Detecção de Anomalias para Proteção de Trading Bots: do Z-Score ao Transformer

Quem já rodou um trading bot em exchanges de cripto conhece a sensação: o bot funciona perfeitamente por uma semana e, em 30 segundos, apaga o lucro dessa semana inteira. Um flash crash em uma exchange. Uma parede falsa no order book. Uma cascata de liquidações. Ou a exchange simplesmente retornou lixo em vez de dados.

Todas essas situações têm algo em comum — são anomalias. E se o seu bot não conseguir reconhecê-las, mais cedo ou mais tarde ele se tornará vítima delas.

O que conta como anomalia no trading de cripto

Antes de caçar anomalias, precisamos concordar sobre o que estamos procurando. O machine learning distingue três tipos, e todos os três ocorrem diariamente nos mercados de cripto.

Anomalias pontuais — eventos isolados que se desviam bruscamente da norma. Um candle com volume 50 vezes acima da média. O spread BTC/USDT na Binance disparando para 0,5%. Para um bot de market making, cada evento desses é uma armadilha em potencial: entrar em uma posição a um preço falso ou sofrer slippage que consome toda a margem.

Anomalias coletivas — uma série de eventos que parecem normais individualmente, mas sinalizam um problema em conjunto. O exemplo clássico é o spoofing: alguém coloca e cancela grandes ordens limitadas ao longo de vários minutos. Cada ordem individual é comum, mas o padrão "colocar-cancelar-colocar-cancelar" com uma proporção ordem/trade de 100:1 é manipulação — e um bot que confia na profundidade do order book acabará operando sobre liquidez inexistente.

Anomalias contextuais — um valor normal no contexto errado. Um volume de negociação de bitcoin típico da sessão de Londres, mas observado às 3h da manhã UTC de um domingo. Sem considerar o contexto, essas anomalias são invisíveis — e são justamente as que mais frequentemente escapam dos detectores básicos.

Visualização dos três principais tipos de anomalias em dados de trading: picos pontuais, padrões coletivos e desvios contextuais.

Ruído vs. anomalia: o problema do contexto

Uma anomalia não é apenas "dado estranho". É um desvio que carrega informação. É crucial distinguir:

• Ruído: Flutuações aleatórias que fazem parte do regime normal do mercado.
• Drift: Uma mudança gradual nas condições de mercado (ex.: transição de uma noite de baixa volatilidade para uma manhã ativa).
• Anomalia: Uma violação súbita do padrão esperado.

Determinar a diferença entre ruído inofensivo, drift persistente e anomalias perigosas é um desafio-chave para qualquer detector.

Métodos simples que resolvem 80% dos problemas

Nem tudo precisa ser resolvido com redes neurais. Três detectores básicos são suficientes para a maioria dos trading bots.

Z-Score: filtro rápido de extremos

O Z-Score mostra quantos desvios padrão o valor atual se afasta da média móvel. Calculado em microssegundos, funciona em qualquer timeframe.

Usamos para três tarefas: filtragem de volume anormal (Z-Score > 3 — sinal para ampliar spreads ou pausar a cotação), monitoramento de spread (o alargamento anormal do bid-ask frequentemente precede movimentos bruscos), e taxa de funding de futuros (valores extremos alertam para uma provável cascata de liquidações).

O Z-Score identifica eventos extremos medindo quantos desvios padrão um ponto está da média. Valores que excedem ±3σ são tratados como outliers na maioria dos sistemas de trading.

Limitação importante: os mercados de cripto têm distribuições de cauda pesada. Um evento que, segundo uma distribuição normal, deveria ocorrer uma vez a cada milhão de anos (6σ), acontece mensalmente em cripto. Portanto, o Z-Score é um filtro grosseiro de anomalias, não um veredito final.

Level Shift Detector: quando o mercado muda de regime

Pegamos duas janelas móveis consecutivas e comparamos suas médias. Se a diferença ultrapassar um limiar — ocorreu uma mudança de nível (level shift). Estratégias de market making lucram em mercado estável e perdem em movimentos bruscos. Um Level Shift Detector sobre volume e volatilidade alerta para uma mudança de regime minutos antes de ela se tornar óbvia no preço.

Aplicamos isso a várias métricas simultaneamente: tamanho médio de trade, profundidade do order book nos primeiros 5 níveis, número de trades por unidade de tempo. Se o Level Shift disparar em pelo menos duas métricas — o bot muda para o modo defensivo.

Volatility Shift Detector: sentindo a tempestade

Uma abordagem semelhante, mas em vez de médias, comparam-se desvios padrão. Um aumento brusco na volatilidade é um sinal para reconsiderar parâmetros. Um padrão interessante: volatilidade anormalmente baixa frequentemente precede um movimento explosivo. O Volatility Shift Detector capta os dois casos — compressão e expansão.

Os detectores Level Shift e Volatility Shift são fundamentais para identificar 'mudanças de regime' — mudanças estruturais súbitas no comportamento do mercado que exigem parâmetros de trading diferentes.

HBOS: análise multidimensional rápida

Quando você precisa monitorar 10+ indicadores simultaneamente sem o custo de ML complexo, o HBOS (Histogram-Based Outlier Selection) é a melhor escolha. Ele assume independência das features e constrói um histograma para cada uma. O score de anomalia é o produto das densidades inversas em todos os histogramas.

O HBOS é significativamente mais rápido que métodos baseados em distância como o LOF, tornando-o adequado para filtragem de alta frequência de vetores de estado multidimensionais.

Machine learning: quando a estatística não é suficiente

Métodos básicos trabalham com um indicador de cada vez. Mas anomalias reais frequentemente se manifestam como uma combinação incomum de indicadores: o volume é normal, o spread é normal, mas volume + spread + taxa de variação de preço + desequilíbrio do order book juntos — são anômalos. É aqui que o ML se torna necessário.

Um panorama estruturado dos métodos de detecção de anomalias: dos algoritmos clássicos não supervisionados às arquiteturas de deep learning.

Isolation Forest: melhor equilíbrio para produção

De todos os métodos de ML para detecção de anomalias, o Isolation Forest é o que melhor se ajusta aos sistemas de trading. O algoritmo constrói um ensemble de árvores de decisão que particionam aleatoriamente o espaço de features. Pontos anômalos, por serem "raros e diferentes", são isolados em menos divisões.

Por que Isolation Forest? Ele não requer dados rotulados — rotular anomalias em mercados de cripto é praticamente impossível, já que cada flash crash é único. A inferência rápida em milissegundos torna viável o uso quase em tempo real. E, crucial para produção: as previsões podem ser explicadas por meio de valores SHAP — você não apenas sabe que um momento é anômalo, você entende por quê.

Em dados de bitcoin, o Isolation Forest detectou não apenas anomalias óbvias, como o pico de volatilidade quando a Tesla rejeitou pagamentos em BTC em 2021, mas também anomalias sutis — períodos em que movimentos de preço não eram sustentados por volume, indicando manipulação externa. Ao analisar spoofing, o SHAP mostra que os indicadores-chave são cotações desequilibradas no order book e atividade de cancelamento anormalmente alta.

O algoritmo Isolation Forest funciona particionando aleatoriamente o espaço: outliers são isolados em significativamente menos divisões do que pontos em clusters densos.

LOF: melhor escolha para monitoramento multi-exchange

O Local Outlier Factor avalia a anomalia de um ponto comparando sua densidade local com a de seus vizinhos. Um estudo (Springer, 2024) que comparou LOF, Isolation Forest e One-Class SVM em dados de criptomoedas concluiu que o LOF é o mais eficaz — encontrou anomalias reais com o menor número de falsos positivos, mostrando desempenho estável tanto em bitcoin quanto em dogecoin.

Por que o LOF importa para infraestrutura multi-exchange? Dados de diferentes exchanges têm "densidades" diferentes — a Binance vê milhares de trades por segundo, uma exchange de nicho vê dezenas. Métodos globais como o Z-Score produzirão falsos positivos em exchanges de nicho ou perderão anomalias nas grandes. O LOF se adapta ao contexto local.

O LOF compara a densidade local de um ponto com a de seus vizinhos. Isso permite encontrar outliers que são anômalos 'localmente', mesmo que sejam consistentes com os padrões globais dos dados.

A limitação é a complexidade quadrática em relação ao número de pontos. Para dados em tempo real em nível de tick, é lento demais, mas para agregados por minuto em mais de 100 exchanges — é ideal.

Autoencoders: análise profunda do order book

Um autoencoder é uma rede neural que comprime os dados em uma representação compacta e os reconstrói. Treinado com dados "normais", um erro de reconstrução alto sinaliza então uma anomalia.

Para análise do order book, essa é a ferramenta mais poderosa. Um order book com 20 níveis de bid e 20 de ask é um vetor de 40 dimensões atualizado centenas de vezes por segundo. Um LSTM Autoencoder considera não apenas o estado atual, mas a dinâmica — como o order book mudou ao longo dos últimos N ticks. A abordagem híbrida "LSTM Autoencoder + One-Class SVM" separa as responsabilidades: a rede neural cuida da extração de features, o ML clássico cuida da tomada de decisão. A principal desvantagem é o custo computacional: a inferência em tempo real requer uma GPU.

Autoencoders aprendem uma representação 'latente' comprimida de dados normais. Anomalias falham em ser reconstruídas com precisão, resultando em um alto escore de erro usado para detecção.

Arquitetura em cascata: juntando tudo

Nenhum método sozinho resolve todos os problemas. Métodos rápidos deixam passar anomalias complexas. Métodos precisos são lentos demais para tempo real. A solução é uma arquitetura em cascata em que cada camada seguinte captura o que a anterior deixou passar.

Arquitetura de detecção de anomalias em múltiplas camadas: de limites rígidos em milissegundos até análise de deep learning em segundo plano.

Camada 1 — Fast Path (menos de 1 ms). Z-Score em volume, spread e variação de preço. Verificação de persistência. Limites rígidos. Ao disparar — pausa imediata do trading. Essa camada protege contra flash crashes, erros de API e manipulações grosseiras. Implementada no loop principal do bot sem dependências externas.

Camada 2 — Near Real-Time (1–100 ms). Isolation Forest sobre features combinadas. Detectores Level Shift e Volatility Shift. Ao disparar — mudança de modo de trading, ajuste de parâmetros. Executa em uma thread paralela.

Camada 3 — Análise em segundo plano (1–60 segundos). LOF em dados multi-exchange. LSTM Autoencoder nos estados do order book. Análise de resíduos de decomposição sazonal. Ao disparar — alertas, ajustes nos parâmetros da estratégia.

Camada 4 — Análise em lote (horária/diária). DBSCAN para detecção de wash trading. PCA para monitoramento de correlação entre exchanges. Retreinamento completo dos modelos. Saída — relatórios, atualizações de modelo, recalibração de limiares para as camadas anteriores.

Cada camada opera de forma independente. Se a camada 3 cair — as camadas 1 e 2 continuam protegendo o bot. Tolerância a falhas e degradação graciosa são propriedades obrigatórias de qualquer infraestrutura de trading.

Recomendações práticas

Algumas lições da produção.

Comece simples. Z-Score + Level Shift + Volatility Shift podem ser implementados em um dia. Isso cobre a maioria dos cenários de perda causados por condições anormais de mercado. O cluster de GPU pode vir depois.

O parâmetro contamination é o hiperparâmetro mais importante. No Isolation Forest, ele define a proporção esperada de anomalias. Para mercados de cripto usamos 0,01–0,05, dependendo do par e da exchange. Muito baixo — você perde anomalias reais. Muito alto — falsos positivos paralisam o trading.

Limiares adaptativos em vez de fixos. Os mercados de cripto são não estacionários. Um limiar que funcionava em janeiro gerará falsos positivos em março. Use EWMA para atualizar limiares, ou retreine periodicamente os modelos em uma janela móvel.

Registre todas as anomalias. Mesmo que você não reaja automaticamente — salve o rótulo com contexto. Em um mês você terá um dataset para treinar modelos supervisionados e analisar quais anomalias precederam as perdas.

Teste em incidentes reais. Construa uma coleção de anomalias históricas: o flash crash de maio de 2021, a cascata de liquidações da FTX, o colapso do LUNA. Execute cada novo detector nesses cenários. Se ele não captar incidentes conhecidos — é inútil.

O que vem a seguir

Três direções que vale a pena acompanhar.

Modelos baseados em Transformer para order books. Pesquisas recentes mostram que Transformer autoencoder + OC-SVM em dados de Limit Order Book supera significativamente todas as abordagens anteriores para detecção de spoofing. Um Staged Sliding Window Transformer em dados de alta frequência EUR/USD (315 milhões de registros) alcançou acurácia de 0,93, F1 de 0,91, AUC-ROC de 0,95 — significativamente melhor que Random Forest, LSTM e CNN.

Arquiteturas Transformer com atenção multi-head estão se mostrando excepcionalmente capazes de identificar padrões temporais complexos em dados de Limit Order Book de alta frequência.

GANs para geração de anomalias sintéticas. Um dos principais desafios é a falta de dados rotulados. GANs podem gerar cenários de manipulação realistas para treinar modelos supervisionados. Já existem arquiteturas que alcançam 94,7% de acurácia com latência abaixo de 3 ms e throughput de 150.000 transações por segundo.

Redes Generativas Adversariais (GANs) podem ser usadas para aumentar datasets criando anomalias sintéticas realistas, resolvendo o problema crítico de escassez de rótulos em trading.

Change Point Detection (CPD). Em vez de apenas procurar outliers, o CPD foca em identificar o momento exato em que as propriedades estatísticas do sinal mudaram. Isso é crucial para alternar entre regimes de market making (ex.: de mean-reversion para trend-following).

O Change Point Detection identifica mudanças estruturais em dados de séries temporais, destacando a fronteira entre diferentes regimes de mercado.

Anomalias não são um recurso opcional. É a base sem a qual o algo trading se torna jogo de azar. E quanto antes você a construir, menos lições caras o mercado precisará te ensinar.

Referências

1. Anomaly detection in cryptocurrency markets using Isolation Forest
2. LOF: Identifying local outliers in high dimensional space
3. Isolation Forest for Anomaly Detection (Sklearn Documentation)
4. PyOD: A Comprehensive Python Toolbox for Outlier Detection
5. Transformer-based models for Limit Order Book anomaly detection
6. Ethical Issues and Market Manipulation in Cryptocurrency

Citação

@software{soloviov2026anomalydetectionalgotrading,
  author = {Soloviov, Eugen},
  title = {Anomaly Detection for Trading Bot Protection: From Z-Score to Transformer},
  year = {2026},
  url = {https://marketmaker.cc/en/blog/post/anomaly-detection-algotrading},
  version = {0.1.0},
  description = {Which anomaly detection methods actually work in crypto algo trading, how to build a cascading protection architecture, and why this is the foundation without which algo trading becomes gambling.}
}