[논문 리뷰] Characterizing and Detecting Money Laundering Activities on the Bitcoin Network

Yining Hu, Suranga Seneviratne외 3명|arXiv (Cornell University)|2019. 12. 27.

Crime, Illicit Activities, and Governance참고 문헌 24인용 수 46

한 줄 요약

이 논문은 그래프 특징과 그래프 임베딩을 사용하여 비트코인 트랜잭션 그래프를 분석하고 자금세탁을 일반 트랜잭션과 구분하며, node2vec 기반 분류기가 2.5년 동안 높은 이진 분류 정확도와 로버스트성을 달성하는 것을 입증하고, 미상의 세탁 서비스 발견에 대한 탐색도 제시한다.

ABSTRACT

Bitcoin is by far the most popular crypto-currency solution enabling peer-to-peer payments. Despite some studies highlighting the network does not provide full anonymity, it is still being heavily used for a wide variety of dubious financial activities such as money laundering, ponzi schemes, and ransom-ware payments. In this paper, we explore the landscape of potential money laundering activities occurring across the Bitcoin network. Using data collected over three years, we create transaction graphs and provide an in-depth analysis on various graph characteristics to differentiate money laundering transactions from regular transactions. We found that the main difference between laundering and regular transactions lies in their output values and neighbourhood information. Then, we propose and evaluate a set of classifiers based on four types of graph features: immediate neighbours, curated features, deepwalk embeddings, and node2vec embeddings to classify money laundering and regular transactions. Results show that the node2vec-based classifier outperforms other classifiers in binary classification reaching an average accuracy of 92.29% and an F1-measure of 0.93 and high robustness over a 2.5-year time span. Finally, we demonstrate how effective our classifiers are in discovering unknown laundering services. The classifier performance dropped compared to binary classification, however, the prediction can be improved with simple ensemble techniques for some services.

연구 동기 및 목표

• 3년 기간 동안 자금세탁과 일반 비트코인 거래의 그래프 특성을 특징화한다.
• 돈세탁 탐지에 있어 특징 기반 classifier와 임베딩 기반 classifier를 비교 평가한다.
• 시간에 따른 로버스트성과 알려지지 않은 자금세탁 서비스 발견의 가능성을 평가한다.”

제안 방법

• UTXO 기반 트랜잭션을 이용해 3년치 데이터(2014–2017)로 비트코인 트랜잭션 그래프를 구성한다.
• 14개의 기본 특징 및 네트워크 특징을 추출하고 판별 특성을 식별하기 위한 특징 중요도 분석을 수행한다.
• 직접 이웃, 선별된 특징, deepwalk 임베딩, node2vec 임베딩에 기반한 네 가지 분류기를 적용하고, 의사결정 트리 기반 학습기로 AdaBoost를 사용한다.
• 5주 연속의 학습/테스트를 수행하고 정확도와 F1-측정으로 평가하며, OR/AND 앙상블 방식의 성능을 테스트한다.
• 지정된 하이퍼파라미터를 사용하여 노드 임베딩을 얻기 위해 Random-walk 기반 그래프 표현(deepwalk/node2vec)을 사용하고, 분류 전에 임베딩 차원(예: 100회 실행, 길이 100, 임베딩 차원 25; node2vec 파라미터 p=2, q=0.5) 등을 적용한다.
• 2014–2017의 무작위 주간에 node2vec 분류기를 적용하여 시간에 따른 일관성을 평가한다.

실험 결과

연구 질문

• RQ1 그래프 구조적 특징과 값에 기반하여 자금세탁 거래를 일반 거래와 구분할 수 있는가?
• RQ2 랜덤 워크 기반 그래프 임베딩(deepwalk/node2vec)이 수동으로 설계된 특징보다 자금세탁 탐지에 우수한가?
• RQ3 시간에 따라 그리고 알려지지 않은 자금세탁 서비스에 대해 분류기는 얼마나 로버스트한가?

주요 결과

• 세탁 거래는 진입/출발 차수 비율이 더 높고, 출력 합계가 더 균일하며, 약간 더 적은 약한 연결 구성요소를 가진다.
• 수동으로 추출된 특징만으로는 구별력이 제한적이다(예: 정확도 65.3%, F1 0.45).
• Deepwalk와 node2vec 임베딩은 이진 분류에서 수동 특징보다 우수하다(Deepwalk: 정확도 91.72%, F1 0.94; Node2vec: 92.05% 정확도, F1 0.94).
• 앙상블 방식(OR)은 약간의 성능 향상을 보이고(92.74% 정확도, F1 0.95) 반면 AND 앙상블은 성능이 좋지 않다(21.47% 정확도, F1 0.02).
• Node2vec 분류기는 2.5년에 걸친 기간 동안 로버스트한 성능을 보인다(평균 92.29% 정확도, F1 0.93).
• 새로운 세탁 사례 예측을 위해 unseen 서비스의 성능은 감소하지만, HelixMixer에 대해 높은 정확도에 도달할 수 있다(95.2% 정확도, F1 0.30 그 서비스에서).