Drift-Aware Incremental Clustering for Cryptocurrency Rug-Pull Detection: An Empirical Comparison Against Periodic-Retrain Baselines on Real Ethereum Data

Resumen Técnico: Agrupamiento Incremental Consciente de la Deriva para la Detección de "Rug-Pulls" en Criptomonedas

Planteamiento del Problema
Los "rug pulls" de criptomonedas, donde los desarrolladores abandonan proyectos y retiran la liquidez tras atraer inversión, representan una forma persistente y costosa de fraude en las Finanzas Descentralizadas (DeFi). Si bien los enfoques de aprendizaje automático para la detección han avanzado desde clasificadores supervisados con ingeniería de características hacia redes neuronales de grafos temporales, estos suelen depender de un paradigma de reentrenamiento periódico. En este paradigma, los modelos se entrenan con datos etiquetados y se despliegan hasta un reentrenamiento programado, careciendo de un mecanismo explícito y de operación continua para detectar cuándo la frontera de decisión subyacente ha sufrido una deriva entre ciclos. Esto refleja un modo de fallo bien documentado en la inteligencia de amenazas de malware, donde los adversarios adaptan sus tácticas más rápido de lo que los ciclos de actualización periódica pueden acomodar. Este artículo investiga si el agrupamiento incremental consciente de la deriva de concepto (concept-drift-aware incremental clustering), una técnica establecida en la detección de variantes de malware, puede transferirse eficazmente al dominio de los rug-pulls de criptomonedas para proporcionar ventajas de estabilidad o precisión sobre el reentrenamiento periódico estándar.

Metodología
El estudio utiliza un subconjunto temporalmente higiénico del conjunto de datos TM-RugPull, que comprende 629 proyectos de tokens de Ethereum ordenados cronológicamente (327 estafas, 306 normales). El conjunto de características consiste en cuatro métricas de comportamiento on-chain con transformación logarítmica: recuento de transacciones, ratio de concentración de tokens por poseedor, varianza total y la varianza de los poseedores con más del 1% de los tokens.

Se implementaron y compararon dos paradigmas de detección distintos:

1. Agrupamiento Incremental Consciente de la Deriva: Adaptado directamente de la literatura de detección de variantes de malware, este motor no supervisado siembra dos "arquetipos" iniciales de grupos (benigno y malicioso) a partir de una muestra de inicio en caliente (warm-start). Asigna los proyectos no etiquetados subsiguientes al centroide más cercano si están dentro de un umbral de distancia (assign_radius), actualizando los centroides de forma incremental. Los proyectos que caen fuera de este umbral se acumulan en grupos pendientes; una vez que se alcanza un tamaño de grupo mínimo (min_new_cluster_size), se forma un nuevo grupo y se tipifica según su proximidad a los centroides existentes. Esto permite actualizaciones continuas sin esperar a reentrenamientos programados.
2. Línea Base de Reentrenamiento Periódico: Un clasificador Random Forest, que representa los enfoques supervisados estándar con ingeniería de características, que fue reentrenado periódicamente a medida que se disponía de nuevos datos etiquetados, sujeto a un retraso de reporte de etiquetas de 90 días para modelar los retrasos de confirmación del mundo real.

Protocolo de Evaluación y Rigor
Un aspecto crítico de la metodología fue el estricto protocolo de evaluación cronológico de "no mirar hacia adelante" (no-lookahead) diseñado para prevenir la fuga de hiperparámetros (hyperparameter tuning leakage). Los datos se dividieron en un periodo de inicio en caliente, un periodo de validación (exclusivamente para la selección de hiperparámetros mediante búsqueda de cuadrícula o grid search) y un periodo de prueba reservado. El estudio descartó explícitamente una evaluación inicial que seleccionaba hiperparámetros contra los datos de prueba finales, ya que producía resultados inflados que favorecían el enfoque de agrupamiento. Para asegurar la robustez, el protocolo corregido se aplicó a través de cinco puntos de división cronológicos independientes (fracciones de inicio en caliente que van de 0.15 a 0.35).

Resultos Clave
Contrario a la hipótesis de que el agrupamiento consciente de la deriva superaría al reentrenamiento periódico en un panorama de amenazas en evolución, los resultados empíricos en datos reales de Ethereum indican lo opuesto para este conjunto de características específico:

• Precisión (Accuracy): La línea base de reentrenamiento periódico logró un F1-score medio marginalmente superior (0.891, std 0.008) en comparación con el enfoque de agrupamiento consciente de la deriva (0.873, std 0.014) a través de las cinco divisiones.
• Estabilidad: La línea base fue sustancialmente más estable, exhibiendo una varianza mucho menor en la precisión (std 0.015) en comparación con el método de agrupamiento (std 0.064). La precisión del enfoque de agrupamiento varió significamente a través de los periodos de tiempo (oscilando entre 0.757 y 0.937).
• Compensaciones (Trade-offs): El enfoque de agrupamiento demostró una ventaja distintiva al reducir la tasa de falsos positivos (FPR más bajo) en varias divisiones, pero esto tuvo como costo una reducción y menor estabilidad en la exhaustividad (recall).
• Validación Sintética: Un piloto sintético preliminar confirmó que el mecanismo de agrupamiento podía mantener una exhaustividad perfecta a medida que los comportamientos maliciosos evolucionaban para imitar a los benignos, mientras que la exhaustividad de la línea base periódica colapsaba. Sin embargo, este comportamiento sintético no se tradujo en un rendimiento superior en el conjunto de datos del mundo real bajo el protocolo corregido.

Significancia y Reivindicaciones
El artículo posiciona su contribución no como una afirmación de superioridad en la precisión de la clasificación (notando que herramientas de vanguardia como TokenScout y CRPWarner ya logran resultados sólidos), sino como una prueba empírica controlada de una transferencia metodológica específica: de la inteligencia de amenazas de malware a la detección de fraude on-chain.

Los autores sostienen un resultado de tendencia "negativa" pero mecánicamente fundamentado: bajo el conjunto de características estudiado y las condiciones de evaluación, la transferencia explícita de agrupamiento incremental consciente de la deriva no proporciona una ventaja medible de estabilidad o precisión sobre el reentrenamiento supervisado periódico. El artículo argumenta que el requisito del motor de agrupamiento de un número mínimo de puntos corroborantes para comprometerse con un nuevo grupo de comportamiento suprime los falsos positivos, pero introduce sensibilidad al volumen de proyectos que llegan dentro de periodos de tiempo específicos, lo que conduce a la varianza observada.

El estudio concluye motivando tres direcciones específicas para trabajos futuros en lugar de declarar el enfoque obsoleto:

1. Utilizar características de comportamiento más ricas y estructuradas en grafos en lugar de agregados escalares.
2. Emplear una optimización de hiperparámetros más fundamentada (por ejemplo, optimización bayesiana) más allá de las búsquedas de cuadrícula toscas.
3. Realizar comparaciones directas contra líneas base de aprendizaje de grafos temporales, que siguen siendo la cuestión central de viabilidad para esta dirección de investigación.

En última instancia, el artículo sirve como un ejemplo metodológico de cautela, ilustrando con qué facilidad pueden sesgarse las evaluaciones de las nuevas técnicas de detección de deriva y enfatizando la necesidad de protocolos de división cronológica libres de fugas en la investigación de inteligencia de amenazas de blockchain.