Drift-Aware Incremental Clustering for Cryptocurrency Rug-Pull Detection: An Empirical Comparison Against Periodic-Retrain Baselines on Real Ethereum Data

Resumo Técnico: Agrupamento Incremental Sensível à Deriva para Detecção de Rug-Pull em Criptomoedas

Definição do Problema
Os "rug pulls" de criptomoedas — onde desenvolvedores abandonam projetos e retiram a liquidez após atrair investimentos — representam uma forma persistente e dispendiosa de fraude em Finanças Descentralizadas (DeFi). Embora as abordagens de aprendizado de máquina para detecção tenham avançado de classificadores supervisionados baseados em engenharia de atributos para redes neurais de grafos temporais, elas tipicamente dependem de um paradigma de retreinamento periódico. Nesse paradigma, os modelos são treinados em dados rotulados e implantados até um retreinamento agendado, carecendo de um mecanismo explícito e continuamente operante para detectar quando a fronteira de decisão subjacente sofreu deriva entre os ciclos. Isso reflete um modo de falha bem documentado na inteligência de ameaças de malware, onde adversários adaptam táticas mais rápido do que as atualizações periódicas conseguem acomodar. Este artigo investiga se o agrupamento incremental sensível à deriva de conceito (concept-drift-aware), uma técnica estabelecida na detecção de variantes de malware, pode ser efetivamente transferida para o domínio de rug-pull de criptomoedas para fornecer vantagens de estabilidade ou precisão sobre o retreinamento periódico padrão.

Metodologia
O estudo utiliza um subconjunto temporalmente higiênico do conjunto de dados TM-RugPull, compreendendo 629 projetos de tokens Ethereum ordenados cronologicamente (327 golpes e 306 normais). O conjunto de atributos consiste em quatro métricas comportamentais on-chain com transformação logarítmica: contagem de transações, razão de concentração de tokens por detentor, variância total e a variância de detentores com mais de 1% dos tokens.

Dois paradigmas de detecção distintos foram implementados e comparados:

1. Agrupamento Incremental Sensível à Deriva: Adaptado diretamente da literatura de detecção de variantes de malware, este motor não supervisionado inicia dois "arquétipos" de clusters (benigno e malicioso) a partir de uma amostra de inicialização quente (warm-start). Ele atribui projetos subsequentes não rotulados ao centroide mais próximo se estiverem dentro de um limiar de distância (assign_radius), atualizando os centroides incrementalmente. Projetos que caem fora deste limiar acumulam-se em grupos pendentes; uma vez atingido um tamanho mínimo de grupo (min_new_cluster_size), um novo cluster é formado e tipificado com base na proximidade com os centroides existentes. Isso permite atualizações contínuas sem esperar por retreinamentos agendados.
2. Linha de Base de Retreinamento Periódico: Um classificador Random Forest, representando abordagens supervisionadas padrão com engenharia de atributos, que foi retreinado periodicamente conforme novos dados rotulados tornavam-se disponíveis, sujeito a um atraso de 90 dias na confirmação de rótulos para modelar os atrasos de reporte do mundo real.

Protocolo de Avaliação e Rigor
Um aspecto crítico da metodologia foi o protocolo de avaliação estritamente cronológico e sem "olhar para o futuro" (no-lookahead), projetado para evitar o vazamento de ajuste de hiperparâmetros (hyperparameter tuning leakage). Os dados foram divididos em um período de inicialização quente, um período de validação (exclusivamente para seleção de hiperparâmetros via busca em grade) e um período de teste isolado. O estudo explicitamente descartou uma avaliação inicial que selecionava hiperparâmetros contra os dados de teste finais, pois produziu resultados inflados favorecendo a abordagem de agrupamento. Para garantir a robustez, o protocolo corrigido foi aplicado em cinco pontos de divisão cronológica independentes (frações de warm-start variando de 0,15 a 0,35).

Resultos Principais
Contrariamente à hipótese de que o agrupamento sensível à deriva superaria o retreinamento periódico em um cenário de ameaças em evolução, os resultados empíricos nos dados reais de Ethereum indicam o oposto para este conjunto de atributos específico:

• Acurácia: A linha de base de retreinamento periódico alcançou um F1-score médio marginalmente superior (0,891, std 0,008) em comparação com a abordagem de agrupamento sensível à deriva (0,873, std 0,014) através das cinco divisões.
• Estabilidade: A linha de base foi substancialmente mais estável, exibindo uma variância muito menor na precisão (std 0,015) em comparação com o método de agrupamento (std 0,064). A precisão da abordagem de agrupamento variou significativamente entre os períodos (variando de 0,757 a 0,937).
• Compensações (Trade-offs): A abordagem de agrupamento demonstrou uma vantagem distinta na redução da taxa de falsos positivos (menor FPR) em várias divisões, mas isso ocorreu ao custo de uma revocação (recall) reduzida e menos estável.
• Validação Sintética: Um piloto sintético preliminar confirmou que o mecanismo de agrupamento poderia manter uma revocação perfeita conforme os comportamentos maliciosos evoluíam para imitar comportamentos benignos, enquanto a revocação da linha de base periódica colapsava. No entanto, esse comportamento sintético não se traduziu em desempenho superior no conjunto de dados do mundo real sob o protocolo corrigido.

Significância e Alegações
O artigo posiciona sua contribuição não como uma alegação de superioridade de acurácia de classificação (notando que ferramentas de estado da arte como TokenScout e CRPWarner já alcançam resultados fortes), mas como um teste empírico controlado de uma transferência metodológica específica: da inteligência de ameaças de malware para a detecção de fraude on-chain.

Os autores alegam um resultado "tendencioso ao negativo", mas mecanisticamente fundamentado: sob o conjunto de atributos estudado e condições de avaliação, a transferência direta do agrupamento incremental sensível à deriva não fornece uma vantagem mensurável de estabilidade ou acurácia sobre o retreinamento supervisionado periódico. O artigo argumenta que a exigência do motor de agrupamento por um número mínimo de pontos corroboradores para comprometer-se com um novo cluster comportamental suprime falsos positivos, mas introduz sensibilidade ao volume de projetos que chegam dentro de janelas de tempo específicas, levando à variância observada.

O estudo conclui motivando três direções específicas para trabalhos futuros, em vez de declarar a abordagem obsoleta:

1. Utilizar atributos comportamentais mais ricos e estruturados em grafos, em vez de agregados escalares.
2. Empregar otimização de hiperparâmetros mais principica da (ex: otimização Bayesiana) além de buscas em grade grosseiras.
3. Conduzir comparações diretas contra bases de aprendizado de grafos temporais, que permanecem a questão central de viabilidade para esta direção de pesquisa.

Em última análise, o artigo serve como um exemplo metodológico de cautela, ilustrando quão facilmente as avaliações de novas técnicas de detecção de deriva podem ser enviesadas por vazamento de ajuste (tuning leakage) e enfatizando a necessidade de protocolos cronológicos de múltiplas divisões e livres de vazamento na pesquisa de inteligência de ameaças em blockchain.