「スコアに乗る資格」を実データで証明してから乗せるML — 教師あり β 表示と誤検知の一掃

MLをリスク判定に使うプロダクトは多いですが、「そのMLは本番データで検証されたのか」に答えられるものは多くありません。ChainAnalyzerは今日から、その検証プロセス自体をユーザーに見せることにしました。

教師ありMLの β 表示 — スコアには乗せずに、見せる

全スキャンの検知結果に、教師ありMLモデルによる不正確率の推定値が「β 参考値」として表示されるようになりました(紫の β CRITICAL バッジ)。重要なのは、この値はリスクスコアに1点も影響していないことです。

このモデルは現在シャドー評価中で、本番トラフィック上での複数の品質ゲートを通過して初めて判定に参加します。「オフラインの評価指標が良かったから本番投入」はしません — スコアに乗る資格は、本番データで証明されてからです。それまでの間も、モデルが何を考えているかはβ表示で確認できます。

異常度メーターの正直な再定義

従来の教師なしMLアンサンブルによる「ML Anomaly」メーターは、「新奇性(通常と違う挙動)の参考指標」として再定義し、リスクスコアへの寄与を廃止しました。実データで検証した結果、異常度と悪性度は別物 — どのチェーンでも統計的に最も「異常」に見えるのは、実は取引所や発行体のような正規の高流通インフラだからです。異常検知は新種パターンの発見器として価値を保ちつつ、「異常だから危険」という短絡はやめました。メーターには「参考」バッジが付いています。

正規インフラの誤検知を一掃

同時に検知パイプライン全体の精度改善を実施しました。ポイントは「活動量が多い」と「悪意がある」を区別すること:

• グラフ近接判定に資金の方向を導入 — 不正アドレスへ送金した(被害者の可能性)と、不正アドレスから受金した(下流の可能性)を区別
• 正規の大規模トークン(USDT等)のコントラクト監視で、大口送金を機械的に不審扱いするノイズを抑制 — 既知の悪性アドレスとの接触検知は維持
• 偽トークン(Unicode偽装)の送付による「リスク偽装攻撃」をグラフ証拠から除外 — 攻撃者が誰かを危険に見せかける経路を封鎖

調査の過程で発見した新たなアドレスポイズニング攻撃網クラスタはScamDBに追加済みで、公開APIからも参照できます。