Спуфуемость лимитного стакана: интерпретируемые вероятностные нейросети

5.5/10

Ключевые слова: высокочастотность; манипуляция рынком; спуфинг; нейросеть; лимитный стакан; криптовалюта.

Аннотация

Детекция спуфинга в реальном времени на централизованных криптобиржах. Новые переменные потока заявок — многомасштабный Хоукс с учётом размера и дистанции постановки от лучших цен. На Level-3 данных нейросеть учит условное распределение хода mid. Дистанция постановки критична: модели без неё данные не описывают. Детектор — ожидаемый выигрыш спуфера по этой сети. На всех лимитках 4–7 декабря 2024: 31% крупных заявок могли спуфить рынок. Архитектура простая — можно гонять вживую. Тот же инструмент годится и на традиционных рынках.

1. Введение

В электронных рынках участники реагируют на обновления стакана в реальном времени; часть агентов крутит микроструктуру. Простейший спуфинг: крупная заявка на одной стороне, чтобы спровоцировать сделки на другой. Варианты — layering (много уровней «ликвидности», потом отмена) и vacuuming (съесть глубину, отменить, оставить дыру).

CEX устроены как обычные LOB, но без надзора. Интуиция: спуфинга больше, чем на регулируемых акциях. Живая детекция редка в литературе — задача трёхмерная:

• цена — дистанция спуф-заявок и глубина, которую крутят;
• размер — объём фальшивой ликвидности;
• горизонт — миллисекунды–секунды, зависит от волы, активности, целевого импакта.

На small-tick активах дистанция непрерывна, не «2 тика от best». Классические методы под large-tick (дискретные уровни) здесь не работают.

Lee et al. (2013): правила на порогах, спуф кладут глубоко. Wang (2015): спуфинг прибылен, дестабилизирует, чаще в активные периоды. Do–Putniņš (2023): датасет преследований. ML-аномалии: Kang et al. (2023), Poutré et al. (2024). Tao et al. (2022): формирование цены от многоуровневого дисбаланса, оптимизация ожидаемых издержек спуфера — без меток, но динамика не зависит от прошлого потока, и спуфер якобы ставит оптимально.

Cartea et al. (2020, 2023) — классический дисбаланс лучших очередей \[ I=\frac{V^b-V^a}{V^b+V^a}. \] $I$ предсказывает сторону сделки и ход цены (Gould–Bonart, Lehalle–Mounjid, Pulido et al.), но спуфер почти никогда не ставит non-bona fide на best: крупный объём на best разворачивает $I$, зато его может съесть любой алго, ищущий скидку. На практике ставят глубже, балансируя импакт и вероятность исполнения. Нужна переменная по нескольким уровням. Tao et al.: \[ I_K=\frac{\sum_{k=1}^{K}\omega_k V^b_k}{\sum_{k=1}^{K}\omega_k(V^b_k+V^a_k)}. \] Веса $\omega_k$ не убывают с глубиной — импакт далёких лимиток может быть больше. Рамка только для large-tick, и $I_K$ — снимок, не поток.

Здесь — новые меры потока и прогноз распределения хода mid после вставки спуф-заявки, отсюда ожидаемая стоимость спуфера. Вдохновение — линейный Хоукс: интенсивность \[ \lambda_t=\mu+\int_{(-\infty,t]} h(t-s)\,dN_s, \] \[ \mathbb P(N_{t+dt}-N_t=1\mid\mathcal F_t)\simeq\lambda_t\,dt. \] Меры потока — эндогенная (самовозбуждающаяся) часть. Ядро по времени медленно убывает (Bacry et al.; Fosset et al.); по объёму — неубывающее вогнутое (Fabre–Toke 2024). По дистанции постановки непараметрических ядер почти нет — это, по словам авторов, первая работа о зависимости ценообразования от дистанции лимиток и следствиях для детекции спуфинга.

2. Модель ценообразования от потока заявок

2.1. Признаки в духе маркированного Хоукса

Фильтрованное пространство $(\Omega,\mathcal F,(\mathcal F_t),\mathbb P)$. Горизонт $T$, справедливая цена $p_t$ (здесь mid; можно microprice Stoikov), $\Delta p:=p_T-p_0$. Счётчики: $N^{L,b}$, $N^{L,a}$ — лимитки buy/sell; $N^{M,b}$, $N^{M,a}$ — маркетable, бьющие в bid/ask. Марки: объём $v^{L,\cdot}$, дистанция $\delta^{L,\cdot}$, объём маркетов $v^{M,\cdot}$. Меры: \[ L^b_t(\varphi)=\int_{(-\infty,t]}\varphi(t-s,v^{L,b}_s,\delta^{L,b}_s)\,dN^{L,b}_s, \] и аналогично $L^a_t(\varphi)$, $M^b_t(\psi)$, $M^a_t(\psi)$. Семейства ядер \[ \varphi_{\beta,\eta}(t,v,\delta)=e^{-\beta t}f(v)e^{-\eta\delta},\qquad \psi_\beta(t,v)=e^{-\beta t}f(v), \] $f$ неубывающая, $f(0)=0$. Набор признаков $L_t=\{(L^b_t(\varphi),L^a_t(\varphi)):\varphi\in\varphi\}$, $M_t$ аналогично. Экспонента: марковость (быстрый live-счёт) и несколько $\beta,\eta$ аппроксимируют любую скорость затухания памяти на нескольких декадах (Bochud–Challet 2007).

2.2. Вероятностная нейросеть

Вектор $x\in\mathbb R^d$. $\Delta p\sim\mathcal D(\Theta(x))$. Если $d$ велик — сеть учит $\Theta(x)$ (Williams 1996; Pourkamali-Anaraki et al. 2024). Лосс — NLL \[ \ell(x,y)=-\sum_{n=1}^{N}\log f(y_n;\Theta(x_n)). \] Гаусс: $\Theta=(\mu,\sigma)$, лосс с $\log(\sqrt{2\pi}\sigma)+(y-\mu)^2/(2\sigma^2)$.

Данные. Level-3, SUN ZU Lab. Coinbase BTC-USD и ETH-USD, неделя 1–7 декабря 2022. Оставляют заявки не дальше $\pm 20\%$ от mid и не мельче 50 USD.

Нормировка. Толстые хвосты → Box–Cox $T_{\lambda_i}(x^i)=((x^i)^{\lambda_i}-1)/\lambda_i$, $\lambda_i$ по макс. гауссову правдоподобию на train, затем z-score. $\lambda$ с train на test не переоценивают.

Эксперимент. $T=1$ с; $f(v)=v$; $\beta=\{10,100,1000\}$ с⁻¹; $\eta=\{0.001,0.1,1,10\}$ bp⁻¹ от mid. Плюс спред $\Psi_t$. Итого 3×4×2 = 24 лимитных + 6 маркетных + спред = 31 переменная; кросс-актив — 62. Наблюдение = вставка лимитки. \[ x_n=\{\Psi_n\}\cup L_n\cup M_n. \]

Унивариант: скошенный гаусс $(\mu,\sigma,\alpha)$ \[ f(x)=\frac2\sigma\,\phi\Bigl(\frac{x-\mu}\sigma\Bigr)\Phi\Bigl(\alpha\frac{x-\mu}\sigma\Bigr). \] Бивариант: двумерный гаусс по BTC и ETH. Сеть: 1 скрытый слой, 64 нейрона, ReLU; выход мапят в область параметров ($\sigma\gt 0$). Batch $2^{12}$, Adam, $10^{-3}$, до 1000 эпох, early stop 100 эпох без улучшения val. Train: 1–3 декабря 2022, 2 млн заявок, split 1 млн / 1 млн по времени (train строго раньше val).

2.3. Микроструктурные свойства

Стандартизованное среднее (Sharpe хода) \[ S(\Delta p)=\frac{\mathbb E(\Delta p)}{\sqrt{\mathbb V(\Delta p)}}. \]

Спред–вола. Madhavan et al., Wyart et al.: вола линейна по спреду (large-tick — implicit spread, Robert–Rosenbaum). Частичная зависимость $\sqrt{\mathbb V(\Delta p\mid\Psi)}$ по бинам спреда 0,1–10 bp: монотонно растёт, почти линейно, лёгкая вогнутость при $\Psi\gt 4$ bp; плоское дно при $\Psi\lt 1$ bp. Модель воспроизводит известную связь (рис. 1 в оригинале: BTC и ETH).

Дисбаланс потока. Равномерные веса по шкалам: \[ I^{LO}_t=\sum_{k=1}^{K}\omega^{LO}_k\log\frac{1+L^b_t(\varphi_k)}{1+L^a_t(\varphi_k)},\qquad I^{MO}_t=\sum_{k=1}^{K}\omega^{MO}_k\log\frac{1+M^b_t(\psi_k)}{1+M^a_t(\psi_k)}. \] Рост $I^{LO}$ — больший ожидаемый ход вверх (давление покупок); рост $I^{MO}$ — меньший ожидаемый ход (сделки в bid тянут вниз). Рис. 2–5: среднее, стд., Sharpe vs $I^{LO}$/$I^{MO}$ на BTC и ETH; на краях редких дисбалансов — граничные эффекты, внутри — монотонность.

Отклик цены. По реальному $x_t$ «дописывают» гипотетическую лимитку размера $Q$ на дистанции $\delta$, пересчитывают $L^b$ по (5). Оценка среднего эффекта на Sharpe: \[ \Delta S_N(Q,\delta)=\frac1N\sum_{n=1}^{N}\bigl(S(\Theta(z^+_{t_n}(Q,\delta)))-S(\Theta(z^0_{t_n}))\bigr), \] $t$-статистика с $N=10$ на test. Рис. 6–7: больше $Q$ — больше импакт; меньше $\delta$ — больше импакт. Симметрия bid/ask почти есть (крупный bid у best толкает вверх). На BTC ask значимый импакт до ~10 bp. Максимум: $Q\ge 50\,000$ USD и $\delta$ в несколько bp. На best ставить не обязательно — детекторы без дистанции данные не описывают.

Кросс-актив (рис. 8–9): заявки BTC на Sharpe ETH статистически сильнее, чем ETH на BTC. Спуфить ETH через стакан BTC проще, чем наоборот.

3. Детекция спуфинга

3.1. Один актив

Агент хочет продать: bona fide sell размера $q$ по $p^a+\delta^a$ и non-bona fide buy размера $Q\gg q$ по $p^b-\delta^b$.

Допущение 1. Нет частичных исполнений (для мелкого bona fide ок; для крупного — нет; обсуждение в приложении).

Допущение 2. Исполнение, если mid пересекает цену заявки: bid при $p_T\lt p^b-\delta^b$ $\Leftrightarrow$ $\Delta p\lt -(\delta^b+\tfrac12\Psi)$; ask при $\Delta p\gt \delta^a+\tfrac12\Psi$. Эквивалент first-passage (Eisler et al.).

Допущение 3. Целевой $q$ надо исполнить до горизонта: незаполненный bona fide добирают маркетом через спред; случайно исполненный спуф тоже сливают маркетом.

Компромисс: ближе к best — больше импакт и риск съесть спуф; глубже — безопаснее, но импакт тает. $\varepsilon^+$ maker, $\varepsilon^-$ taker. Ожидаемая стоимость продавца-спуфера (четыре члена: исполнение bona fide, исполнение спуфа, терминальная ликвидация незаполненного bona fide, ликвидация съеденного спуфа): \[ \begin{aligned} \mathbb E\bigl[C^a_{\mathrm{spoof}}(\delta^b,\delta^a,Q,q)\bigr] &=-\mathbb P\bigl(\Delta p\gt \delta^a+\tfrac12\Psi\bigr)(1-\varepsilon^+)q(p^a+\delta^a)\\ &\quad+\mathbb P\bigl(\Delta p\lt -(\delta^b+\tfrac12\Psi)\bigr)(1+\varepsilon^+)Q(p^b-\delta^b)\\ &\quad-\mathbb P\bigl(\Delta p\le \delta^a+\tfrac12\Psi\bigr)(1-\varepsilon^-)q\bigl(p^b+\mathbb E[\Delta p\mid\Delta p\le \delta^a+\tfrac12\Psi]\bigr)\\ &\quad-\mathbb P\bigl(\Delta p\lt -(\delta^b+\tfrac12\Psi)\bigr)(1-\varepsilon^-)Q\bigl(p^b+\mathbb E[\Delta p\mid\Delta p\lt -(\delta^b+\tfrac12\Psi)]\bigr). \end{aligned} \] Зеркально $C^b_{\mathrm{spoof}}$ для покупателя. Все члены считаются по предсказанным $(\mu,\sigma,\alpha)$ — замкнутые формулы или полиномы, live-пригодно. Приложение даёт явные выражения.

3.2. Кросс-актив

Спуф актива 1 крупной non-bona fide, bona fide на активе 2. Ранее: ETH спуфуется заявками в BTC. Стоимости (29)–(30) — те же четыре члена, но вероятности на $\Delta p_1$ и $\Delta p_2$ раздельно.

3.3. Подозрительный поток

$q$ не наблюдаем (спуф может быть не синхронен с bona fide; нет анонимных id). Кросс-актив без id ещё хуже — в эмпирике только один актив. Параметры детекции: $q=100$ USD, $\delta^a=0$ (bona fide at touch), Coinbase top-tier: taker $\varepsilon^-=5$ bp, maker $\varepsilon^+=0$.

После вставки buy $(Q,\delta)$ сравнивают стоимость «честного» агента (без этой заявки, вход $x_0$) и спуфера: \[ \Delta C(Q,\delta)=\mathbb E\bigl[C^a_{\mathrm{spoof}}(0,\delta^a,0,q)\mid x_0\bigr] -\mathbb E\bigl[C^a_{\mathrm{spoof}}(\delta,\delta^a,Q,q)\mid x\bigr]. \] $\Delta C\gt 0$ — в среднем выгодно спуфить bid заявкой $(Q,\delta)$, чтобы заполнить $q$ на ask. Это ядро правила (рис. 10 в оригинале: «хочу продать → спуфнуть bid → новый прогноз хода → ожидаемая стоимость улучшилась?»).

Прогон: 88 327 661 заявок, 4–7 декабря 2024. «Крупная» — $Q\ge 4500$ USD (примерно 2× средний размер события, Lee et al.; рис. 6 — такие чаще двигают mid): 8 601 227 штук. Подозрительные: крупные с $\Delta C\gt 0$.

Рис. 11–18: BBO, размеры (лог), дистанции, иллюстративный PnL спуфера (кумулятив исполнений bona fide стороны). Когда много меток подряд — часто одинаковые «круглые» размеры (один агент). За подозрительными стабильно идут сделки на противоположной стороне. Часто layering на нескольких уровнях (рис. 11, 13–15, 17–18). Само по себе многоуровневое котирование бывает и у маркетмейкера (скив от adverse selection) — метод снижает ложные срабатывания правил «только размер и дистанция».

Подозрительные — ~31% крупных и ~7% всех заявок. На best почти не ставят: 0% среди крупных подозрительных, 0,13% среди всех подозрительных против 4,20% / 10,14% у обычных. Это бьёт по рамкам, где спуфинг = дисбаланс лучших очередей (Cartea et al. 2023). Подозрительные крупнее и глубже; фильтр по размеру почти не меняет их среднюю дистанцию (стратегия постановки стабильно «ненормальная»). После них ход цены за 1 с больше и по среднему, и по скосу — в духе Lee et al. (2013).

Цифра 31% высокая: это не доля доказанных манипуляций, а доля крупных заявок, для которых ожидаемый выигрыш спуферской тактики положителен при $q=100$ USD, at-touch bona fide и выбранных комиссиях. Порог $\Delta C\gt 0$ и определение «крупной» ($4500$ USD) задают чувствительность.

4. Заключение

Простой спуф: раздуть латентную ликвидность на одной стороне. Признаки — интенсивности самовозбуждения с размером и дистанцией. Импакт с дистанцией быстро тает, но глубокие крупные заявки всё ещё двигают short-term mid. Решение спуфера — сравнить стоимость «крутить» и «ничего не делать»; отсюда правило детекции. На примерах видны layering-паттерны. Кросс-актив и кросс-venue — те же стоимости; слой в более широком пайплайне. На Python детекция одной заявки < 100 мкс; низкоуровневый язык ещё быстрее. Дальше: горизонт спуфера, мультигоризонт, время в сделках.

Финансирование. T. F. — ANRT, CIFRE 2021/0905.

Литература

• Bacry, E., Dayri, K. and Muzy, J.-F., Non-parametric kernel estimation for symmetric Hawkes processes. EPJB 85, 1–12, 2012.
• Bacry, E. and Muzy, J.-F., First- and second-order statistics characterization of Hawkes processes. IEEE TIT 62(4), 2184–2202, 2016.
• Bochud, T. and Challet, D., Optimal approximations of power laws with exponentials. Quantitative Finance 7(6), 585–589, 2007.
• Box, G. E. and Cox, D. R., An analysis of transformations. JRSS B 26(2), 211–243, 1964.
• Cartea, Á., Chang, P. and García-Arenas, G., Spoofing order books with learning algorithms. SSRN, 2023.
• Cartea, Á., Jaimungal, S. and Wang, Y., Spoofing and price manipulation in order-driven markets. Applied Mathematical Finance 27(1–2), 67–98, 2020.
• Cont, R., Cucuringu, M. and Zhang, C., Cross-impact of order flow imbalance in equity markets. Quantitative Finance 23(10), 1373–1393, 2023.
• Do, B. L. and Putniņš, T. J., Detecting layering and spoofing in markets. SSRN 4525036, 2023.
• Eisler, Z. et al., Diffusive behavior and the modeling of characteristic times in limit order executions. Quantitative Finance 9(5), 547–563, 2009.
• Fabre, T. and Toke, I. M., Neural Hawkes. arXiv:2401.09361, 2024.
• Fosset, A., Bouchaud, J.-P. and Benzaquen, M., Endogenous liquidity crises. JSTAT 2020(6), 063401, 2020.
• Fosset, A., Bouchaud, J.-P. and Benzaquen, M., Non-parametric estimation of quadratic Hawkes processes. EJF 28(7), 663–678, 2022.
• Gould, M. D. and Bonart, J., Queue imbalance as a one-tick-ahead price predictor. Market Microstructure and Liquidity 2(02), 1650006, 2016.
• Hossain, M. Z., The use of Box-Cox transformation. JETEMS 2(1), 32–39, 2011.
• Kang, L., Mu, T.-J. and Ning, X., Conspiracy spoofing orders detection with transformer-based deep graph learning. ADMA, 2023.
• Kingma, D. P. and Ba, J., Adam. arXiv:1412.6980, 2014.
• Kolm, P. N., Turiel, J. and Westray, N., Deep order flow imbalance. Mathematical Finance 33(4), 1044–1081, 2023.
• Lee, E. J., Eom, K. S. and Park, K. S., Microstructure-based manipulation. Journal of Financial Markets 16(2), 227–252, 2013.
• Lehalle, C.-A. and Mounjid, O., Limit order strategic placement with adverse selection risk. MML 3(01), 1750009, 2017.
• Madhavan, A., Richardson, M. and Roomans, M., Why do security prices change? RFS 10(4), 1035–1064, 1997.
• Mark, A., Layering and spoofing. 2019.
• Martínez Miranda, E. et al. Detection of spoofing in financial markets. 2019.
• Muni Toke, I. and Yoshida, N., Analysing order flows in limit order books with ratios of Hawkes-like intensities. 2020, 2022.
• Poutré, C. et al. Anomaly detection for spoofing. 2024.
• Pulido, S. et al. Queue imbalance. 2023.
• Rambaldi, M., Bacry, E. and Lillo, F., The role of volume in Hawkes processes. 2017.
• Robert, C. Y. and Rosenbaum, M., A new approach for the dynamics of ultra-high-frequency data. 2011.
• Sfendourakis, E. and Muni Toke, I., Hawkes LOB. 2023.
• Stoikov, S., The micro-price. 2018.
• Tao, X. et al. Optimal spoofing. 2022.
• Wang, Y., Spoofing. 2015.
• Williams, P. M., Using neural networks to model conditional multivariate densities. 1996.
• Wyart, M. et al. Relation between bid-ask spread, impact and volatility. 2008.
• Pourkamali-Anaraki, F. et al. Probabilistic neural networks. 2024.

Перевод: основной текст §§1–4, табл. 1. Рис. 1–18 — в PDF оригинала. · arXiv:2504.15908 · лицензия arXiv nonexclusive-distrib 1.0