Drift-Aware Incremental Clustering for Cryptocurrency Rug-Pull Detection: An Empirical Comparison Against Periodic-Retrain Baselines on Real Ethereum Data

Technische Samenvatting: Drift-bewuste Incrementele Clustering voor de Detectie van Rug-pulls in Cryptovaluta

Probleemstelling
Cryptocurrency "rug pulls", waarbij ontwikkelaars projecten verlaten en liquiditeit onttrekken nadat zij investeringen hebben aangetrokken, vormen een hardnekkige en kostbare vorm van DeFi-fraude. Hoewel machine learning-benaderingen voor detectie zijn geëvolueerd van op kenmerken gebaseerde gesuperviseerde classificaties naar temporele graaf neurale netwerken, vertrouwen zij doorgaans op een periodiek hertrainingsparadigma. In dit paradigma worden modellen getraind op gelabelde data en ingezet tot een geplande hertraining, zonder een expliciet, continu opererend mechanisme om te detecteren wanneer de onderliggende beslissingsgrens tussen cycli door is gedrift. Dit weerspiegelt een goed gedocumenteerde faalmodus in malware threat intelligence, waarbij tegenstanders tactieken aanpassen sneller dan periodieke updates kunnen accommoderen. Dit onderzoek onderzoekt of concept-drift-bewuste incrementele clustering, een techniek die gevestigd is binnen de malware-detectie, effectief kan worden overgedragen naar het domein van cryptocurrency rug-pulls om stabiliteits- of nauwkeurigheidsvoordelen te bieden ten opzien van standaard periodieke hertraining.

Methodologie
De studie maakt gebruik van een temporeel hygiënische subset van de TM-RugPull-dataset, bestaande uit 629 chronologisch geordende Ethereum token-projecten (327 scams, 306 normaal). De feature set bestaat uit vier log-getransformeerde on-chain gedragsmetrieken: transactieaantal, tokenconcentratieratio per houder, totale variantie, en de variantie van houders met meer dan 1% van de tokens.

Twee verschillende detectieparadigma's werden geïmplementeerd en vergeleken:

1. Drift-bewuste Incrementele Clustering: Direct aangepast uit de literatuur over malware-variantdetectie, deze unsupervised engine initialiseert twee initiële "archetype" clusters (benigne en kwaadwillig) vanuit een warmstart-sample. Het wijst daaropvolgende ongelabelde projecten toe aan de dichtstbijzijnde centroid als ze binnen een afstandsdrempel (assign_radius falls) vallen, waarbij de centroids incrementeel worden bijgewerkt. Projecten die buiten deze drempel vallen, accumuleren in pendente groepen; zodra een minimale groepsgrootte (min_new_cluster_size) wordt bereikt, wordt een nieuwe cluster gevormd en getypeerd op basis van nabijheid tot bestaande centroids. Dit maakt continue updates mogelijk zonder te wachten op geplande hertraining.
2. Periodieke Hertrainings-baseline: Een Random Forest-classifier, die standaard op kenmerken gebaseerde gesuperviseerde benaderingen vertegenwoordigt, werd periodiek hertraind naarmate nieuwe gelabelde data beschikbaar kwam, rekening houdend met een vertraging van 90 dagen in de rapportage van labels om de realiteit van bevestigingsvertragingen te modelleren.

Evaluatieprotocol en Rigor
Een cruciaal aspect van de methodologie was het strikte, chronologische, "no-lookahead" evaluatieprotocol, ontworpen om lekkage door hyperparameter-tuning te voorkomen. De data werd gesplitst in een warmstart-periode, een validatieperiode (uitsluitend voor hyperparameterselectie via grid search), en een heldere testperiode. De studie verwierp expliciet een initiële evaluatie waarbij hyperparameters werden geselecteerd tegen de uiteindelijke testdata, omdat dit opgeblazen resultaten produceerde die de clustering-benadering bevoordeelden. Om robuustheid te garanderen, werd het gecorrigeerde protocol toegepast over vijf onafhankelijke chronologische splitsingspunten (warmstart-fracties variërend van 0.15 tot 0.35).

Belangrijkste Resultaten
In tegen tegenstelling tot de hypothese dat drift-bewuste clustering beter zou presteren dan periodieke hertraining in een evoluerend dreigingslandschap, geven de empirische resultaten op echte Ethereum-data het tegenovergestelde aan voor deze specifieke feature set:

• Nauwkeurigheid: De periodieke hertrainings-baseline behaalde een marginaal hogere gemiddelde F1-score (0.891, std 0.008) vergeleken met de drift-bewuste clustering-benadering (0.873, std 0.014) over de vijf splits.
• Stabiliteit: De baseline was aanzienlijk stabieler, met een veel lagere variantie in precisie (std 0.015) vergeleken met de clustering-methode (std 0.064). De precisie van de clustering-benadering varieerde significant over verschillende tijdperioden (variërend van 0.757 tot 0.937).
• Trade-offs: De clustering-benadering toonde een duidelijk voordeel in het verminderen van de fout-positieve ratio (lagere FPR) in verschillende splits, maar dit ging ten koste van een verminderde en minder stabiele recall.
• Synthetische Validatie: Een voorlopige synthetische pilot bevestigde dat de clustering-mechanisme een perfecte recall kon behouden terwijl kwaadwillige gedragingen evolueerden om benigne gedrag na te bootsen, terwijl de periodieke baseline een instortende recall vertoonde. Deze synthetische gedraging vertaalde zich echter niet naar superieure prestaties op de echte dataset onder het gecorrigeerde protocol.

Betekenis en Claims
Het artikel positioneert zijn bijdrage niet als een claim van superieure classificatienauwkeurigheid (merkend op dat state-of-the-art tools zoals TokenScout en CRPWarner al sterke resultaten behalen), maar als een gecontroleerde empirische test van een specifieke methodologische transfer: van malware threat intelligence naar on-chain fraude detectie.

De auteurs claimen een "negatief-hellende" maar mechanistisch gefundeerde resultaat: onder de bestudeerde feature set en evaluatiecondities biedt de expliciete transfer van drift-bewuste incrementele clustering geen meetbaar voordeel in stabiliteit of nauwkeurigheid ten opzien van periodieke gesuperviseerde hertraining. Het artikel betoogt dat de vereiste van de clustering-engine voor een minimaal aantal bevestigende punten om tot een nieuwe gedragcluster te komen, fout-positieven onderdrukt maar leidt tot gevoeligheid voor het volume van projecten die binnen specifieke tijdsvensters arriveren, wat de geobserveerde variantie verklaart.

De studie concludeert door drie specifieke richtingen voor toekomstig werk te motiveren in plaats van de benadering als obsoleet te verklaren:

1. Het gebruik van rijkere, graaf-gestructureerde gedragsfeatures in plaats van scalaire aggregaten.
2. Het toepassen van meer principiële hyperparameteroptimalisatie (bijv. Bayesiaanse optimalisatie) voorbij grove grid searches.
3. Het uitvoeren van directe vergelijkingen met temporele graaf leer-baselines, die nog steeds de centrale openstaande haalbaarheidsvraag vormen voor dit onderzoek.

Uiteindelijk dient het artikel als een waarschuwend methodologisch voorbeeld, dat illustreert hoe gemakkelijk evaluaties van nieuwe drift-detectietechnieken beïnvloed kunnen worden door tuning-lekkage, en benadrukt de noodzaak van leakage-vrije, multi-split chronologische protocollen in blockchain threat intelligence onderzoek.