Velocity rules в антифроде: как читать не только блоки, но и ложные срабатывания

Velocity rule — это не “плохой” или “хороший” сигнал, а проверка темпа: сколько попыток, сумм, карт, IP или аккаунтов укладывается в окно времени. Ошибка начинается, когда rule читают в одиночку. Один и тот же триггер может означать как фрод, так и нормальный всплеск спроса.

Смотри на контекст:
— всплеск по одному офферу, но без роста отказов и чарджбеков — часто это тест потока;
— много попыток с разных карт, но один device fingerprint — похоже на карусель;
— одинаковый velocity по разным гео и часам — ищи автоматизацию;
— если триггер ловит только новых юзеров, а старые проходят, значит порог настроен грубо.

Главный вопрос не “сработало ли правило”, а “что именно оно режет”: один плейсмент, один источник, один креатив или всю воронку. Если после ужесточения velocity падает approve rate и растет доля ручных проверок, правило стало слишком широким. Если не меняется ничего, кроме шума, сигнал слабый и его надо усилить другими признаками.

Полезная привычка: для каждого velocity-алерта держи короткую расшифровку — какой паттерн ловим, какой ложный сценарий возможен и какой следующий шаг у саппорта. Тогда антифрод перестает быть черным ящиком и начинает помогать масштабировать, а не просто блокировать.