[論文レビュー] Anomaly Detection in the Bitcoin System - A Network Perspective

Thai Pham, Steven Lee|arXiv (Cornell University)|Nov 12, 2016

Anomaly Detection Techniques and Applications参考文献 5被引用数 55

ひとこと要約

本稿では、パワーロー度分布、密度増加パワーロー、およびローカル・アウリ耶ア・ファクター（LOF）を組み合わせた、Bitcoin取引システム向けのネットワークベースの異常検出フレームワークを提案する。構造的逸脱および極端な密度外れを検出することで、不審なユーザーおよび取引を特定し、2012年の既知のBitcoin盗難を96.5%および91.4%の重心距離一貫性（ユーザーおよび取引グラフ別）で成功裏に特定した。

ABSTRACT

The problem of anomaly detection has been studied for a long time, and many Network Analysis techniques have been proposed as solutions. Although some results appear to be quite promising, no method is clearly to be superior to the rest. In this paper, we particularly consider anomaly detection in the Bitcoin transaction network. Our goal is to detect which users and transactions are the most suspicious; in this case, anomalous behavior is a proxy for suspicious behavior. To this end, we use the laws of power degree and densification and local outlier factor (LOF) method (which is proceeded by k-means clustering method) on two graphs generated by the Bitcoin transaction network: one graph has users as nodes, and the other has transactions as nodes. We remark that the methods used here can be applied to any type of setting with an inherent graph structure, including, but not limited to, computer networks, telecommunications networks, auction networks, security networks, social networks, Web networks, or any financial networks. We use the Bitcoin transaction network in this paper due to the availability, size, and attractiveness of the data set.

研究の動機と目的

• Bitcoinネットワーク内の不審または詐欺的行動の代理としての異常ユーザーおよび取引を特定すること。
• 特にパワーロー度分布および密度増加パワーローを含むネットワーク解析手法を適用し、異常を示す構造的逸脱を同定すること。
• ラベルなしデータを前提として、LOFおよびk-meansクラスタリングを用いた異常検出の一貫性と検出可能性を評価すること。
• 本手法がBitcoinを越えた他のネットワーク化システムへも一般化可能であることを示すこと。
• ラベルなしで大規模な金融および取引ネットワークにおける異常検出のフレームワークを提供すること。

提案手法

• Bitcoin取引ネットワークをモデル化するため、ユーザーをノードとするグラフと、取引をノードとする別のグラフの2種類のグラフ表現を用いる。
• パワーロー度分布および密度増加パワーローを適用し、予想されるネットワーク成長パターンからの逸脱を測定することで、構造的異常を検出する。
• k-meansクラスタリングをベースラインとして用い、クラスタ重心を特定し、通常のノード分布を可視化する。
• ローカル・アウリヤ・ファクター（LOF）を用いて、局所的密度に基づく異常検出を行う。k近傍内での密度が著しく低い点は外れ値としてマークされる。
• k近傍と局所的到達可能性密度を用いて異常スコアを計算し、周囲の密度からの逸脱度を定量化する。
• 重心距離比、グラフタイプ間の一致度、既知の盗難イベントの検出という3つの評価指標を用いて結果を検証する。

実験結果

リサーチクエスチョン

• RQ1 パワーロー度分布および密度増加パワーローは、Bitcoin取引ネットワークにおける構造的異常を効果的に同定できるか？
• RQ2 ラベルなし状態において、LOF手法は既知の詐欺的取引をどの程度正確に検出できるか？
• RQ3 ユーザー中心および取引中心の2種類のグラフ表現間で、異常検出結果の整合性はどの程度高いか？
• RQ4 k-meansクラスタリングは、LOFに基づく異常検出の可視化および検証に信頼できるベースラインを提供できるか？
• RQ5 本手法は、ラベルなしで現実の金融ネットワークへどの程度一般化可能か？

主な発見

• LOF手法は、22のアドレスを通じて1つの宛先に2,600 BTCが集中した、2012年の既知のBitcoin盗難を検出できた。
• LOFに基づく異常検出は、ユーザーグラフで0.965、取引グラフで0.914の重心距離比を達成し、検出外れがクラスタの外縁に一貫して位置していることを示した。
• 2つのグラフタイプ間の一致度指標（m_DE）は0.55であり、ユーザーおよび取引表現間で異常検出に中程度の整合性があることを示唆した。
• インデグリー、平均インプット値、アウトデグリー、またはトータル取引額に極端な値を示すノードは、常に外れ値として特定され、パワーローによる構造的異常検出と整合した。
• k-meansとLOFの組み合わせにより、極端な特徴値を示すノードの可視化および検証が効果的に行えた。
• 本手法は、ラベルなしデータにおいても異常パターンを成功裏に同定し、金融およびネットワーク化システムにおける実用的応用の可能性を示した。