Centro de guías sobre prevención de fraude en…

Centro de guías sobre prevención de fraude en microsegundos

Aquí reunimos los análisis técnicos que explican cómo se detectan y bloquean las manipulaciones del libro de órdenes: spoofing, layering y otras técnicas que se resuelven en ventanas de tiempo imposibles para un sistema remoto. Si buscas el punto de partida antes de leer los artículos, esta página ordena el recorrido.

Antes de seguir: qué cubre esta guía y qué queda fuera

Esta guía reúne el material técnico sobre detección de spoofing y layering en ventanas de microsegundos, y explica qué puedes consultar aquí y qué conviene tratar por otra vía. Las definiciones que siguen no son matices menores: marcan la diferencia entre una lectura útil y una interpretación equivocada del mismo dato.

Microsegundo significa tiempo de feed, no tiempo de reloj de pared

Cuando hablamos de detección en microsegundos nos referimos al intervalo entre mensajes del feed de órdenes, no a una promesa de reacción humana. Una orden fantasma puede nacer y cancelarse entre dos actualizaciones del libro. Si tu sistema solo mira snapshots periódicos, no verá nada, aunque el evento existió.

Inferencia en el borde: alcance concreto

Desplegar el modelo junto al motor de emparejamiento reduce la latencia, pero no elimina los límites de memoria, cómputo ni versionado de pesos. Lo que esta guía describe son condiciones operativas reales de ese despliegue, no una arquitectura genérica de nube. Los acuerdos de nivel de servicio y los mecanismos de respaldo se tratan como parte del mismo problema, no como anexos.

Falsos positivos y operativa legítima

Un clasificador entrenado con cola de eventos reduce falsos positivos, pero ningún umbral fijo distingue por sí solo una retirada legítima de una manipulativa. Los ejemplos de cancelaciones agrupadas por microventanas que aparecen en los artículos son ilustrativos: sirven para leer el flujo de mensajes, no como reglas listas para copiar en producción.

Si tras leer los artículos queda alguna duda sobre terminología o sobre qué caso aplica a tu operativa, puedes escribirnos y lo revisamos con el detalle del contexto.

Preguntas frecuentes sobre la detección en el borde

Lo que suelen preguntar quienes operan o supervisan mesas con requisitos de latencia muy bajos. Si tu duda no está aquí, en la guía de ayuda encontrarás el resto de recorridos y en contacto puedes escribirnos directamente.

¿Qué significa exactamente que el modelo corra en el servidor de la bolsa?

La inferencia se ejecuta en el mismo rack que el motor de emparejamiento, no en una máquina remota conectada por red. Eso reduce el tiempo entre el evento del feed y la decisión a un rango de microsegundos. La contrapartida es un entorno cerrado: memoria limitada, cómputo acotado y reglas estrictas sobre qué se puede instalar.

¿Cómo distingue una cancelación legítima de un spoofing?

No por el número de cancelaciones, sino por el contexto temporal y la secuencia. Una retirada normal responde a un cambio de precio o a una ejecución parcial. El spoofing aparece como órdenes que se colocan lejos de la mejor referencia, se mantienen justo el tiempo suficiente para influir y desaparecen antes del siguiente tick. El clasificador mira esa ventana, no el agregado por segundo.

¿El sistema bloquea órdenes o solo avisa?

Depende de la configuración de cada mesa. Se puede operar en modo observación, donde solo se registra la señal y se compara con lo que hace el operador humano; o en modo activo, donde la orden se rechaza antes de entrar al libro. La mayoría empieza en observación durante unas semanas para calibrar umbrales con datos propios.

¿Qué pasa si el modelo se equivoca y frena una orden real?

Es el riesgo principal y por eso los umbrales se ajustan por instrumento y por horario. Un falso positivo en un futuro de índice a media sesión no pesa lo mismo que en un valor con poca liquidez al cierre. Hay un mecanismo de reversión rápida y un registro de cada decisión para revisar el caso después, no solo cuando el operador se queja.

¿Cuánto tarda el despliegue de una versión nueva de los pesos?

La actualización se hace en caliente, sin detener el flujo de mensajes. Se versionan los pesos y se aplican primero en la instancia de observación; si las métricas se mantienen estables durante un periodo definido, se promueve al nodo activo. Una actualización mal probada puede introducir bloqueos, así que el proceso es deliberadamente lento.

¿Sirve igual para acciones, derivados y cripto?

La mecánica de spoofing y layering es parecida, pero los umbrales no se trasladan. Un libro de futuros con miles de mensajes por milisegundo se comporta distinto a un par con liquidez intermitente. Cada mercado necesita su propio entrenamiento y su propia ventana de calibración.