2. 交易欺诈基础
在构建任何有效的反欺诈模型之前，我们必须先理解欺诈本身是如何发生的。交易欺诈并非单一行为，而是一组具有不同动机、不同技术路径和不同时间模式的攻击形态。Velocity（速度）特征之所以在风控中占据核心地位，正是因为它直接刻画了欺诈行为在时间维度上的异常聚集性。本节将从欺诈类型、黑产作案模式入手，逐步建立Velocity特征的业务定位与工程意义。
一、核心原理：交易欺诈的主要类型与时间模式
从风控视角看，交易欺诈通常分为以下几类，每类在时间维度上表现出不同的Velocity特征：
- 盗卡盗刷：攻击者利用窃取的卡号、CVV等信息快速发起多笔交易，通常在极短时间内集中测试或变现，表现为短时高频、多商户、多地域。
- 账户盗用：通过撞库、钓鱼获取用户账户后，先修改绑定信息，再进行转账或消费。其时间模式常表现为“登录—改密—交易”的短时序列。
- 虚假注册与薅羊毛：黑产批量注册新账户，利用首单优惠、返现等活动获利。Velocity特征体现在同一设备、同一IP或同一收货地址在短时间内的注册与下单次数。
- 商户侧欺诈：虚假商户或合谋商户进行自买自卖、虚假发货，其交易速度往往异常稳定或呈周期性爆发。
- 拒付欺诈：用户收到商品后恶意发起拒付，其交易本身可能正常，但历史拒付率与近期交易频率的组合会暴露风险。
这些欺诈类型的共同点是：正常用户的交易行为在时间上具有自然间隔，而欺诈行为往往在时间上高度聚集。Velocity特征正是用来量化这种聚集性的工具。
二、黑产作案模式与Velocity特征的对应关系
黑产已经形成高度分工的产业链，包括信息窃取、账号养号、设备伪装、代理IP、自动化脚本和变现通道。理解这些模式，才能设计出有针对性的Velocity特征。
| 黑产环节 | 典型行为 | 可捕捉的Velocity特征 |
|---|---|---|
| 信息窃取 | 批量获取卡号、账号、身份信息 | 同一IP/设备短时多次查询或登录 |
| 账号养号 | 模拟正常用户登录、浏览、小额交易 | 登录频率、浏览-交易转化时间间隔异常 |
| 设备伪装 | 改机工具、模拟器、群控设备 | 同一设备指纹关联大量账户，短时切换 |
| 代理IP | 秒拨IP、代理池、Tor | 同一账户短时多地登录或交易 |
| 自动化攻击 | 脚本批量下单、撞库、试卡 | 单位时间交易笔数、失败率、请求间隔方差 |
| 变现 | 快速转移资金、购买易变现商品 | 入账后短时内转出或消费的金额与频次 |
从表中可以看出，几乎每个黑产环节都会在时间维度上留下痕迹。Velocity特征工程的目标，就是把这些痕迹转化为模型可用的数值型特征。
关键认知：Velocity特征不是简单的“交易次数”，而是“在特定时间窗口内，针对特定实体（用户、设备、IP、卡、商户）的行为计数、金额聚合与时间间隔统计”。它回答的是“多快、多频繁、多集中”的问题。
三、Velocity特征在风控中的定位与业务意义
在风控特征体系中，Velocity特征处于“行为时序层”，介于静态属性特征与复杂关系网络特征之间。它的业务意义体现在三个方面：
- 实时拦截能力：Velocity特征可以在交易请求发生时毫秒级计算，直接用于规则引擎或在线模型，实现实时阻断。
- 欺诈团伙识别：通过设备、IP、收货地址等维度的Velocity聚合，可以发现单笔交易看似正常但群体行为异常的团伙攻击。
- 模型区分度提升：在GBDT、LR等模型中，Velocity特征通常具有较高的特征重要度，能显著提升AUC和召回率。
业务上，Velocity特征直接对应风控策略中的“频控”逻辑。例如：同一用户1小时内交易超过5笔触发人工审核；同一设备24小时内关联超过3个账户直接拒绝；同一IP 10分钟内注册超过10个账号加入黑名单。
# 示例：Velocity特征计算逻辑（伪代码）
# 以用户为实体，计算过去1小时内的交易笔数和金额
user_txn_count_1h = count(transactions where user_id = current_user and timestamp >= now - 1h)
user_txn_amt_1h = sum(amount where user_id = current_user and timestamp >= now - 1h)
# 以设备为实体，计算过去24小时关联的账户数
device_user_count_24h = count(distinct user_id where device_id = current_device and timestamp >= now - 24h)
# 以IP为实体，计算过去10分钟的注册次数
ip_register_count_10m = count(registrations where ip = current_ip and timestamp >= now - 10m)
工程提示：Velocity特征的计算通常依赖流式计算框架（如Flink、Spark Streaming）或在线特征存储（如Redis、HBase）。窗口大小、滑动步长和聚合维度是三个核心参数，需要根据业务场景和攻击模式反复调优。
四、案例与误区复盘
案例：某电商平台在促销期间遭遇薅羊毛攻击。攻击者使用群控设备，在10分钟内用200个新注册账号下单首单优惠商品。单笔交易金额小、收货地址分散，传统规则难以拦截。但引入Velocity特征后，发现“同一设备指纹10分钟内关联账号数”高达200，“同一IP 10分钟内注册次数”超过50，模型立即触发拦截，挽回损失。
常见误区：
- 窗口选择单一：只使用1小时窗口，可能漏掉秒级试卡攻击或天级养号行为。应同时使用多尺度窗口（如1分钟、10分钟、1小时、24小时、7天）。
- 实体维度不足：只按用户聚合，忽略设备、IP、卡BIN、收货地址等维度，难以发现团伙欺诈。
- 忽视正常业务波动：大促期间正常用户交易频率也会上升，Velocity阈值需要结合业务日历动态调整，否则误杀率飙升。
- 特征穿越：离线训练时使用了未来数据计算Velocity特征，导致线上效果远低于离线评估。必须严格按时间点回溯计算。
复盘结论：Velocity特征的有效性高度依赖于对欺诈行为的深入理解。脱离业务场景盲目堆砌窗口和维度，不仅不会提升模型效果，反而会引入噪声和过拟合风险。建议从黑产作案模式出发，反向推导需要哪些Velocity特征，再通过AB测试验证其业务价值。
总结来说，交易欺诈的本质是异常的时间聚集行为，黑产作案模式在时间维度上留下了可量化的痕迹，而Velocity特征正是捕捉这些痕迹的核心工具。理解欺诈类型与黑产模式，是设计高质量Velocity特征的前提；明确其在风控体系中的定位，才能让特征工程真正服务于业务目标。