Wykrywanie Pump & Dump metodami ML 

Pump & Dump to nazwa procesu manipulacji wyceną aktywu na rynku. Polega na sztucznym wywołaniu wzrostu ceny, poprzez budowanie złudzenia nagłego zainteresowania udziałami danej spółki. Gdy cena osiągnie odpowiednio wysoki poziom, osoba organizująca akcję sprzedaje wcześniej pozyskane akcje po zawyżonej cenie.

Rozbijmy ten mechanizm na etapy:

1. Generowanie zwiększonego ruchu na spółce poprzez skupowanie akcji.
2. Po dwóch, trzech dniach ciągłych wzrostów spowodowanych skupem, spółka przyciąga uwagę pozostałych uczestników rynku, którzy chcąc wykorzystać wzrost ceny, wystawiają oferty kupna.
3. Gdy odpowiednia liczba inwestorów zainteresuje się spółką, organizator dokonuje kupna dużej liczby akcji, niejako „czyszcząc” kolejkę. Powoduje to gwałtowny wzrost notowania. Pozostali gracze widząc dynamikę, również chcą stać się posiadaczami udziałów spółki, podbijając cenę jeszcze wyżej. “Bańka” zaczyna żyć własnym życiem – sama się napędza.
4. Po osiągnieciu odpowiedniego pułapu cenowego, organizator rozpoczyna stopniowo pozbywać się swoich udziałów, sprzedając je po zawyżonej cenie.

Kolejne dni to korekta i powrót kursu do poziomu z okolic sprzed całej akcji.
Aby operacja była możliwa do przeprowadzenia, ofiara ataku (czyli spółka) musi spełniać kilka kryteriów. Przede wszystkim jej kapitalizacja musi być odpowiednio niska, co zmniejsza wielkość kapitału wymaganego do przeprowadzenia akcji. Drugie kryterium to płynność spółki. Tutaj idealnie, aby była ona niska i ciągle istniała. Dzięki temu możliwe jest wygenerowanie ruchu w fazie pierwszej, a jednocześnie nasze transakcje są dominujące na danej spółce.

Wzrost mocy obliczeniowych komputerów na przestrzeni ostatnich lat oraz postępująca cyfryzacja danych wytworzyły warunki sprzyjające rozwojowi zaawansowanych form analizy danych. W szczególności skorzystały na tym algorytmy sztucznej inteligencji. W wielkim skrócie, aby czerpać korzyści z tzw. modeli, musimy je wcześniej wytrenować, a więc „pokazać” historyczne dane związane z badanym problemem. Można zrealizować to na kilka sposobów. Dwa najpopularniejsze to tzw. uczenie nadzorowane oraz nienadzorowane. W przypadku tego pierwszego, wymagane jest określenie klasy dla każdej obserwacji – co jest widoczne na zdjęciu, czego dotyczy tekst lub czy dana transakcja jest oszustwem. W technikach nienadzorowanych, ograniczamy się jedynie do samych danych, bez określenia klasy każdej obserwacji. Jak to zazwyczaj bywa, każde z podejść ma swoje plusy i minusy. Niejednokrotnie, wytworzenie opisu danych niezbędnego do zastosowania technik nadzorowanych jest czynnością wymagającą dużych nakładów pracy oraz czasu, często angażując wiele osób o specyficznych umiejętnościach. Naturalnie, podnosi to koszt projektu oraz wydłuża czas jego realizacji.

Z tej perspektywy, uczenie nienadzorowane wydaje się lepsze. Nie jest to jednak cała prawda. Algorytmy nienadzorowane zazwyczaj działają w oparciu o podobieństwo. Grupują dane w tzw. klastry, które łączą najbardziej podobne obserwacje lub wskazują te odstające od pozostałych. Niestety, Data Scientist ma ograniczoną kontrolę nad tym procesem, co oznacza, że model może zwracać uwagę na inne aspekty danych, niż by to wynikało z intencji autora. Zazwyczaj oznacza to mniej precyzyjne predykcje, co przekłada się na słabsze wyniki w porównaniu do metod nadzorowanych. Z drugiej strony, brak wymogu oznaczenia każdej obserwacji skraca czas przygotowania danych. Może się również zdarzyć, że pozostawienie pełnej interpretacji danych po stronie modelu doprowadzi do odkrycia zależności wcześniej przeoczonych przez Data Scientist’a lub błędnie zignorowanych. Mimo wszystko, w praktyce bardziej pożądane są rozwiązania oparte o uczenie nadzorowane, ze względu na większą kontrolę nad procesem uczenia, możliwość dostosowania klas obserwacji do analizowanego problemu oraz lepsze wyniki.

Zastanówmy się nad możliwością automatycznego wykrywania opisanych wcześniej praktyk Pump & Dump. Niewątpliwie cechami charakterystycznymi mechanizmu są mocne wzrosty ceny i wolumenu. Jednocześnie nie dysponujemy oficjalną bazą zidentyfikowanych przypadków manipulacji. Manualne oznaczenie wszystkich dostępnych danych zajęłoby tygodnie pracy osoby wykwalifikowanej w wykrywaniu nieprawidłowości giełdowych. Takie przedsięwzięcie wykracza poza ramy zaplanowane na obecny artykuł. Zgodnie z wcześniejszym opisem technik uczenia maszynowego, skupię się na algorytmach typu nienadzorowanego. Niosą one za sobą ryzyko niezamierzonego wskazania prawidłowych notowań jako przypadków manipulacji. Wynika to z dużego podobieństwa Pump & Dump do sytuacji, jaka może mieć miejsce przykładowo po opublikowaniu nadspodziewanie dobrych wyników finansowych spółki. Ewentualne niuanse rozróżniające te dwa przypadki mogą nie zostać uwzględnione przez model, na co Data Scientist ma ograniczony wpływ.

Posiadając całą przedstawioną dotychczas wiedzę, postarajmy się zbudować model sztucznej inteligencji, którego zadaniem będzie wykrywanie nietypowych zdarzeń.

Generative Adversarial Networks, w skrócie GAN, to sposób trenowania modeli uczenia maszynowego, gdzie dwie sieci konkurują ze sobą. Zadaniem jednej z nich (generatora) jest wytwarzanie obserwacji, podczas gdy druga sieć (dyskryminator) próbuje rozróżnić obserwacje prawdziwe od wygenerowanych. Jako zbiór treningowy (prawdziwe obserwacje dla dyskryminatora) służą historyczne notowania spółek z giełdy NewConnect podzielone na sekwencje o długości od 5 do 90 dni.

Spółki notowane na rynku NewConnect wydają się być lepszym poligonem testowym niż te z szerzej znanego rynku głównego Giełdy Papierów Wartościowych. Wynika to przede wszystkim z ich bardziej podatnej na ataki Pump & Dump charakterystyki. W porównaniu do swoich odpowiedników z GPW cechują się mniejszą kapitalizacją, płynnością oraz popularnością. Z kolei długość sekwencji wynika z obserwacji historycznych notowań. Nie da się jednoznacznie stwierdzić, w którym momencie rozpoczyna się operacja manipulacji oraz kiedy się zakończy. Mimo wszystko 5 kolejnych notowań wydaje się wartością minimalną. Dłuższe okresy mają za zadanie uzupełnienie danych o szerszy kontekst.

Idea stojąca za proponowanym rozwiązaniem jest dość prosta. Przebiegi wytwarzane przez generator upodabniają się do prawdziwych notowań, tak aby oszukać dyskryminator. Biorąc pod uwagę, że niestandardowe zmiany kursu/wolumenu zdarzają się stosunkowo rzadko, obydwie sieci dostosowują się do standardowych szeregów. Oznacza to, że wytrenowany dyskryminator powinien oznaczyć przypadek Pump & Dump jako „fałszywkę”.

Zweryfikujmy możliwości detekcji nietypowych zdarzeń przy pomocy bardziej ugruntowanych technik – klasycznego uczenia maszynowego oraz zbioru reguł. W tym celu zmienię nieco format danych. Pojedynczą obserwacją w zbiorze będzie notowanie z danego dnia oraz cechy opisujące zmianę wartości danej akcji. Oczywiście wpłynie to na liczność zbiorów danych.

Modelowanie

Na pierwszy plan weźmy algorytm Isolation Forest. Jego celem jest wskazanie nietypowych obserwacji w zbiorze. W wielkim skrócie – algorytm dokonuje podziałów na podstawie wartości wybranej zmiennej. Zarówno wybór cechy, jak i wartości, względem której następuje podział, są wybierane losowo. Obserwacje odstające potrzebują istotnie mniejszej ilości podziałów, aby zostać wyizolowanymi. Zweryfikujmy skuteczność Isolation Forrest na grupie spółek, co do których mamy podejrzenie, że są ofiarami ataku Pump & Dump.

Na wykresie powyżej (rysunek 11) widzimy notowania oraz ich pochodne dla jednej ze spółek. Operacje, którym zostały poddane oryginalne dane, to przede wszystkim ustandaryzowanie zakresu oraz wyznaczenie dziennych różnic (gradientów). Przypadki zidentyfikowane jako nietypowe zostały oznaczone czerwonymi liniami w górnej części wykresu. Wydaje się, że model całkiem dobrze poradził sobie z wykryciem anomalii w obserwowanych danych. Podobne spostrzeżenie nasuwają się po przeanalizowaniu drugiego wykresu, tj. rysunku 12.

Zestaw reguł

Opisane dotychczas metody nie wyczerpują wszystkich dostępnych rozwiązań. Dla zwiększenia kompletności analizy problemu warto skonfrontować wyniki z podejściem opartym o zestaw reguł. Jest ono najprostsze koncepcyjnie, co nie musi oznaczać gorszych rezultatów.

Jako wyznacznik „normalności” wykorzystałem sumę odległości danej obserwacji od średniej, wyrażoną w jednostkach odległości standardowej. Przykładowo, dla przypadku obserwacji, gdzie wartość pierwszej cechy wynosi 5,  średnia 3, a odchylenie standardowe 2, wynik to:

Operacja jest powtarzana dla pozostałych cech, a wartości bezwzględne sumowane. Dwa poniższe wykresy przedstawiają rozkład uzyskanych wyników, odpowiednio dla sum, jak i pojedynczych kolumn.

Zgodnie z oczekiwaniami, rozkład jest silnie skupiony wokół niskich wartości. Jako kryterium przynależności do grupy anomalnej przyjąłem zaobserwowanie wartości przekraczającej 99 centyl, dla sumy odległości lub dowolnej cechy opisującej pojedyncze notowanie. Poniżej widzimy analogiczne wizualizacje jak dla podejścia z modelem Isolation Forest. Wydaje się, że wyniki otrzymane z wykorzystaniem reguł są nieco gorsze.