預測市場（Prediction Market）已於 2024 年至 2026 年間，從加密貨幣領域的實驗性項目轉型為主流金融產品。 Polymarket、Kalshi、Manifold 和 Limitless 等平台，在涵蓋政治選舉、體育賽事、宏觀經濟及加密貨幣價格等備受矚目的事件上，累積了數十億美元的交易量。 憑藉這般規模，預測市場也已成為市場操縱的高價值目標——然而，相較於現貨或永續合約市場，預測市場卻更容易遭到操縱。

為何預測市場更容易被操縱？有三大根本原因：1) 結算方式為二元結果，因此操縱所帶來的收益會呈非線性增長；2) 流動性薄弱（特別是在長尾事件上），一筆 50,000 美元的訂單就足以將價格從 0.30 推升至 0.70； 3) 資訊不對稱是自然現象——政治人物、選手家屬或上市公司高管，皆可在資訊公開前的幾分鐘內建立部位，並獲取接近 100% 的內線交易回報。 這三項特徵結合起來，使預測市場成為內線交易、虛假交易、西比爾攻擊（Sybil attacks）以及結算窗口狙擊的溫床。

對於營運預測市場的團隊而言，監控已不再是「有則更好」的選項——而是生存的最低門檻。 若監管機構認定某平台「縱容操縱行為」，該平台將面臨罰款、撤銷執照及用戶流失；若市場認為某平台「數據失真」，該平台將流失資訊交易者並自然消亡。

本文首先探討預測市場易受操縱的金融結構性原因，接著剖析各種操縱手段（內線交易、虛假交易、西比爾攻擊、虛假報價、操縱收盤價、預言機攻擊），並提出一套具備完整工程實現的分層偵測架構（規則引擎 + 統計異常偵測 + 圖演算法 + 機器學習）。 內容涵蓋警報分級、人工審查工作流程、執法措施（持倉限額、訂單取消、市場無效、結算延遲）、採用 UMA 風格樂觀預言機的爭議解決機制、可解釋性與證據鏈、東南亞各地的監管報告（馬來西亞證監會、印尼 BAPPEBTI/OJK、泰國證監會、 新加坡金融管理局（MAS）），以及基於 Flink/Kafka 與圖資料庫的工程架構，並以 SoonTech 的商品化解決方案作為結尾。無論您是預測市場的產品負責人、風險總監、合規主管，還是 CTO 架構師，閱讀本文後都將獲得一套可直接實施的完整框架。

1. 為何預測市場本質上更容易遭到操縱

1.1 三大根本原因

原因 1：結算結果為二元，且收益會被非線性放大。在現貨或永續期貨市場中，將價格推高 1% 僅會產生 1% 的價差。 但在二元「是」合約中，將價格從 0.30 推升至 0.90 意味著「持倉成本 0.30、潛在結算價 1.00，在 3 倍槓桿基礎上可獲得 200% 的回報」。 使用相同資本的操盤者，所能獲得的操作回報，可達現貨操盤者的數倍之多。

原因 2：市場流動性薄弱，單一訂單便足以定價。 主流的長尾事件市場（例如：「民主黨能否在 2026 年美國國會選舉中奪回第 7 選區？」）的靜態深度可能僅有 20,000 至 30,000 美元。 一筆 10,000 美元的市價單便可能使價格波動 30 至 50 個基點。像 Polymarket 和 Kalshi 這樣的知名平台，在熱門事件上每日成交量可能達到 5,000 萬美元，但在 95% 的事件中，每日成交量低於 50,000 美元。

原因 3：資訊不對稱是自然現象，且難以消除。 預測市場事件的結果通常只有極少數人知曉——例如國會議員的投票意向、運動隊伍的先發陣容，或是外洩的經濟數據。這些人能在資訊公開前 5 至 10 分鐘建立倉位，並獲得接近 100% 的內線投資回報。 在傳統金融領域，此類「內線交易」會遭到美國證交會（SEC）的SMARTS系統及金融業監管局（FINRA）的監控機制偵測並調查；但在預測市場中，當涉及「最後一哩」的資訊優勢時，協議層幾乎無法區分合法研究與內線交易。

1.2 與現貨交易所的比較

非線性，0.30→0.90 = 200% 報酬率

流動性

熱門交易對通常擁有超過 5,000 萬美元的 24 小時深度

95% 的交易對日交易量低於 $50,000

結算

持續定價，可隨時結算

二元／離散結果，於到期時結算

資訊來源

大量公開數據 + 鏈上指標

極少數內部消息 + 公開新聞

做市激勵機制

高頻交易（HFT）與做市商（MMs）之間競爭激烈

長尾市場上沒有專業人士

操盤後追蹤

成熟的監管機構與市場監察單位

監管框架仍在建構中

1.3 市場操縱的實際成本與潛在收益

以下數據將說明為何預測市場是「低成本、高回報」的攻擊目標。 假設操縱者掌握非公開資訊，事件將於 30 分鐘內揭曉，當前「是」的價格為 0.40（市場尚未將真實結果 0.95 反映在價格中），且操縱者花費 50,000 美元買入「是」。 結算時，他們將獲得 50,000 美元 / 0.40 = 125,000 股「是」標的，以 1.00 贖回即得 125,000 美元，淨利潤 75,000 美元，30 分鐘回報率達 150%。 即使扣除 5% 的滑點、2% 的手續費，以及 10% 被監控系統攔截的機率，預期報酬率仍超過 50%。

這就是為什麼，對於一個規模達 6 億美元的預測市場，攻擊者會花費數十萬美元進行研究、虛假交易和操縱：只要成功一次，回報就足以覆蓋一整年的成本。 當 SoonTech 為東南亞客戶建構監控解決方案時，我們一再強調：「監控的投資報酬率（ROI）並非成本中心，而是平台的生存底線。」

2. 操縱現況：從內線交易到結算窗口狙擊

2.1 操縱手法分類

關聯帳戶之間進行相互交易

高

在大多數司法管轄區中明確屬違法

自對沖

同一帳戶進行自交易

高

平台規則明確禁止

多帳號關聯／西比爾攻擊

一名自然人控制多個帳戶

高

違反平台服務條款

偽造

下單後又取消的大額訂單，用以虛增訂單深度

中級

由美國商品期貨交易委員會（CFTC）明確界定

虛假流動性／分層

多層級訂單以偽造深度

中等

受 CFTC / FCA 監管

操縱收盤價

結算前幾分鐘出現集中買盤

極端

典型的市場操縱

激勵型套利／空投挖礦

利用平台獎勵機制

中等

違反服務條款

Oracle / 解析來源的處理

攻擊或賄賂資料來源

極端

刑事犯罪

謠言操縱

與特定立場相符的假新聞

高

在大多數司法管轄區屬違法

2.2 結算窗口的「黃金五分鐘」

預測市場與現貨／永續合約之間最大的差異在於「結算窗口」——事件到期前的最後幾分鐘至數十分鐘，是攻擊發生率最高的時期。原因有三：

1. 流動性迅速枯竭（其他交易者已平倉或持觀望態度）；
2. 公開資訊尚未被充分消化（官方公告／數據發布存在滯後）；
3. 操盤者已掌握相關資訊，並等待「最後一刻」以實現收益最大化。

在生產環境中，SoonTech 觀察到約 68% 的明顯異常交易集中在事件到期前的最後 60 分鐘內，其中 42% 則集中在最後 5 分鐘。 監控系統在決策窗口期間必須進入「高壓模式」——採用更敏感的閾值、更密集的警報，以及更高優先級的人工干預。

2.3 操盤者的工業化

2025 年後，預測市場的操縱行為已不再是「單人手動操作」的工坊式攻擊。我們觀察到三種工業化趨勢：

• 機器人群：攻擊者利用腳本同時控制數十至數百個帳戶，協調持倉與時機；
• 資訊預佈局：在 Twitter、Telegram 群組及 Discord 頻道招募「資訊經紀人」，並根據結果分享利潤；
• 跨平台同步：利用相同資訊在 Polymarket、Kalshi、Limitless、Opinion 等平台同步建立倉位，以分散風險。

這要求監控系統必須在「帳戶群組」與「跨平台」兩個維度上進行關聯分析——僅靠單一帳戶的閾值警示遠遠不夠。

3. 內線交易偵測模型

3.1 內線交易的三項特徵

預測市場內線交易與現貨市場內線交易的核心差異，在於「價格收斂速度」。 公開資訊發布後，預測市場的價格應迅速趨向 0 或 1。若在公開資訊發布前，價格已呈現與最終結果一致的「方向性偏移」，且建立該部位的帳戶具備「事前關聯證據」，則極可能涉嫌內線交易。

特徵 1：事件前漂移。價格在公開資訊發布前 60 分鐘內，呈現超過閾值（例如 10 個基點）的單向變動，且方向與最終結果一致。

特徵 2：時間相關性。價格偏移的時機與「資訊來源可取得之時間」高度相關。例如，籃球比賽的先發陣容在開球前 30 分鐘公布，但某些帳戶卻已在開球前 60 分鐘建立部位。

特徵 3：帳戶聚類。多個帳戶在相近時間朝同一方向建倉，且彼此之間存在關聯性證據（裝置／IP／資金／行為相似性）。

3.2 特徵工程：內線交易訊號表

account_count_cluster

持有多頭倉位的帳戶數量

> 5

0.15

info_source_timing

資訊來源發布時間與建倉時間之間的間隔

< 30 分鐘

0.20

pnl_to_volume_ratio

帳戶損益／交易量

> 0.30

0.10

account_age

自帳號註冊以來已過多少天

< 7 天

0.05

device_reuse_count

使用相同裝置指紋的其他帳戶數量

> 1

0.10

cross_platform_match

同一裝置／IP 曾在其他平台上出現類似行為

是

0.05

權重總和為 1.0。每個帳戶的分數 = Σ(歸一化特徵值 × 權重)。分數 > 0.65 將觸發高階警示。

3.3 時間序列異常偵測

在事件發生前的漂移識別中，單點閾值警示容易忽略「緩慢累積」的操縱行為。我們建議採用時間序列異常偵測：

• CUSUM / Page-Hinkley：偵測價格均值／變異數的累積偏移，對緩慢漂移敏感；
• Prophet / STL：建模價格的「正常」週期性波動（賽前與賽中、宏觀數據發布前後），偵測殘餘異常；
• 貝葉斯變點法：即時偵測價格分佈中的變點，適用於低延遲情境。

3.4 與事件來源的時間對齊

監控系統必須維護一個「事件來源時間軸」：

• 籃球比賽：開球、先發名單公布、得分時刻；
• 政治選舉：辯論、投票截止、結果公布；
• 一項宏觀數據點：發布時間（以官方時區為準）。

每個建倉事件皆會與此時間軸對齊，並計算出「與最近事件來源的時間差」。若有多個帳戶在高內幕價值的事件來源（如先發陣容、內部投票、經濟數據）公開前 30 分鐘以上建倉，則內線交易的可能性將顯著上升。

4. 虛假交易與自交易偵測

4.1 虛假交易的定義與危害

虛假交易是指帳戶之間相互交易以製造虛假成交量和價格的行為。在預測市場中，虛假交易通常有以下兩個目的：

1. 空投挖礦／激勵套利：平台會根據交易量給予獎勵，而虛假交易能在零成本（或扣除手續費後略為虧損）的情況下，偽造「真實用戶行為」；
2. 操縱價格／流動性認知：偽造「活躍市場」以誘引其他交易者，或將做市商的報價推向操縱者的目標價位。

自對沖是虛假交易的一種特殊形式——由同一控制者管理的帳戶之間相互交易，或同一帳戶對自身下單（在支援雙向持倉的撮合系統中）。

4.2 偵測特徵

price_unchanged

交易前後的中間價變動

< 0.5%

volume_to_unique_accounts

總成交量／獨特交易對手帳戶數

> 10倍

round_trip_count

同一帳戶群組在 24 小時內的閉環交易筆數

> 5

cross_market_correlation

跨市場同步虛假交易

高度相關

自對沖率 = 來自關聯帳戶的交易對手方成交量 / 該帳戶總成交量。當該比率超過 30% 時，將觸發中度警報。

4.3 閉環偵測演算法

閉環偵測（往返交易偵測）會追蹤每個帳戶的「買入－持有－賣出」序列，以識別「A 賣給 B，B 賣回給 A」或「A→B→C→A」等循環模式。我們採用圖論演算法：

1. 建立「帳戶 × 時間」的有向圖，每條邊代表一次「賣出」操作；
2. 偵測所有長度 ≤ 5 的循環（短循環數量顯著多於長循環 = 可疑）；
3. 針對每個循環，計算總損益（PnL）、價格偏移及持續時間，並輸出可疑分數。

已知關聯帳戶（相同 KYC 識別碼、相同裝置指紋、相同鏈上地址群組）將獲得較高的權重。對於未被識別但相似的帳戶，會先採用圖嵌入技術進行候選群組分類，隨後由人工審查。

4.4 低成本的虛假交易變體

工業化洗盤交易不會留下明顯的「A→B→A」模式，而是採用更複雜的結構：

• 中繼式虛假交易：A→B→C→D→E，A 獲得 5% 的價差利潤，B–E 各獲得 1%，但資金最終會流回 A 所控制的鏈上地址；
• 時間偏移：A 於 T0 時點賣給 B，B 於 T0+10 時點賣給 C，C 於 T0+20 時點賣給 A，三筆交易價格幾乎完全相同；
• 跨市場虛假交易：A 在市場 X 將 outcome_1 賣給 B，B 在市場 Y 將 outcome_1 賣給 C，C 在市場 X 將 outcome_1 賣給 A。

要偵測這些變體，需要更複雜的圖論演算法（帳戶-市場-時間異質圖）及行為序列模型（Transformer）。

5. 多帳戶關聯與西比爾攻擊偵測

5.1 關聯維度

在實際運作中，SoonTech 採用五個維度進行帳戶關聯分析，其權重依據反詐欺專家標籤進行微調：

同一家庭 Wi-Fi 下的 5 個帳戶

資金流動

鏈上存款地址、鏈上提領地址、鏈上行為圖譜

0.25

多個帳戶由同一地址注資

行為相似性

交易時間模式、下單模式、滑點容忍度、使用者介面操作節奏

0.15

由同一腳本控制的帳戶

KYC 及元資料

身分證號碼、電話號碼、電子郵件、銀行卡、推薦人

0.15

同一身分證號碼開立多個帳戶

關聯分數 = Σ(歸一化維度值 × 權重)。分數 > 0.70 判定為高度關聯（一人多帳戶），0.50–0.70 判定為可疑關聯。

5.2 裝置指紋實作細節

裝置指紋識別不能僅依賴 IP 或 Cookie；必須結合多維度訊號：

• 硬體層：螢幕解析度、像素比例、GPU 型號、CPU 核心數、記憶體、電池；
• 軟體層：使用者代理（UA）、語言、時區、已安裝字型、Canvas/WebGL 渲染指紋、AudioContext 指紋；
• 行為層：滑鼠軌跡、鍵盤節奏、點擊壓力（行動裝置）、陀螺儀（行動裝置）；
• 網路層：IP、ASN、Wi-Fi BSSID（行動裝置）、IP 區段、TCP 指紋。

SoonTech 的裝置指紋 SDK 在行動裝置上實現了 99.5% 的同裝置識別穩定性（同一支手機，開啟多個應用程式時仍保持穩定），而跨裝置識別（同一人，多台裝置）則透過行為相似性進行輔助。

5.3 鏈上地址聚類

鏈上預測市場（尤其是基於 Polygon、Base、Arbitrum 的平台）擁有大量存入／提領地址，而地址聚類是進行帳戶關聯的「金礦」：

• 共同支出：多個地址作為同一筆交易的輸入，很可能受同一主體控制；
• 找零地址：識別找零模式（某筆交易的其中一個輸出金額遠小於其他輸出，且尚未被花費）；
• 交易所熱錢地址：從同一交易所提領至多個平台地址；
• 混幣器標籤：採用隱私協議（如 Tornado Cash、Railgun）的地址具有特殊標籤；
• NFT／社交圖譜：錢包中的 NFT 持有量，以及鏈上社交關係作為輔助訊號。

SoonTech 與 Chainalysis、Elliptic、TRM Labs 及其他鏈上分析服務供應商合作，並已建立覆蓋 30 多條主要區塊鏈及 L2 的內部地址聚類模型。

5.4 行為相似性

行為相似性用於識別由「相同腳本／同一集團」控制的帳戶。常見特徵：

• 時間模式：交易時段的分布、活躍時長統計（相同腳本通常在固定時間窗口內活躍）；
• 訂單模式：訂單價格偏離中價的分布、取消率、從取消到成交所需的時間；
• 交易節奏：相鄰交易之間的時間間隔分佈、訂單規模分佈；
• 錯誤恢復：網路故障後的重試模式、API 呼叫簽名。

我們採用自編碼器進行行為嵌入；在嵌入空間中，相似帳戶之間的距離顯著小於無關帳戶。

5.5 西比爾攻擊的產業鏈

自 2025 年起，針對預測市場的西比爾攻擊已形成一條產業鏈：

• 帳號農場：批量註冊帳號、綁定手機號碼、通過人臉識別（部分平台）、培育帳號；
• 裝置農場：集團控制的手機／平板電腦、模擬器、裝置變異工具；
• 資金渠道：透過場外交易櫃檯、場外交易、PayPal／銀行帳戶為多個帳戶充值；
• KYC 繞過：利用東南亞、非洲、南美洲的「白帽駭客」代為通過人臉識別；
• 決策協調：透過 Telegram 群組及加密聊天，協調下單時機、持倉部位及平倉節奏。

SoonTech 的 Sybil 識別模型於 2025 年部署於東南亞某客戶後，在 3 個月內識別並封禁了 4,200 個 Sybil 帳戶群組，挽回了約 120 萬美元的潛在損失。

6. 偽造身分、虛假流動性與訂單簿操縱

6.1 虛假報價的定義

虛假報價是《2010年美國多德-弗蘭克法案》明確界定的市場操縱行為：交易者下達大額訂單卻無意執行，藉此偽造供需狀況，待其他交易者跟單後便取消訂單，並反向交易以獲利。

在預測市場的訂單簿中，典型情境如下：

1. 攻擊者在「是」選項以 0.40 的價格下達 50 萬美元的買單，偽造「強勁買盤」；
2. 散戶看到買盤後跟進，將「Yes」推升至 0.45；
3. 攻擊者取消該委託，並以 0.45 的價格賣出預先建立的「Yes」部位；
4. 價格回落至 0.41，攻擊者獲利 5% × 持倉量。

6.2 分層

分層下單是虛假報價的升級版：攻擊者在多個價格層級下單以偽造「深度」，但並無意讓任何一筆訂單成交。例如：

• 在 0.40/0.41/0.42 價格位下達三筆 100,000 美元的買單；
• 在 0.44/0.45/0.46 價位下達三筆 100,000 美元的賣單；
• 在價位中間形成「4 基點價差、300,000 美元深度」的假象；
• 待散戶在價中成交後，攻擊者便取消其中一側訂單並反向下單。

6.3 偵測特徵

> 2個基點

cancel_after_other_trade

取消是否會跟隨同一側其他人的填補

是

inventory_imbalance

取消後的帳戶持倉方向

與取消方向相反

layer_count

同一方向的價格層級數量

> 3

訂單與成交比率 = 訂單量 / 成交量。當該比率超過 20 倍時，將觸發中度警示；若取消率超過 80% 且取消延遲 < 10 秒，則為虛假報價的強力證據。

6.4 真實流動性與虛假流動性

區分真實流動性與虛假流動性，是預測市場做市商與監管機構面臨的常見挑戰。SoonTech 的方法引入了「流動性信心分數」：

• 各層級的流動性會根據「過去 1 小時的成交量 / 訂單規模」進行加權；
• 存續時間長但極少成交的訂單（幽靈訂單）會被降低權重；
• 在價格快速波動期間，未隨價格變動的訂單方 = 高信心（做市商），隨價格變動或取消訂單者 = 低信心（可能為虛假報價）；

此評分會顯示於前端介面（色彩標尺或圖示），讓使用者能直觀辨識「哪些流動性是真實的」。

6.5 標記收盤價

預測市場的「收盤價」對應於結算時的隱含價格或最後成交價。攻擊者可能會在結算前最後 5 至 10 分鐘集中買入，將收盤價推近 1.00，進而在其他系統中觸發連鎖反應：自動結算、指數基金淨資產價值（NAV）定價、做市商對帳。

偵測要點：

• 過去 N 分鐘內（N 通常為 5–15 分鐘）成交量出現異常飆升；
• 結算前帳戶中出現集中於單一方向的持倉，尤其是新註冊或長期閒置的帳戶；
• 由同一操控者控制的多個帳戶進行同步操作。

SoonTech 建議在結算前 30 分鐘啟動「高壓模式」：所有新訂單限額設為 0.5 倍，異常帳戶的新倉位將被凍結，且關鍵事件需經人工確認。

7. 預言機與結算來源篡改防禦

7.1 預言機攻擊的嚴重性

預言機是預測市場的「信任錨點」；一旦遭入侵，整個事件鏈中的所有持倉都可能被錯誤結算。 2023 年，某大型預測平台曾因資料來源錯誤，將一場已取消的賽事結算為「主隊獲勝」，導致 280 萬美元的錯誤支付；2024 年，另一平台則因彙總服務商傳回受污染的 API 回應，而錯誤結算了一項宏觀數據事件。

7.2 攻擊面

時區與時間戳記的處理

資料來源時間戳遭攻擊

至少 3 個獨立的時間來源

事件描述的模糊性

描述含糊不清，攻擊者選擇對其有利的詮釋

嚴格的市場創建審查

零知識證明偽造

攻擊者偽造零知識證明

多個驗證者、信任最小化電路

7.3 多來源聚合與中位數

針對可量化的事件（體育賽事比分、加密貨幣價格、宏觀經濟數據），SoonTech 規定必須至少有 3 個獨立的數據來源：

• 其中至少須包含 Chainlink、API3、UMA 中的兩項，加上內部資料蒐集；
• 至少 2 個來源必須返回一致的結果，才能進入提案階段；
• 若出現意見分歧，則觸發「延遲結算」或「人工審查」工作流程。

針對主觀事件（政治、娛樂），除需提供嚴格的事件描述外，還須具備至少 3 個獨立且可驗證的來源；提案者於提出提案時，必須附上連結及原始文本。

7.4 樂觀預言機與挑戰期

參考 UMA 的樂觀預言機設計：

• 提案階段：提案者提交結果及證據連結，並押入保證金；
• 挑戰階段（2–24 小時）：任何人均可提出挑戰，挑戰者必須押入更高額度的保證金；
• 無人挑戰即自動通過：若在期限內無人提出挑戰，結果將自動生效；
• 升級處理：爭議將升級至更高層級的解決機制（理事會、DAO 投票、鏈下法庭）。

挑戰期限應根據事件價值動態調整——低價值事件為 2 小時，高價值事件為 24 小時，政治選舉則為 72 小時。SoonTech 的實作方案允許在市場建立時自訂挑戰期限。

7.5 資料簽名與可驗證證據

新一代預言機要求資料來源提供可驗證的證據：

• API 簽名：資料來源使用 Ed25519 私鑰對回應進行簽名，預言機則驗證該簽名；
• TLS Notary / DECO：證明資料確實來自特定的 HTTPS 端點；
• 官方頁面快照：透過 OpenTimestamps 或 IPA（權威繼承證明）將官方頁面錨定於特定時間點；
• 新聞機構數位簽名：路透社（Reuters）、美聯社（AP）對官方公告進行簽名。

SoonTech 的 Oracle Hub 整合了 Chainlink Functions、API3 QRNG、UMA 樂觀預言機，以及自研的可驗證證據儲存方案。

8. 分層檢測架構：規則、統計、圖論演算法與機器學習

8.1 為何需要分層架構

任何單一偵測方法皆有其局限：

• 純規則：精準度高，但召回率低，難以偵測「未見過」的模式；
• 純機器學習：召回率高，但屬黑箱機制，難以解釋，且容易被對抗樣本繞過；
• 純圖演算法：擅長結構化關聯，但在時間序列與文字訊號方面較弱；
• 純統計方法：對異常情況敏感，但閾值難以調校，且假陽性率偏高。

在實際運作中，SoonTech 採用四層架構，各層職責明確且可獨立升級：

100 毫秒–1 秒

低

L3 圖演算法

Neo4j / TigerGraph / GraphX

帳戶關聯、閉環、群組

1–10 秒

中等

L4 機器學習

XGBoost / GNN / Transformer

複雜模式、未見過的威脅

10 秒–數分鐘

中高

每個層級輸出「可疑分數 + 證據」，並由「警報彙總器」進行評分後推送至警報佇列。

8.2 L1 規則引擎

規則引擎是合規的基準，負有三項職責：

1. 硬性合規規則：地理限制、年齡限制、KYC 狀態、單筆交易限額、累計限額；
2. 已知違規模式：自我匹配偵測、明顯的偽造交易模式、已知的西比爾（Sybil）地址；
3. 監管報告觸發條件：當達到特定閾值（累計交易量、單筆交易規模）時，直接生成可疑交易報告（SAR）或可疑交易申報（STR）草稿。

規則是以 DSL 編寫的（SoonTech 的 DSL 與 WHEN account.age < 7d AND trade.size > 10000 THEN alert("new_account_large_trade"))，並支援熱重載、版本控制及 A/B 測試。

8.3 L2 統計異常

針對每個帳戶及每個市場維護時間序列：

• 成交量、訂單規模、取消率的滾動平均值與變異數；
• 價格變動的 z 分數與四分位距（IQR）；
• CUSUM / Page-Hinkley 累積偏差。

當某項指標偏離歷史分佈且超出閾值（例如 3σ 或第 99.5 百分位數）時，觸發警報。 此層級主要用於偵測「已知模式的統計異常」，例如「某帳戶在 1 小時內的成交量是過去 30 天的 10 倍」。

8.4 L3 圖形演算法

預測市場具有豐富的圖結構：

• 帳戶間圖：透過共用裝置、IP 位址或基金關聯性形成的邊；
• 帳戶-市場圖：透過交易行為形成的二部圖；
• 基金與鏈上地址圖：存取款的定向圖；
• 事件-資訊來源圖：事件與可存取來源之間的時間關聯性。

我們在 Neo4j / TigerGraph 上執行三種類型的演算法：

• 社群偵測（Louvain／Leiden）：識別關聯性極高的帳戶群組；
• 異常節點（oddball / Ego-splitting）：度數高但特徵異常的節點；
• 子圖匹配：搜尋特定模式（例如：「5 個帳戶在 3 個市場上同步進行洗盤交易」）。

圖演算的優勢在於「可解釋性」——每個可疑群組皆可透過視覺化呈現給合規專員檢視。

8.5 L4 機器學習

機器學習可偵測複雜且未見過的模式：

• XGBoost / LightGBM：在結構化特徵上表現強勁的基準模型，用於「該帳戶是否可疑」的二元分類；
• GNN（圖神經網路）：對帳戶-市場-地址圖進行嵌入，用於判斷「帳戶是否存在協作」；
• Transformer / LSTM：交易序列建模，用於判斷「行為模式是否異常」；
• 自編碼器 / 隔離森林：針對「新出現的未知模式」進行無監督異常偵測。

模型輸出機率值及關鍵特徵貢獻度（SHAP 值），供人工審查參考。

8.6 警報彙總與去重

同一項異常行為可能同時觸發多個層級（例如：規則、統計、機器學習皆觸發），因此需要進行聚合與去重：

• 使用事件 ID（帳戶 + 市場 + 時間窗）作為去重鍵；
• 在 5 分鐘時間窗內合併具有相同根本原因的警報；
• 輸出「綜合可疑程度」與「主要貢獻層」，使人工審查更直觀。

9. 警報分級、人工審查與執行動作

9.1 警示分級

SoonTech 採用四級警報分級，對應不同的 SLA 及執行路徑：

執行長兼合規總監

P1 高度

有明確操縱證據，立即凍結

5個以上帳戶同步進行內線交易

30 分鐘

合規總監 + 風險經理

P2 中度

高度可疑，需人工審查

自我匹配率 > 50% 的帳戶

4 小時

風險經理 + 輪值合規專員

P3 低

訊號微弱，批次處理

成交量偏離 2σ

24 小時

值班合規性

9.2 人工審查工作流程

人工審查並非「淺嚐即過」——它需要遵循標準化流程：

1. 接收警示：系統將包含證據包（可疑交易、關聯圖、模型 SHAP、帳戶檔案）的警示推送至合規專員的工單系統；
2. 快速分類：5 分鐘內判定為「誤報」、「持續監控」或「升級處理」；
3. 證據封存：將帳戶狀態、交易紀錄、裝置指紋及鏈上地址歸檔至證據儲存庫（寫入唯讀日誌 + 鏈上錨點）；
4. 決策與執行：選擇執法措施（參見下一節），提交雙簽名核准；
5. 後續追蹤與歸檔：執法後進行 7/30/90 天追蹤，確認無再發情況，並寫入案例庫供模型訓練。

合規專員採 24/7 輪班制，每班至少 2 人，以避免單點疏失。SoonTech 的工單系統內建「雙重審核」機制——任何 P0/P1 執法行動皆須經兩次獨立批准方可執行。

9.3 執法行動

使用者體驗下降

中等

凍結帳號

明顯違規，需進行調查

用戶投訴

中等

取消訂單／交易

自行配對、明顯錯誤

市場影響

中等（需依據服務條款進行披露）

市場無效

市場操縱、事件無效

平台聲譽

Medium（需要明確的規則）

結算延遲

存在爭議，需進行審查

使用者體驗下降

中等

資金削減

嚴重違規，且有相關協議規定

用戶訴訟

中等（需釐清服務條款）

請參照司法程序

涉及刑事犯罪、跨境案件

長期訴訟

高

平台必須在《服務條款》及市場規則中明確規定各項措施的觸發條件、審批流程及申訴途徑。這不僅是法律合規的要求，也是對用戶的「事先通知」。

9.4 市場交易作廢

市場交易作廢是最嚴厲的執法措施之一，通常適用於以下情況：

• 活動描述存在無法釐清的歧義；
• 有充分證據顯示結果遭到操縱；
• 預言機發生違規且無法在異議期間內解決；
• 監管機構明確要求。

作廢後的資金處理：

• 等比例贖回：所有股份均以 1/N 價格贖回，操縱者與其他用戶一視同仁；
• 補償基金：動用「無效市場保險池」，以最後正常價格回購未違規用戶的持倉；
• 部分作廢：僅作廢遭操縱的子結果，其餘照常結算。

SoonTech 建議由合規、法務及業務部門共同審核作廢決定，並記錄決策依據與證據鏈。

10. 爭議解決、證據鏈與可解釋性

10.1 三層爭議解決架構

借鑒 UMA 的「樂觀預言機」及 Augur 的分叉機制，SoonTech 實作了三層爭議解決機制：

1. 第一層：提議–挑戰（2–24 小時）

• 提議者提交結果與證據，並押入保證金；
• 任何人都可提出質疑，質疑者必須押入更高額度的保證金；
• 若無人提出挑戰，則自動通過。

1. 第二層：理事會投票（3–7 天）

• 若遭挑戰，由 9 至 15 人組成的理事會進行表決（SoonTech 客戶可自訂成員）；
• 簡單多數通過，提案人與挑戰者將根據結果分攤保證金；
• 投票詳情記錄於鏈上，每位成員的決議理由可公開。

1. 第 3 層：DAO 或司法管轄區（7–30 天）

• 極端的爭議（涉及數百萬美元或憲法層級的問題）將升級至 DAO 投票或特定司法管轄區的仲裁；
• 此為「核按鈕」，極少被觸發。

10.2 證據鏈保留

任何執法行動（取消訂單、凍結、作廢）都必須具備可稽核的證據鏈：

• 帳戶狀態快照：採取行動當下的 KYC 狀態、持倉、資金及風險評分；
• 交易詳情：相關帳戶、交易對手、IP 位址、裝置指紋及時間戳記的完整交易紀錄；
• 模型輸出：可疑分數、關鍵特徵貢獻度（SHAP）、相關警示；
• 決策記錄：決策者、決策時間、決策理由、審核者；
• 後續追蹤：7 天、30 天及 90 天內的帳戶行為變化。

SoonTech 的合規系統將證據包寫入唯讀日誌（PostgreSQL + S3）並進行鏈上錨定（每小時將日誌雜湊值寫入以太坊/Polygon），確保資料不可篡改且可長期查詢。

10.3 可解釋性

監管機構與法院日益要求人工智慧決策具備可解釋性。SoonTech 的實務做法：

• 規則警示：每項規則皆附有自然語言描述（「該帳戶在 24 小時內與 3 個 IP 位址相關聯」）；
• 統計警示：顯示時間序列圖表、閾值線及統計數值；
• 機器學習警示：附上 SHAP 特徵貢獻圖表，標註「為何此帳戶被標記」；
• 圖形警示：可視化關聯圖，並標註「為何這些帳戶存在關聯」。

合規人員可使用自然語言向監管機構或使用者說明：「此帳戶被標記，是因為在事件發生前 30 分鐘內，曾使用與 4 個已知 Sybil 帳戶相同的 Wi-Fi BSSID，且資金來自鏈上地址 0xab12...」

11. 監管報告與合規整合

11.1 東南亞主要司法管轄區

季度貿易報告、即時STR

印尼

BAPPEBTI（期貨）／OJK（證券）

期貨交易監控、反洗錢

即時監控、每月合規報告

泰國

泰國證監會

數位資產、反洗錢

即時異常報告、年度合規審計

新加坡

新加坡金融管理局（MAS）

DPT（數位支付代幣）、反洗錢／打擊資助恐怖主義

即時可疑交易報告（STR）／可疑帳戶報告（CTR）、年度合規報告

越南

中央銀行 + 資訊與通訊部

數位資產、反洗錢

試行期，需逐步整合

菲律賓

菲律賓中央銀行（BSP）＋證券交易委員會（SEC）

數位資產、反洗錢

季度報告 + 即時可疑交易報告

11.2 報告內容

立即

貨幣交易報告（CTR）

單筆或累計金額超過門檻

交易詳情、交易對手、客戶盡職調查（KYC）

每日／每週

市場操縱報告

觸發操縱規則

操縱手法、涉及帳戶、損失估算

即時 + 每月

系統安全事件

駭客攻擊、預言機故障

事件時間軸、影響範圍、修復進度

即時

年度合規報告

每年

整體風險狀況、關鍵事件、改善計畫

年度

對監管機構查詢的回應

監管機構主動要求

關於特定帳戶／市場的詳細資料

按需提供

11.3 跨境監管協調

預測市場本質上具有跨境性質——使用者可能在菲律賓存入資金、在馬來西亞進行交易、並在印尼提領資金。SoonTech 的合規系統支援：

• 跨司法管轄區的合規規則庫（每項規則均可指定適用地區）；
• 跨境可疑交易的自動通報（菲律賓帳戶 + 馬來西亞市場 + 印尼提領 → 同時向三個監管機構通報）；
• 與監管機構的 API 整合（新加坡金融管理局、馬來西亞證監會、泰國證交會均具備專用 API 規範）；
• 監管沙盒模式（可依需求進行匿名化處理或限制特定功能）。

12. 工程架構與效能設計

12.1 整體架構

完整的監控流程從交易入口點延伸至人工執法環節，並沿著資料流分解為七個層級：

1. 入口層：客戶端與行動裝置的請求透過 API 閘道進入配對引擎或自動做市商（AMM）。該閘道同時擷取身分識別端的原始訊號，例如裝置指紋、IP 位址及使用者代理程式。
2. 事件總線：配對引擎將每筆成交、下單／撤單及持倉變動寫入 Kafka 主題，例如 trade-event-stream 及 order-event-stream等 Kafka 主題中，作為所有下游偵測模組的單一可信資料來源。
3. 即時運算層：Flink 工作程序處理事件流，並按帳戶、市場及時間區間彙總即時特徵——例如自配對比率、下單與取消比率、結算時段成交量佔比等。
4. 特徵儲存層：即時特徵會寫入 Redis 或特徵儲存庫，以進行低延遲的線上推論；同時會將並行副本存入資料湖，供離線訓練與回測使用。
5. 推論與彙總層：規則引擎、統計模型及機器學習模型並行進行評分；警報彙總服務負責去重、合併同源訊號，並計算最終風險分數。
6. 圖分析層：透過 Neo4j 等圖資料庫，建構帳戶–裝置–資金–鏈上地址的關聯網路。離線任務會定期重新計算社群偵測與關聯強度，並將結果回傳作為帳戶層級的特徵。
7. 執行層：超過閾值的警示會進入警示佇列與工單系統，並根據嚴重程度路由至值班風險人員、合規審查或自動化執行措施。

12.2 流處理核心：Flink + Kafka

• Kafka 負責傳輸所有交易事件、使用者行為、鏈上事件及預言機事件；
• Flink 負責即時特徵計算（滑動視窗、CEP 複雜事件處理）、即時模型推論，以及即時警報生成；
• Flink CEP 特別適合偵測「時間序列模式」（例如：「A 在 5 分鐘內下單 3 次，每次間隔 30 秒」）；
• 「精確一次」語義確保警示不會重複或遺漏（關鍵合規要求）。

12.3 特徵儲存庫

SoonTech 建議採用分層式特徵儲存庫：

• 即時特徵（Redis / Aerospike）：延遲 < 1 毫秒，供 Flink 即時運算使用；
• 離線特徵（S3 上的 Parquet / Hudi）：T+1，用於離線模型訓練；
• 特徵平台（Feast / Tecton）：統一特徵定義、版本控制及跨團隊共享；
• 線上推論（< 100 毫秒）與離線訓練共用相同的特徵定義，避免訓練與服務之間的偏差。

12.4 圖資料庫

• Neo4j 適用於中小規模（< 1 億個節點）的關聯分析；
• TigerGraph 適用於大規模（十億級節點）圖演算法；
• GraphX / NetworkX 適用於一次性離線分析（社群偵測、子圖匹配）；
• Amazon Neptune / 阿里巴巴 GraphScope 適用於雲原生部署。

常見圖查詢：

• 「過去 24 小時內與已知 Sybil 帳戶共用 C 段 IP 的帳戶」；
• 「過去 7 天內帳號 X 的鏈上存款地址，經 Common Spending 聚類處理後的圖結構」；
• 「5 個帳戶在 3 個市場上同步進行洗盤交易的最短時間窗」。

12.5 效能與可用性

預計算 + 索引 + 子圖快取

系統可用性

99.95%

多活躍部署、斷路器機制、降級處理

吞吐量

100,000 TPS 交易事件

Kafka 分區 + Flink 並行處理

儲存

5 年合規保留期

熱/冷分層儲存 + 物件儲存

13. SoonTech 市場監控解決方案

13.1 解決方案概述

SoonTech 的市場監控套件是預測市場平台的重要基礎設施，與自動做市商（AMM）、訂單簿及預言機並列。模組組成：

1. 資料擷取層：交易事件、使用者行為、鏈上事件、預言機事件、裝置指紋；
2. 即時處理層：Kafka + Flink 即時特徵分析與複合事件處理（CEP）；
3. 偵測層：規則引擎（L1）＋統計異常偵測（L2）＋圖論演算法（L3）＋機器學習（L4）；
4. 警報與工單：分級警報、雙重審核、證據鏈；
5. 執法與執行：持倉限額、訂單取消、凍結、作廢、結算延遲；
6. 合規報告：可疑交易報告（STR）／交易報告（CTR）、監管機構 API 整合、跨境協調；
7. 可解釋性與稽核：SHAP、證據鏈、鏈上錨定；
8. 管理主控台：合規專員工作台、案例庫、模型監控、規則管理。

13.2 三個典型部署情境

情境 1：嵌入東南亞頂級中心化交易所（CEX）的預測市場

該客戶是新加坡／馬來西亞的一家持牌中心化交易所（CEX），希望在其現有應用程式中新增預測市場業務，同時符合新加坡金融管理局（MAS）及馬來西亞證監會（SC）的合規要求。 我們部署了完整的監控套件，依據新加坡金融管理局（MAS）DPT 及新加坡證券委員會（SC）的指引客製化規則庫，並將警示分級與執法流程與客戶現有的合規部門進行整合。在服務上線後的 6 個月內，我們識別並處理了 380 筆可疑交易，挽回了 220 萬美元的潛在損失，且在監管機構的檢查中未發現任何重大違規事項。

情境 2：印尼獨立用戶生成內容（UGC）預測市場

該客戶是一個針對印尼用戶的用戶生成內容（UGC）預測市場，涵蓋體育、電競及政治領域。我們強化了西比爾攻擊識別機制（印尼的帳戶農場活動頻繁）、社交圖譜分析（Twitter／Instagram 上的預測意見領袖），以及激勵套利偵測（空投／排行榜刷分）。 上線後 4 個月內，已封禁超過 1,800 個 Sybil 帳號群組，與刷分相關的投訴量下降了 92%。

情境 3：全球去中心化預測市場

該客戶是一個部署於 Polygon/Base 上的去中心化預測市場，強調「無需 KYC，完全鏈上」。在保護隱私的前提下（使用 ZK 證明 + 鏈上行為分析），我們執行 Sybil 賬戶識別、預言機攻擊偵測，以及跨協議資金追蹤。 上線後，我們與多家 MEV 防護服務及鏈上分析供應商合作，建構了「輕量級 KYC、強大的鏈上分析」混合監控系統。

13.3 交付時程

• 第 1–2 週：業務研究、監管要求、初始規則庫；
• 第 3–6 週：資料導入與 Kafka 整合、Flink 即時特徵分析、規則引擎；
• 第 7–8 週：圖形資料庫與離線特徵分析、機器學習模型訓練；
• 第 9–10 週：工單系統、與合規部門整合、演練；
• 第 11 週：正式試運行、灰階規則；
• 第 12 週起：根據警報品質調整閾值，擴展規則與模型。

14. 企業級實施建議

14.1 監控系統建置的三個階段

第一階段（生存期）：規則 + 統計分析（0–3 個月）

• Kafka/Flink 整合、規則引擎、自動比對／偽造／限額規則；
• 著重於最低監管要求（KYC/AML/STR）；
• 2–3 人團隊即可運作。

第二階段（防禦）：圖資料庫 + 機器學習（3–9 個月）

• 建置圖資料庫，處理聚類分析與行為相似性；
• 部署 XGBoost／GNN 模型；
• 團隊規模擴增至 5–8 人，包含資料科學家。

第三階段（引領）：預測性 + 主動式（9–18 個月）

• 運用「Agentic AI for Compliance」進行主動式威脅偵測；
• 與監管機構建立資訊共享機制；
• 打造業界領先的合規品牌。

14.2 團隊組成

最低監控團隊配置：

• 1 名合規主管（負責與監管機構接洽、政策制定）；
• 2 名合規專員（7×24 輪班制，負責警報審查與執法）；
• 2 名資料工程師（Kafka／Flink／圖形資料庫）；
• 1 名資料科學家（機器學習模型訓練與調校）；
• 1 名風險產品經理（規則庫迭代、案例管理）；
• 1 名法務專員（跨境合規、爭議解決）。

透過 SoonTech 的外包與諮詢服務，可在 3 個月內建置一套完整的監控系統。

14.3 關鍵指標

• 警報品質：P0/P1 誤報率 < 5%，P2/P3 < 20%；
• 警報延遲：P0 < 5 分鐘，P1 < 30 分鐘，P2 < 4 小時；
• 執法結案：100% 警示於服務水準協議（SLA）內處理完畢，100% 執法案件具備完整的證據鏈；
• 模型指標：Sybil 識別召回率 > 85%，內線交易召回率 > 70%；
• 法規遵循：零遺漏可疑交易報告（STR）／可疑交易報告（CTR），監管機構查詢回應時間 < 24 小時；
• 業務影響：誤凍結率 < 0.1%，用戶投訴率 < 0.05%。

14.4 常見陷阱

• 過度依賴機器學習：許多團隊起初試圖「用 AI 解決一切」，結果卻只獲得 5% 的檢出率與 80% 的誤報率。我們建議從規則 + 統計分析著手；僅在規則無法涵蓋的範圍內使用機器學習；
• 警報疲勞：過多的警報會使合規人員產生麻木感，進而錯過真正的 P0 事件。必須嚴格進行分級、分配與合併；
• 證據鏈缺失：往往直到事後想要追究責任時，才發現證據並未儲存。證據鏈必須在系統設計的第一天就納入考量；
• 缺乏與監管機構的溝通：僅在監管機構前來查核時才進行說明。應主動與監管機構建立溝通管道，並定期提交報告；
• 跨境合規真空：抱持「用戶所在之處即為法規適用範圍」的想法，但事實上，平台的註冊地、伺服器位置及用戶的實際所在地，皆涉及不同的合規要求。

常見問題

Q1：為何預測市場比現貨交易所更容易被操縱？

A：有三個根本原因：1) 結算為二元結果，因此操縱所帶來的收益呈非線性增長（0.30→0.90 = 200% 回報）；2) 95% 的事件每日成交量低於 5 萬美元，單一訂單即可決定價格； 3) 資訊不對稱是自然現象（交易者的家人或政治人物的幕僚，可在公開資訊發布前的幾分鐘內建立部位）。這三項特徵結合起來，使預測市場成為內線交易、虛假交易、西比爾攻擊及結算時段狙擊的熱點。

Q2：如何區分內線交易與「做功課」？

A：雖然難以百分之百區分，但可透過以下幾項訊號進行判斷：1) 建倉時間與資訊來源公開時間之間的差距（若少於 30 分鐘則極具可疑性）；2) 帳戶群聚現象（多個帳戶同時朝同一方向建倉）； 3) 帳戶特徵（新註冊帳戶、首次跨平台出現、IP/裝置與已知違規者相關聯）；4) 資訊來源是否屬「非公開資訊」（先發陣容、內部投票、未公布的經濟數據均屬「非公開資訊」）。 SoonTech 的內線偵測模型針對 8 項特徵進行評分；分數 > 0.65 將觸發高階警報。

Q3：自匹配率需達到多高才被視為嚴重？

答：SoonTech 建議採用三項閾值：自交易率 = 關聯帳戶的交易對手方成交量 / 該帳戶總成交量。若 > 30% 則觸發中度警報，> 50% 觸發高度警報，> 70% 則立即凍結帳戶並進行人工審查。 純粹的「自對沖」未必等同於虛假交易（專業做市商的避險操作也可能產生關聯帳戶交易），但必須結合閉環損益、取消率及帳戶關聯強度等指標綜合判斷。

Q4：西比爾（Sybil）偵測是否會影響「家人共用裝置」的情況？

A：是的，這是西比爾檢測面臨的最大挑戰。 SoonTech 的解決方案：1) 將「家庭情境」列入白名單（相同 Wi-Fi BSSID + 相同收貨地址 + 關聯的 KYC 身分證件）；2) 但若多個帳戶從同一裝置進行大量交易，且交易方向高度一致，仍視為異常（「家庭用戶」極少會精確同步交易）； 3) 強化 KYC 驗證（人臉辨識、身分證件四要素）以從源頭遏止帳戶農場；4) 定期人工審查被標記的群組，以區分「家庭用戶」與「帳戶農場」。

Q5：市場遭操縱後，取消交易（Void）是否為最佳的執法手段？

A：未必。作廢是最嚴厲的執法手段，會損害平台聲譽及所有用戶的信任，應作為最後手段。SoonTech 建議的優先順序為：1) 凍結涉案帳戶 + 取消訂單（影響最小）；2) 延遲結算（留出調查時間）； 3) 部分作廢（僅作廢遭操縱的子結果）；4) 完整市場作廢＋保險池補償（極端措施）。作廢決定應由合規、法務及業務部門共同審議，並向外界作出明確說明。

Q6：如何讓監管報告既符合規範又高效？

A：SoonTech 的合規系統使監管報告成為「配置驅動」：每項報告規則皆可配置觸發條件、內容範本、提交方式、監管機構及頻率。系統會自動從監控警示與交易資料中萃取欄位，生成報告草稿，並在合規專員審核後，透過 API 或手動方式提交。 同時，我們維護一個「監管機構查詢回應資料庫」，將監管機構的常見問題轉化為範本，將平均回應時間從 5 天壓縮至 1 天。

🌐 透過 SoonTech 打造安全且可擴展的 Web3 平台。

探索我們針對白標加密貨幣交易所、預測市場、多方隱私計算（MPC）錢包、配對引擎、流動性整合及合規性的解決方案。