Drift-Aware Incremental Clustering for Cryptocurrency Rug-Pull Detection: An Empirical Comparison Against Periodic-Retrain Baselines on Real Ethereum Data

기술 요약: 암호화폐 러그풀 탐지를 위한 드리프트 인지형 점진적 클러스터링

문제 정의
개발자가 프로젝트를 버리고 투자금을 회수하는 암호화폐 "러그풀(rug pulls)"은 탈중앙화 금융(DeFi) 사기의 지속적이고 비용이 많이 드는 형태이다. 머신러닝 기반의 탐지 방식이 특징 공학 기반의 지도 학습 분류기에서 시계열 그래프 신경망으로 발전해 왔음에도 불구하고, 이러한 방식들은 대개 주기적 재학습 패러다임에 의존한다. 이 패러다임에서는 모델이 레이블이 지정된 데이터로 학습된 후 예정된 재학습 시점까지 배포되는데, 이는 주기 사이의 간극에서 근본적인 결정 경계가 어떻게 변화(drift)하는지를 감지하는 명시적이고 지속적으로 작동하는 메커니즘이 결여되어 있다. 이는 공격자가 주기적인 업데이트보다 더 빠르게 전술을 적응시키는 악성코드 위협 인텔리전스에서 잘 알려진 실패 사례와 유사하다. 본 논문은 악성코드 탐지 분야에서 확립된 기술인 '드리프트 인지형 점진적 클러스터링(concept-drift-aware incremental clustering)'이 표준적인 주기적 재학습 방식에 비해 안정성이나 정확도 측면에서 우위를 제공할 수 있는지, 암호화폐 러그풀 도메인으로 효과적으로 전이될 수 있는지를 조사한다.

방법론
본 연구는 629개의 시간 순서대로 정렬된 이더리움 토큰 프로젝트(사기 327개, 정상 306개)로 구성된 TM-RugPull 데이터셋의 시간적 위생성이 확보된 하위 집합을 활용한다. 특징 세트는 로그 변환된 네 가지 온체인 행동 지표인 거래 횟수, 홀더당 토큰 집중도 비율, 총 분산, 그리고 1% 이상의 토큰을 보유한 홀더들의 분산으로 구성된다.

두 가지 구별되는 탐지 패러다임이 구현 및 비교되었다:

1. 드리프트 인지형 점진적 클러스터링: 악성코드 변종 탐지 문헌에서 직접 채택한 이 비지도 학습 엔진은 웜 스타트(warm-start) 샘플로부터 두 개의 초기 "원형(archetype)" 클러스터(정상 및 악성)를 생성한다. 이후의 레이블 없는 프로젝트들을 가장 가까운 중심점(centroid)에 할당하되, 거리 임계값(assign_radius) 이내에 있는 경우 중심점을 점진적으로 업데이트한다. 이 임계값을 벗어난 프로젝트들은 대기 그룹에 축적되며, 최소 그룹 크기(min_new_cluster_size)에 도달하면 새로운 클러스터가 형성되고 기존 중심점과의 근접성에 따라 유형이 결정된다. 이를 통해 예정된 재학습을 기다리지 않고도 지속적인 업데이트가 가능하다.
2. 주기적 재학습 베이스라인: 특징 공학 기반의 지도 학습 접근 방식을 대표하는 랜덤 포레스트(Random Forest) 분류기로, 실제 확인 지연을 모델링하기 위해 90일의 레이블 보고 지연 시간을 적용하여 새로운 레이블 데이터가 가용해질 때마다 주기적으로 재학습되었다.

평가 프로토콜 및 엄밀성
방법론의 핵심적인 측면은 하이퍼파라미터 튜닝 누수(leakage)를 방기하기 위해 설계된 엄격한 시계열적 "노-룩어헤드(no-lookahead)" 평가 프로토콜이었다. 데이터는 웜 스타트 기간, 검증 기간(오직 그리드 서치를 통한 하이퍼파라미터 선택용), 그리고 홀드아웃(held-out) 테스트 기간으로 분할되었다. 본 연구는 최종 테스트 데이터에 대해 하이퍼파라미터를 선택하여 클러스터링 방식에 유리하게 부풀려진 결과를 초래했던 초기 평가를 명시적으로 폐기하였다. 견고성을 보장하기 위해, 수정된 프로토로콜을 다섯 개의 독립적인 시계열 분할 지점(웜 스타트 비율 0.15 ~ 0.35 범위)에 걸쳐 적용하였다.

주요 결과
드리프트 인지형 클러스터링이 진화하는 위협 환경에서 주기적 재학습보다 뛰어날 것이라는 가설과 달리, 실제 이더리움 데이터를 대상으로 한 실증 결과는 이 특정 특징 세트에 대해 반대의 결과를 나타냈다:

• 정확도: 주기적 재학습 베이스라인은 다섯 번의 분할에 걸쳐 클러스터링 방식(평균 F1-score 0.873, 표준편차 0.014)보다 약간 더 높은 평균 F1-score(0.891, 표준편차 0.008)를 달려냈다.
• 안정성: 베이스라인은 클러스터링 방식(표준편차 0.064)에 비해 훨씬 낮은 정밀도(precision) 변동성(표준편차 0.015)을 보이며 현저히 더 안정적이었다. 클러스터링 방식의 정밀도는 시간대에 따라 크게 변동하였다(0.757 ~ 0.937 범위).
• 트레이드오프: 클러스터링 방식은 여러 분할에서 거짓 양성률(FPR)을 낮추는 데 뚜렷한 이점을 보였으나, 이는 재현율(recall)의 저하와 불안정성이라는 대가를 치렀다.
• 합성 데이터 검증: 예비 합성 파일럿 실험은 악성 행동이 정상 행동을 모방하도록 진화할 때 클러스터링 메커니즘이 완벽한 재현율을 유지할 수 있는 반면, 주기적 베이스라인의 재현율은 붕괴됨을 확인했다. 그러나 이러한 합성 데이터에서의 동작은 수정된 프로토콜 하의 실제 데이터셋에서는 우수한 성능으로 이어지지 않았다.

의의 및 주장
본 논문은 자신의 기여를 (TokenScout나 CRPWarner와 같은 최첨단 도구들이 이미 강력한 결과를 달성하고 있음을 인지하며) 단순한 분류 정확도의 우위 주장이 아니라, 악성코드 위협 인텔리전스에서 온-체인 부정 행위 탐지로의 특정 방법론적 전이에 대한 통제된 실증적 테스트로 규정한다.

저자들은 "부정적인 방향을 띠지만" 메커니즘에 근거한 결과를 주장한다: 연구된 특징 세트와 평가 조건 하에서, 드리프트 인지형 점진적 클러스터링의 명시적 전이가 주기적 지도 학습 재학습보다 측정 가능한 안정성이나 정확도 이점을 제공하지 않는다는 것이다. 논문은 클러스터링 엔진이 새로운 행동 클러스터를 확정하기 위해 요구하는 최소한의 입증 포인트가 거짓 양성을 억제하지만, 특정 시간 창 내에 도착하는 프로젝트의 양에 대한 민감도를 유발하여 관찰된 변동성을 초래한다고 주장한다.

본 연구는 해당 접근법을 폐기하는 것이 아니라 다음 세 가지 구체적인 향후 연구 방향을 제시하며 마무리된다:

1. 스칼라 집계값보다는 풍부한 그래프 구조의 행동 특징 활용.
2. 단순한 코스 그리드 서치를 넘어선 더 원칙적인 하이퍼파라미터 최적화(예: 베이지안 최적화) 적용.
3. 시계열 그래프 학습 베이스라인과의 직접적인 비교 수행 (이는 본 연구의 핵심적인 개방형 타당성 문제로 남아 있음).

궁극적으로, 본 논문은 새로운 드리프트 탐지 기술의 평가가 얼마나 쉽게 튜닝 누수에 의해 편향될 수 있는지를 보여주는 주의 깊은 방법론적 사례 역할을 하며, 블록체인 위협 인텔리전스 연구에서 누수 없는 다중 분할 시계열 프로토콜의 필요성을 강조한다.