-Нужно проверять ответы от платежных систем по ip. Обычно в документации ip указывают, если нет, то писать в поддержку и уточнять.
-Проверять тип валюты, которая к вам заходит. Например, у Perfect Money есть euro и usd. При оплате заявки, клиент может принудительно изменить в адресной строке параметры, при которых оплата уйдет не с евро счета, а с usd и естественно в этом случае вы будете в минусе.
-Выставить настройки в апи, которые позволяют идентифицировать с 100% что это вы делаете обращение на перевод.
-Безопасность хранения данных и финансов. Максимлаьно ограничит доступ к паролям и логинам платежных систем. Выставить масимальные настройки безопасности в самих платежных системах (двухфактораня авторизация, ограничение доступа по ip и пр.).
-Максиально ограничить доступ к административной панели обменника (ip, максимальная сложность пароля, нетривальный адрес входа в панель для админа, контрольные слова, контрольные пароли для создания перевода через админку).
-Антифрод. Необходимо обращать внимание на входящие платежи от клиентов, желательно хотя-бы частично на автоматическом уровне, потому что если вам заходят грязные деньги, особенно это касается qiwi, яндекс и банковских переводов, то вы рискуете быть заблокированными и потерять средства.
-Использовать несколько счетов. Рано или поздно вы столкнетесь с блокировой счета, поэтому конечно должна быть возможность быстро перейти на другой и выполнить обязателсва перед клиентами. Касается прежде всего qiwi, приват24.
-Важно иметь оперативную связь с платежными системами для решения проблем.
-Продумать ддос защиту. Примерно 90-95% ддос атак могут быть отбиты при помощи серивса cloudflaer.com на минимальном платном тарифе, для остальных 5-10 % нужно иметь всегда под рукой или гармотного админа или более серьезную защиту на уровне хостера. Вменямые решения на уровне хостера, как правило, очень дорогие, но могу помочь в этом плане (писать в ЛС).
-Если вы планируете заниматься Webmoney, то это должен быть отделный сайт, с абсолютно другим доменным именем, дизайном и счетами, чем сайт на котором вы будете менять запрещенные к обмену с Webmoney валюты (список валют). Whois данные также нужно скрыть.
-Для успешной работы вам таке скорее всего прийдется в движке разрабатывать робота, который будет следить за курсами в автоматическом режиме. Лучше робота, который сможет следить за изменениями курсов конкурентов на мониторингах и устанавливать курс лучше.
В поддержке должны работать проверенные и грамотные люди.
