אשכול מטבעות קריפטו: היכן המודל ההתנהגותי טועה
אשכול מטבעות קריפטו נשען על יוריסטיקות של גרף התנועות: קלט משותף בעסקה אחת, כתובת עודף, שימוש חוזר במפתח. מאפיינים התנהגותיים של כתובות — קצב הפעילות, גודל ההעברות, מעגל הצדדים שכנגד, שיעור הקלט עם תשלומים מרוכזים — מחדדים את התמונה במקום שבו הקשרים נפסקים.
אבל לכל הנחה יש גבול, שמעבר לו ההתראות הכוזבות של המודל גדלות מהר יותר מאשר הכיסוי: אשכול עם תווית שגויה גרוע מהיעדר תווית, משום שעליו נשענות החלטות סיכון ורישום למסחר.
הקרע הראשון — ערבוב זרמים בתוך שירותים. ארנקים בחזקת נאמנות, כתובות חמות של בורסות ותשלומים מרוכזים מאחדים כספים של אלפי לקוחות לקלט אחד. יוריסטיקת הקלטים המשותפים מדביקה אותם לצומת אחד, והמודל מייחס למתאר השירותי את ההתנהגות של בעלים אחד.
סימני השירות ניתנים לקריאה: סדירות בזמן, גדלים אחידים, התאמה ללוח התשלומים — כדאי להחסיר אותם לפני האשכול, ולא אחריו.
השני — חתימות מרובות וארנקי חוזה: בכתובת שולטים כמה מפתחות, וסף החתימות משתנה לפי החלטת הבעלים. הגרף נקרע עם החלפת ההרכב, ולהפך — יוצר קשרים כוזבים כאשר משתתף אחד עושה שימוש חוזר במפתח שלו בסכמות שונות.
כתובות מעבר מוסיפות רעש: הן מתנהגות כמו עודף, אבל משמשות רק להעברת כספים בין מתארים ואינן נושאות את התנהגותו של הבעלים הסופי.
השלישי — סחיפה של הרשת עצמה. שינוי במבנה העמלות, מעבר משתמשים לסוגי כתובות חדשים, עלייה בשיעור הפעולות המרוכזות — כל אלה מזיזים את התפלגות המאפיינים. מודל שאומן על חתך עבר מאבד דיוק בחתך הנוכחי: ספים שהפרידו בעבר כעת מערבבים מחלקות.
נפרט כיצד זה נסגר: אילו מאפיינים אנו מאמתים ידנית על הגרף, כיצד מכיילים ספים ומה נחשב לשיעור מותר של התראות כוזבות.
מה נותן המודל: דיוק הייחוס ומהירות הניתוח
האפקט של המודל נמדד לא ב"חכמה" של האלגוריתם, אלא בשלושה מספרים: שיעור האיחודים הנכונים של כתובות לאשכולות, הזמן לניתוח שרשרת אחת והיקף הכתובות שהיה צריך לתייג ידנית.
את דיוק הייחוס אנחנו מחזיקים ברמה שבה הדבקה כוזבת היא חריג: איחוד שגוי גורר תנועות של אחרים לכל הדוחות, ולכן מקרה שנוי במחלוקת המערכת מותירה נפרד.
מהירות ניתוח השרשראות משתנה באופן איכותי. בקלט — גרף עם אשכולות שנאספו ותוויות של בורסות, מיקסרים ושירותים, והעבודה מצטמצמת לבדיקת השערות במקום מעבר ידני על ההעברות. שרשרת בעומק בינוני מנותחת בדקות, והניתוח הופך לשחזורי: אותו מסלול כספים מהנדס אחר משחזר לפי אותם כללים.
הצמצום בתיוג הידני והיקף מרשם הכתובות קשורים ישירות זה לזה. כתובות חדשות מתויגות לפי התנהגות — התאמת קלטים, תזמונים, שימוש חוזר בכתובת לעודף — והמרשם צובר תוצאה: תווית מאומתת מרחיבה את האשכול, ומקרה דומה כבר אינו דורש אדם.
סוג המקרים השנויים במחלוקת נשאר ובכוונה אינו עובר אוטומציה: מיקסרים עם חלקים שווים, גשרים בין רשתות, הפקדות בבורסה עם כתובת הפקדה משותפת. הם עוברים לבדיקה ידנית עם הסבר מדוע האשכול לא אוחד — זהו מחיר הדיוק, הניכר בדוח.
גישות לאשכול מטבעות קריפטו: כללים, מאפיינים, אימון
בחירת הגישה נקבעת לא לפי מורכבות המודל, אלא לפי אילו נתונים יש בקלט ומי יתחזק את התוצאה בהמשך. אם אין מדגם מתויג ומראש לא ברור אילו מחלקות בכלל קיימות, למידה מונחית הופכת לתיוג ידני עיוור — והוא מתיישן מהר יותר משתוצא.
להלן שלוש אפשרויות שביניהן בוחרים בפועל כבר בהתחלה.
שלוש אפשרויות והמגבלות שלהן
| אפשרות | מתי מתאימה | מגבלות |
|---|---|---|
| יוריסטיקות אשכול: ספים לפי היקף ההעברות, שיעור הפעולות מול בורסות, מספר הכתובות הפעילות | נדרש התחלה מהירה, מעט נתונים, חשובה יכולת ההסבר של כל החלטה | הספים נקבעים ידנית, נשברים כשהתנהגות המשתתפים משתנה, אינם מתרחבים לסוגים חדשים |
| למידה מונחית על מדגם מתויג | קיימות תוויות היסטוריות: בורסות, סטייבלקוינים, טוקנים של משחקים | התיוג יקר, מחלקות נדירות נותרות לא מכוסות, התוויות מתרחקות במהירות מהמציאות |
| למידה לא מונחית על מאפיינים גרפיים של ההעברות | אין תוויות, אבל יש גרף תנועות קשיר בין הכתובות | דורש חישוב מחדש סדיר של הגרף, רגיש לאיכות הנרמול של הכתובות |
בפועל משלפים בין הגישות: יוריסטיקות נותנות תוויות ראשוניות, למידה מונחית מחדדת את הגבולות ביניהן, ומאפיינים גרפיים מוסיפים הקשר של העברות שאינו נראה בכתובת בודדת.
קריטריון הקבלה — יציבות האשכולות: אם עם הזזת חלון התצפית הרכב הקבוצות משתנה באופן מועט, אפשר להעלות את המודל לניטור ולא לבנות אותו מחדש מדי חודש.
כיצד אנו בונים את המודל: שלבי העבודה מביקורת הנתונים ועד המסירה
שלבי הטמעת המודל מתקדמים בסדר קבוע: תחילה מוודאים שהנתונים אכן מתארים התנהגות, ורק אחר כך בונים את החלוקה. טעות במאפיינים בשלב הראשון אינה מתוקנת לא בבחירת האלגוריתם ולא בכיול מספר האשכולות — ולכן ביקורת הנתונים וסכמת המאפיינים גוזלות יותר זמן מהבנייה עצמה.
- ביקורת נתונים. מאחדים מקורות: אירועי הרשת, יתרות ופעילות של כתובות, תנועות כספים דרך בורסות, היסטוריית מסחר. בודקים שלמות, חסרים, כפילויות, אזורי זמן וחזרות בלוקים — אחרת אשכול מטבעות קריפטו משחזר ארטיפקטים של האיסוף ולא התנהגות.
- סכמת המאפיינים. קובעים חלונות תצפית ומחשבים לפיהם עצימות תנועות, ריכוזיות מחזיקים, תחלופה, שיעור כתובות גדולות, תגובה לתנודתיות. את המאפיינים מנרמלים ומקבעים את המקור של כל אחד — כך נכסים עם שווי שוק שונה נעשים בני השוואה.
- בניית המודל. בוחרים מדד קרבה, מספר אשכולות ועמידות לחריגים, בודקים יציבות החלוקה בתת-מדגמים ובהזזת החלון.
- אימות על מדגם נפרד. מחלקים את הנתונים לפי זמן, ולא באקראי: אימון על העבר, בדיקה על התקופה שלאחריו. זה מונע הצצה לעתיד ומראה אם מבנה האשכולות נשמר.
- פרשנות. משווים את האשכולות לקטגוריות מוכרות — בורסאות, סטייבלקוינים, תשתית, ספקולטיבי — ונותנים שמות קריאים, אחרת התוצאה אינה מתורגמת להחלטות.
- מסירה והדרכה. מוסרים קוד, סכמת מאפיינים, נוהל חישוב מחדש וניטור סחיפה, ומדריכים את צוות הלקוח — המודל נשאר פעיל בלעדינו.
חפצי מסירה: קונפיגורציות, סכמות, נהלים ותיוג
איננו מוסרים "מודל על הנייר", אלא ערכה שלפיה צוות הלקוח מפעיל, בודק ומפתח את הפתרון בלעדינו. קוד, קונפיגורציות, תיוג ומסמכים יושבים במאגר אחד ומנוהלים בגרסאות יחד — כך לא נותרו פערים בין מה שמתואר למה שעובד.
- מודל עובד — משקולות מאומנות, סקריפט הרצה וסביבה מקובעת: התוצאה משוחזרת על נתוני הלקוח, ולא רק אצלנו בסביבת הבדיקה.
- תיאור המאפיינים — מילון עם נוסחאות: אילו מדדים של אונצ'יין ושל שוק מחושבים, על פני איזה חלון צבירה, כיצד מטופלים חסרים וחריגים.
- כללי איחוד — מדד קרבת פרופילים, סף מיזוג וגודל אשכול מזערי: אפשר לחשב את התיוג מחדש ולקבל את אותה תוצאה.
- תיוג ייחוס — כתובות וטוקנים עם תוויות ותאריך חתך; עליו מריצים כל גרסה חדשה ומשווים את ההתנהגות לישנה.
- ספי הפעלה — מה נחשב לשינוי התנהגות, באיזה ערך יוצא אות ומי מקבל אותו.
- נוהל אימון מחדש — תדירות, טריגרים לפי סחיפת התפלגות, סדר האימות והפרסום של גרסה חדשה.
- הוראות תחזוקה — פריסה, ניטור, חזרה לגרסה קודמת וכרטיס מודל עם גבולות היישום.
הערכה מסירה את התלות בספק: אפשר לשנות את מערך המאפיינים, הספים והתיוג בכוחות עצמכם, ולא לבנות את הפתרון מחדש מאפס.
מקרה בוחן: כיצד המודל צמצם את שיעור ההתראות הכוזבות
את המשימה הביאה צוות שתייג זרם כתובות ידנית: מערך כללים לפי ספי סכום, תדירות פעולות וגיל הארנק. מחיר הגישה הזו היה ברור מיד — כמעט כל הפעלה שלישית עברה לניתוח ככוזבת, וקבוצת כתובות שנויה במחלוקת אחת תפסה אצל האנליסט כמה שעות. עם גידול הזרם היה צריך להוסיף כללים, והם החלו לסתור זה את זה.
מה הראה מדגם הביקורת
קיבענו מדגם של כתובות שתויגו ידנית, ולא שינינו אותו בין גרסאות — אחרת אין עם מה להשוות את המדדים. עליו הכללים נתנו שיעור התראות כוזבות של כשליש וכיסוי של 0.61 בקבוצות היעד: חלק מהסכמות просто לא נכנסו לתיוג, כי לא נכנסו לספים.
מה שינינו ומה התרחש
מודל אשכול לפי התנהגות מחשב מאפיינים מהיסטוריית הפעולות: קצב הפעילות, הרכב הצדדים שכנגד, שיעור העברות המעבר, צפיפות הקשרים בתוך הקבוצה. האשכולות נבנים ללא הנחיה, והתיוג הידני נשאר רק לבדיקת איכות — השווינו אותו גם למערכים פתוחים של Chainalysis.
לאחר ההטמעה שיעור ההתראות הכוזבות על אותו מדגם ירד ל-9%, והכיסוי עלה ל-0.84. ניתוח קבוצה שנויה במחלוקת הצטמצם משעות ל-20–30 דקות: האנליסט מקבל אשכול מוכן עם הנמקה, ולא רשימת כתובות.
בכנות על המגבלות: בכתובות צעירות עם היסטוריה קצרה המודל מחזיר "אין מספיק נתונים" במקום ניחוש — מקרים כאלה עוברים לניתוח ידני, וזו החלטה מודעת ולא פער. את מדגם הביקורת אנחנו מרכיבים מחדש ככל שמופיעים סוגי התנהגות חדשים, אחרת המדדים מפסיקים לשקף את המציאות.
במה שונה אשכול כתובות מייחוס ארנק?
אשכול כתובות עונה על השאלה "אילו כתובות שייכות לאותו משתתף", ואילו ייחוס ארנק — "מיהו אותו משתתף". השלב הראשון עובד רק עם נתוני הבלוקצ'יין: תנועות והקשרים ביניהן. השני מחבר הקשר חיצוני והופך אשכול נטול זהות לבורסה, לשירות או לבעלים מסוים.
בתוך האשכול פועלות יוריסטיקות התנהגותיות. הוצאה משותפת של קלטים מאחדת כתובות שנחתמו בתנועה אחת; שימוש חוזר בכתובת לקבלה, תבניות עודף אופייניות וזמן פעולות מתואם מוסיפים קשרים לגרף.
פורמלית זהו אשכול גרפי עם משקל לכל קשת: ההחלטה על האיחוד מתקבלת לפי סכום המאפיינים, ולא לפי התאמה אחת.
ייחוס ארנק יוצא מנקודות עיגון — כתובות הפקדה של בורסות, נתוני אימות לקוחות, הצהרות פומביות של פרויקטים, תגיות בסורקים כמו Etherscan. זיהוי הבעלים הוא התאמה של אשכול מוכן לתוויות האלה. כתובת בודדת ללא אשכול מכסה ענף תנועות אחד וכמעט אינה מספקת מסקנות.
ההבדל בין הגישות ניכר במחיר הטעות. אשכול טועה באיחוד כוזב: שני משתתפים שונים הופכים לאחד, והטעות משוכפלת לכל הקשרים. ייחוס טועה בתווית כוזבת: שירות מיוחס לאשכול הלא נכון.
לכן אשכול נבדק לפי שלמות הכיסוי ועמידות בפני מיקסרים ששוברים את יוריסטיקת ההוצאה המשותפת של קלטים, ואילו ייחוס — לפי דיוק התווית.
סדר העבודה תמיד אחד: תחילה נבנה גרף האשכולות, אחר כך מונחות עליו התוויות. אז זיהוי הבעלים נשען על התנהגות הרשת, ולא על ניחוש לפי כתובת אחת.
ספקות טכניים: איכות נתונים, תיוג, פרטיות
אשכול מטבעות קריפטו נשען על מאפיינים התנהגותיים: התפלגות ההיקפים לפי כתובות, סדירות התנועות, ריכוזיות אצל מחזיקים גדולים. ככל שהנתונים מלוכלכים יותר ודוגמאות מתויגות פחות, כך גבוה הסיכוי שהמודל ימצא קבוצות יציבות במקום שאין כאלה.
מה עושים אם היסטוריית התנועות חלקית?
אין משלימים חסרים בניחושים. את המאפיינים מחשבים לפי חלונות עם צפיפות נתונים מספקת, ותקופות "מחוררות" מסמנים כלא-בטוחות — הן אינן נכנסות לפילוח הסופי, אבל נראות בדוח. בנוסף משווים כמה מקורות, כדי שחריגה במקור אחד לא תתפשט על כל המדגם.
כיצד אתם בודקים את איכות התיוג של המדגם?
קריטריוני השיוך לקבוצה מתארים לפני ההתחלה, ומקרים שנויים במחלוקת מנתחים בנפרד. חלק מהמדגם מתויג באופן בלתי תלוי, כדי למדוד הסכמה ולא להישען על החלטות של אדם אחד. יציבות בודקים בחישוב מחדש על תת-מדגמים וחלונות מוזזים: אם הקבוצות מתפרקות, את המאפיינים בונים מחדש.
מה עם פרטיות התנועות?
עובדים עם אגרגטים: הכתובות עוברות פסאודונימיזציה, ולמאפיינים נכנסים התפלגויות, שיעורים ומרווחים. כתובות גולמיות וקשרי "ארנק — זהות" אינם מוזנים למודל ואינם יוצאים ממתאר הלקוח; את סכמת העיבוד מתאמים מראש.
האם התוצאה תישמר עם עדכון הנתונים?
מקבעים את מערך המאפיינים, פרמטרי הסינון והרכב המדגם, ושומרים הרצות ביקורת. בתקופות נתונים חדשות משווים את החלוקה לקודמת: שיעור האובייקטים שעברו בין קבוצות הוא מדד מדיד ליציבות, והוא נכנס לדוח ולא נשאר במילים.
נדון במשימה: מה נדרש כדי להתחיל בעבודה
כדי לחזור עם הערכת לוחות זמנים ותוכנית עבודה, ולא עם טווח "פחות-או-יותר", אנחנו צריכים מערך נתוני מוצא על הנתונים ועל איזה פתרון אתם מצפים. ככל שנתוני הקלט מדויקים יותר, כך מדויקים יותר השלבים: הכנת המאפיינים, האימון, בדיקת יציבות האשכולות ומסירת התוצאה.
- רשימת רשתות ונכסים: אילו בלוקצ'יינים וטוקנים בהיקף וכמה מהם — מכך תלוי היקף הצילומים וזמן הכנת הנתונים.
- אופק ותדירות תצפית: על פני איזו תקופה נלקחת הפעילות ובאיזו תדירות מחשבים מחדש — יום, שבוע או חודש.
- מקורות: האם יש ארכיוני תנועות משלכם או שאוספים מסורקים ציבוריים; האם נדרשים מדדי בורסה של מסחר ונזילות.
- הרשאות גישה: מפתחות ל-API, צמתים, ייצוא לקבצים — מה כבר קיים ומה צריך לארגן.
- קבוצות ידועות: נכסים שאתם בוודאות משייכים לקטגוריה אחת (סטייבלקוינים, טוקנים של בורסות) — עליהם בודקים שהמודל מבחין במובן מאליו.
- מאפיינים וקריטריון דמיון: התנהגות הכתובות, התפלגות המחזיקים, תדירות והיקף ההעברות — מה חשוב לכם יותר.
- פורמט התוצאה: תיוג נכסים לפי קבוצות, דוח עם פרופילי אשכולות או חישוב מחדש סדיר לפי נתונים חדשים.
- מגבלות: פרטיות, דרישות לאחסון נתונים, האם נדרשת יכולת הסבר של ההחלטה וייצוא למערכת שלכם.
תארו את המשימה בצורה חופשית — נחזור עם הערכה ותוכנית עבודה: שלבים, הרכב נתונים וקריטריון קבלה.