Spoofing en el libro de órdenes: cómo se ve en microsegundos

El spoofing no se detecta mirando el libro de órdenes cada segundo. La orden falsa vive y muere entre dos actualizaciones, y cuando el feed público la muestra ya está retirada. Lo que queda no es la orden, sino el rastro de su cancelación.

En un análisis reciente sobre eventos a nivel de feed, observamos cancelaciones masivas agrupadas en microventanas de 200 a 800 microsegundos. No son retiradas de liquidez legítima: aparecen en el mismo nivel de precio, con el mismo tamaño, y desaparecen antes de que cualquier sistema remoto pueda reaccionar. La firma está en el orden de los mensajes, no en el volumen.

Qué separa una retirada legítima de una manipulativa

Un operador real cancela por cambio de criterio, por gestión de riesgo o por rotación de inventario. Esas cancelaciones tienen dispersión temporal, tamaños irregulares y no se coordinan con la ejecución inmediata en el lado opuesto. El spoofing hace lo contrario: coloca la orden para mover la referencia, espera el llenado parcial del otro lado y retira todo en bloque.

Los modelos que corren en el mismo servidor de la bolsa ven esa secuencia completa. Un sistema remoto, incluso con fibra dedicada, llega tarde: cuando su inferencia termina, la orden ya no existe. Esa diferencia de latencia no es una ventaja competitiva, es la condición para ver el patrón.

Las métricas que usamos para separar ambos casos combinan tiempo de vida de la orden, distancia al mejor precio, correlación con el flujo agresor y simetría de cancelación entre niveles. Ninguna por sí sola alcanza; juntas reducen los falsos positivos sin frenar la operativa normal.