: единый интерфейс — это не идея на будущее, а вполне рабочий сценарий. И вопрос сейчас не в том, появится ли единый интерфейс, а в том, кто станет для клиента основным финансовым приложением. Борьба идёт не за владение клиентом, а за то, кому он доверит управлять своими финансами. В будущем клиенты будут принимать решения именно внутри мультибанковских приложений. А банки будут конкурировать за пользователей удобством и пользой своего сервиса, без преимуществ для тех, у кого больше данных. И предлагать продукты, видя общую финансовую картину клиента.

Хакатон — удобный формат, чтобы попробовать разные архитектурные и продуктовые подходы к мультибанку и в максимально приближенных к реальности условиях. Мы предложили участникам разработать решение, которое может:

• агрегировать счета, карты и транзакции, 

• давать финансовые советы или прогнозировать расходы,

• предлагать продукты разных банков,

• работать через безопасную аутентификацию (OAuth 2.0 / OIDC),

• масштабироваться под десятки новых банков.

При этом нам не нужен был от приложения ещё один график трат — такая функция есть почти в каждом банковском приложении. Мы ждали сервис, который объединит данные из разных банков, покажет полную картину финансов пользователю и поможет в принятии решений: где выгоднее держать средства, куда переводить деньги, какие продукты лучше подойдут под конкретные цели. То есть будет работать в интересах клиента, а не конкретного банка. Результаты нас не разочаровали — сильные проекты ушли именно в сторону умных сценариев, а не просто отображения данных.

Победитель трека: SoloTech (РТУ МИРЭА) — классический мультибанк нового поколения с интегрированным интеллектуальным советником.

Ребята реализовали классический мультибанк нового поколения с интегрированным интеллектуальным советником. За две недели они собрали то, что в обычных условиях требует месяцев R&D: гибкую архитектуру, понятный UX и работающую аналитику.

Задачей со звёздочкой стало применение в приложении ГОСТ-шлюза. ГОСТ — неизбежная реальность российского финтеха. Можно собрать прототип на упрощенных схемах, но как только речь заходит о реальном внедрении, сразу появляются требования по безопасности, криптографии и регуляторике. Мы сознательно закладывали эти ограничения в условия трека.

Благодаря этому у нас команды работали сразу с архитектурой, похожей на боевую, с учетом безопасности на старте. А нам было видно, где будут реальные сложности при внедрении.

Еще подробнее об этом треке, инсайтах со всего хакатона и личном вкладе читать тут (с тут ссыль ведет на https://habr.com/ru/companies/vtb/articles/985546/ ).

Защита API

Диана Налегач, лидер трека

API становятся основой сервисов — и одновременно главной зоной риска. Актуальность задачи подогрета реальными инцидентами, достаточно вспомнить громкие истории компаний DELL, Twilio, Trello. Уязвимости вроде BOLA, инъекций или ошибок аутентификации всё чаще приводят к инцидентам. В ответ банки ужесточают требования: контракт-тестирование, обязательная валидация OpenAPI, сканирование на BOLA/IDOR. 

Проблема в том, что готовые инструменты редко идеально ложатся на инфраструктуру конкретной компании. Где-то не хватает гибкости, где-то — прозрачности, где-то — возможности встроиться в существующий CI/CD. Поэтому всё чаще организации предпочитают не подстраиваться под инструмент, а создавать или дорабатывать решения под себя.

Именно эту реальность мы и моделировали в треке «Защита API». Участникам нужно было разработать инструмент, который:

• анализирует поведение API по URL или по спецификации OpenAPI/Swagger,

• выявляет уязвимости из OWASP API Top 10,

• валидирует контракт API,

• генерирует отчет с приоритезацией проблем,

• интегрируется в CI/CD (например, через CLI или REST API).

Фактически мы предложили написать компактный аналог ZAP, Burp Suite и contract-testing фреймворков, но с фокусом на автоматизацию и промышленное применение. В качестве технологической базы мы выбрали Java 17+ — это компромисс между enterprise-стабильностью и современными возможностями платформы.

Победитель трека: SeagullNest (СПбПУ) — команда, которая подошла к задаче не как к хакатону, а как к продакшн-разработке. 

Их решение не демо, а почти готовый продукт. Инструмент умеет проводить статический анализ OpenAPI, динамическую проверку API, выявлять уязвимости, валидировать контракты и генерировать отчёты. Причём отчётный модуль оказался одним из самых сильных элементов: security-инженер видит технические детали, а менеджер — риски, сформулированные в бизнес-терминах.

Кастомные валидации — ещё одна фишка: можно проверить, например, что в ответе нет СНИЛС или что лимиты перевода соблюдены. А еще впечатлило точное использование AI для фильтрации ложных срабатываний и анализа результатов. По уровню зрелости решение оказалось максимально близким к промышленным системам, которые реально можно интегрировать в корпоративный контур.

«Оркестр» из API

Камилла Куликова, лидер трека

Современные цифровые сервисы редко состоят из одного приложения или одного API. Как правило, это сложные цепочки вызовов: фронт, бэкенд, скоринг, антифрод, платёжные сервисы, внешние интеграции. Всё это объединяется в бизнес-процесс, который на бумаге выглядит логично, а на практике оказывается сложным в тестировании и сопровождении.

Проблема хорошо знакома командам разработки и QA: тестировать такие цепочки долго и дорого. Что нам нужно? Да просто ИИ-система, которая читает BPMN и OpenAPI, сопоставляет их, генерирует тесты и выполняет сквозные проверки. Такую задачу мы предложили решить участникам — и построить веб-приложение, которое:

• получает BPMN-диаграмму бизнес-процесса,

• загружает OpenAPI-описания сервисов,

• выявляет несоответствия и риски с помощью NLP,

• автоматически строит цепочку тестов,

• генерирует осмысленные тестовые данные,

• прогоняет весь процесс и визуализирует ошибки.

Подобный инструмент даст возможность протестировать процессы, существующие пока только в проекте или на бумаге. Например, проанализировать связность процесса, пользовательский путь и время его прохождения для клиента. До запуска бизнес получит понимание возможных нестыковок, багов. 

По сравнению с ручным подходом эффект принципиальный. Несколько специалистов могут анализировать один процесс несколько дней — и всё равно пропустить ошибки на стыках зон ответственности. Автоматизированный инструмент выполняет тот же объём работы за минуты, формируя отчёт с ошибками, уязвимостями и слабым местами процесса. Для бизнеса это напрямую влияет на time-to-market: процессы можно проектировать, проверять и дорабатывать быстрее, а значит — быстрее выводить новые сервисы для клиентов без потери качества.

Решения участников мы оценивали по архитектуре, корректности автоматического сопоставления шагов, качеству визуализации и скорости выполнения тестов. 

Победитель трека: Vtb_api (сборная команда вузов Москвы). 

Ребята реализовали «сквозной тестировщик» с безопасным взаимодействием через ГОСТ-шлюз. 

У команды получился инструмент уровня enterprise-QA, но созданный всего за две недели. 

Решение максимально приблизилось к тем условиям, в которых такие системы будут работать в реальном финтехе. В построении цепочек использовались открытые API на шлюзе с ГОСТ-шифрованием, и это учитывалось при тестировании. Именно такой результат мы и хотели увидеть — инструмент, спроектированный с учетом реальных требований рынка, а не лабораторных условий.

Отдельно отметим команды GG и Data Forge, получившие специальный приз от Ассоциации ФинТех. Они смогут представить свои решения компаниям — участникам Ассоциации.

Почему хакатон важен для рынка

Наш опыт тесной работы с экспертами и понимание зрелости рынка показывают, что отечественный финтех готов к:

• новому поколению продуктов на основе API,

• автоматизации тестирования бизнес-процессов,

• сквозной безопасности на уровне контрактов и CI/CD,

• новым потребительским финтех-сервисам.

Хакатон показал, что открытый банкинг — не абстрактная концепция, а реальный подход, при котором пользователь может получить доступ к счетам из разных банков в одном интерфейсе. В России открытый банкинг развивается с 2022 года по инициативе Банка России, и ВТБ был одним из первых банков, начавших внедрять эти стандарты на практике: мы разрабатываем пилотные решения совместно с другими участниками рынка и тестируем сценарии взаимодействия до масштабного внедрения.

OpenAPI — главный инструмент для воплощения открытого банкинга в реальность. По текущим планам, Уже к 2027 году открытый банкинг может стать обязательным для большинства финучреждений. К этому моменту рынку необходимы единые стандарты безопасности, надежная инфраструктура, которые позволят банкам обмениваться ценными данными без угрозы для пользователей. 

ВТБ участвует в формировании этих стандартов и отвечает за безопасность открытых программных интерфейсов. Сегодня платформа VTB API включает более 3500 открытых интерфейсов, которые уже сейчас используются в пилотах и станут основой для сервисов следующего поколения. В ближайшие годы результаты этой работы затронут миллионы клиентов и всех крупных игроков рынка. Именно поэтому нам важно проверять архитектурные решения и инженерные подходы не в теории, а в практических форматах — таких как хакатоны.

Вместо саммари

VTB API Hackathon 2025 показал, что открытый банкинг в России стремительно приближается к массовому применению. Стандарты OpenAPI уже публикуются и принимаются — в том числе на площадке Ассоциации ФинТех при поддержке Банка России. Мы начали проводить хакатоны по открытым API ещё до того, как это стало мейнстримом, чтобы дать молодым специалистам возможность попробовать решения на практике и оценить реальные ограничения технологий. 

Да, инсайты и конкретные элементы решений победителей хакатона не всегда применимы в масштабах банка уровня ВТБ. Но задачи, которые мы предлагаем участникам, всегда воссоздают модель реальных процессов и ограничения рынка — просто в формате эксперимента. Для нас хакатоны — прежде всего инструмент работы с сообществом молодых технологических талантов, повышения визибилити и создания классной неформальной площадки для взаимодействия с другими участниками рынка.

VTB API Hackathon стал частью экосистемы MORE.Tech, ARCHI.Tech и VTB API Hackathon, где новые поколения разработчиков, аналитиков и исследователей учатся работать с реальными задачами финтеха. Формат хакатона позволяет им лучше понимать индустрию, а нам — налаживать коммуникацию с сообществом и видеть, куда движется рынок.