Il 19 maggio 2021, Bitcoin è crollato da 43.600 a 30.000 dollari in 4 ore. Un sistema di anomaly detection basato su Isolation Forest monitorava 18 metriche in tempo reale e ha flaggato condizioni anomale alle 08:47 UTC, 27 minuti prima dell'inizio del crollo.

Architettura del sistema di detection

L'Isolation Forest analizzava dati tick-by-tick da 5 exchange: Binance, Coinbase, Kraken, Bitfinex e Bitstamp. Le 18 feature includevano: spread bid-ask su ogni exchange, volume per intervallo di 5 minuti, order book depth ai livelli 1-5, velocità di variazione del prezzo e differenziale tra exchange. Il modello era addestrato su 120 giorni di dati con finestra rolling.

Anomalie rilevate prima del crash

Alle 08:47 UTC, il sistema registrava tre anomalie simultanee: lo spread bid-ask su Binance triplicava da 0.02% a 0.07% in 3 minuti, il volume di sell order superiori a 10 BTC aumentava del 340% e l'order book depth al livello 2 diminuiva del 45%. L'Isolation Forest assegnava anomaly score di -0.68, superando la soglia critica di -0.55.

Meccanica dell'Isolation Forest

Il modello utilizzava 200 alberi con contamination factor di 0.05, assumendo che il 5% dei datapoint fosse anomalo. La profondità media degli alberi per isolare punti normali era 8.2, mentre punti anomali venivano isolati a profondità media di 3.1. Questo permetteva detection rapida senza bisogno di label specifici su cosa costituisse un crash.

Performance su eventi precedenti

Testato su 6 flash crash crypto del 2020-2021, il sistema generava alert in media 19 minuti prima dell'inizio del movimento principale. Produceva 12 falsi positivi al mese su un universo di 15 cryptocurrency monitorate. Il tempo di elaborazione per ciclo completo era 400 millisecondi, critico per mercati 24/7 ad alta velocità.

Limiti operativi e costi

Il sistema richiedeva connessione WebSocket a 5 exchange con latenza inferiore a 100ms. Il costo di infrastruttura cloud per gestire il throughput di 50.000 messaggi al secondo si attestava sui 600 euro mensili. I falsi positivi rappresentavano il problema principale: distinguere anomalie che anticipano crash da normali spike di volatilità richiedeva threshold tuning continuo basato su regime di mercato corrente.