2. 业务理解与场景定义：识别常见异常交易场景

异常交易检测不是纯算法问题，而是业务风险问题。在构建训练集之前，必须将业务语言翻译为可量化的检测目标。本章聚焦金融风控领域最常见的四类异常交易场景：盗刷、洗钱、套现、薅羊毛，并明确每类场景的检测目标与业务规则。

2.1 四大异常交易场景全景

下表从行为主体、资金流向、典型手法和风险等级四个维度，对四类场景进行横向对比：

2.2 盗刷场景深度拆解

盗刷是金融风控最核心的防守场景。检测目标是在交易授权阶段实时识别非持卡人发起的交易。

业务规则与特征映射

• 交易行为异常： 短时间内连续多笔交易、交易金额突然增大、交易频次超过历史均值 3 倍以上。
• 设备环境异常： 设备指纹与历史记录不符、IP 归属地与持卡人常驻地跨省/跨国、使用模拟器或代理 IP。
• 商户异常： 交易商户为高风险 MCC 类别（如虚拟货币、赌博）、商户首次被该卡使用。
• 时间异常： 交易发生在持卡人历史活跃时段之外（如凌晨 2-5 点）。

2.3 洗钱场景深度拆解

洗钱检测关注资金流转的结构性异常，而非单笔交易。检测目标为识别试图掩盖资金来源和去向的交易网络。

典型洗钱模式

1. 拆分交易（Smurfing）： 大额资金拆分为多笔小额交易，规避监管阈值（如单笔 5 万元人民币）。
2. 循环交易： 资金在多个账户间循环流转，最终回到源头账户。
3. 快进快出： 资金入账后短时间内（如 1 小时内）立即转出，不留余额。
4. 层级转账： 资金经过 3 层以上账户中转，每层账户数量递增。

2.4 套现场景深度拆解

套现检测的核心是区分真实消费与虚假交易。检测目标为识别持卡人通过虚假商户将信用卡额度转换为现金的行为。

套现交易特征清单

• 金额特征： 交易金额接近信用卡额度上限、频繁出现整数金额（如 10000、20000）、金额小数点后为 .00。
• 商户特征： 同一商户短时间内被大量不同卡使用、商户经营类目与交易金额不匹配（如便利店单笔 5 万元）。
• 时间特征： 账单日后立即大额消费、还款后立即再次消费。
• 循环特征： 同一持卡人频繁在同一商户交易、交易金额呈现固定倍数模式。

2.5 薅羊毛场景深度拆解

薅羊毛检测面向营销活动场景，检测目标为识别以套取平台补贴为目的的批量虚假用户行为。

薅羊毛行为画像

2.6 检测目标与业务规则汇总

将四类场景的检测目标统一为可执行的规则框架，用于后续训练集标注：

# 业务规则伪代码示例（用于标注策略）
def label_anomaly(transaction, user_profile, merchant_profile):
    labels = []
    
    # 盗刷规则
    if (transaction.amount > user_profile.avg_amount * 5 
        and transaction.device not in user_profile.history_devices):
        labels.append("盗刷")
    
    # 洗钱规则
    if (transaction.amount >= 49000 and transaction.amount <= 50000 
        and user_profile.tx_count_today > 10):
        labels.append("洗钱_拆分交易")
    
    # 套现规则
    if (transaction.amount % 10000 == 0 
        and merchant_profile.avg_ticket < transaction.amount * 0.1):
        labels.append("套现")
    
    # 薅羊毛规则
    if (user_profile.registered_days < 7 
        and user_profile.coupon_usage_rate > 0.9 
        and transaction.ip_count_today > 20):
        labels.append("薅羊毛")
    
    return labels if labels else "正常"

2.7 异常交易场景关系图

下图展示了四类异常交易场景之间的关联关系与数据流转路径：

2.8 场景优先级与训练集构建策略

不同场景对训练集的要求不同，建议按以下优先级分配标注资源：