[논문 리뷰] Tracing Cryptocurrency Scams: Clustering Replicated Advance-Fee and Phishing Websites

Ross C. Phillips, Heidi Wilder|arXiv (Cornell University)|2020. 05. 29.

Blockchain Technology Applications and Security참고 문헌 16인용 수 7

한 줄 요약

이 논문은 암호화폐 사용자를 대상으로 한 복제된 선지급형 사기 및 피싱 웹사이트를 식별하기 위해 DBSCAN 기반 클러스터링 접근법을 제안한다. 웹사이트 콘텐츠, 인프라 및 블록체인 거래 패턴을 분석함으로써, 사기자들이 유사한 웹사이트를 다수 운영하고 블록체인 활동을 위조하여 합법적으로 보이게 하며, 피해자는 일반적으로 법정화폐 교환소를 통한 온래프로 자금을 제공하고 수익은 교환소, 도박 사이트 및 믹서를 통해 money laundering되는 것으로 드러났다.

ABSTRACT

Over the past few years, there has been a growth in activity, public knowledge, and awareness of cryptocurrencies and related blockchain technology. As the industry has grown, there has also been an increase in scams looking to steal unsuspecting individuals cryptocurrency. Many of the scams operate on visually similar but seemingly unconnected websites, advertised by malicious social media accounts, which either attempt an advance-fee scam or operate as phishing websites. This paper analyses public online and blockchain-based data to provide a deeper understanding of these cryptocurrency scams. The clustering technique DBSCAN is applied to the content of scam websites to discover a typology of advance-fee and phishing scams. It is found that the same entities are running multiple instances of similar scams, revealed by their online infrastructure and blockchain activity. The entities also manufacture public blockchain activity to create the appearance that their scams are genuine. Through source and destination of funds analysis, it is observed that victims usually send funds from fiat-accepting exchanges. The entities running these scams cash-out or launder their proceeds using a variety of avenues including exchanges, gambling sites, and mixers.

연구 동기 및 목표

• 선지급형 사기 및 피싱 웹사이트를 포함한 암호화폐 사기의 규모와 구조를 이해하기 위해.
• 웹상의 여러 웹사이트에 걸쳐 사기 웹사이트가 어떻게 복제되고 있는지 및 그 뒤에 있는 인프라를 식별하기 위해.
• 사기자들이 합법적으로 보이기 위해 위조한 활동을 감지하기 위해 블록체인 거래 패턴을 분석하기 위해.
• 피해자로부터 자금이 어떻게 교환소, 믹서 및 도박 플랫폼을 포함한 라우팅 채널로 이관되는지 추적하기 위해.
• 수사 기관 및 보안 연구자들이 사기 운영을 차단할 수 있도록 실질적인 통찰을 제공하기 위해.

제안 방법

• 사기 웹사이트의 텍스트 및 구조적 콘텐츠에 DBSCAN 클러스터링 알고리즘을 적용하여 외관상 유사하지만 논리적으로 별개의 사이트를 그룹화하기 위해.
• HTML 구조, 도메인 등록, 호스팅 인프라 등의 웹사이트 특징을 추출하고 비교하여 복제를 탐지하기 위해.
• 빠른 순환 전송과 고빈도 상호작용 등의 패tern을 포함한 위조된 활동 패턴을 감지하기 위해 블록체인 거래 데이터를 분석하기 위해.
• 온체인 거래 추적을 통해 법정화폐 온래프로(예: 교환소)에서 최종 자금 회수 지점까지 자금 흐름을 매핑하기 위해.
• 웹사이트 클러스터와 블록체인 주소를 연계하여 여러 사기 인스턴스를 운영하는 공통된 운영자 식별하기 위해.

실험 결과

연구 질문

• RQ1 사기자들은 웹상에서 선지급형 사기 및 피싱 웹사이트를 어떻게 복제하고 배포하면서도 운영 일관성을 유지하는가?
• RQ2 사기자들이 신뢰를 얻기 위해 얼마나 많은 정도의 진짜 블록체인 활동을 시뮬레이션하는가?
• RQ3 사기자들이 훔친 암호화폐 수익을 빠르게 현금화하거나 빨리 은폐하기 위해 주로 사용하는 경로는 무엇인가?
• RQ4 DBSCAN과 같은 클러스터링 기법을 활용해 지리적·구조적으로 산재한 사기 웹사이트를 어떻게 감지하고 그룹화할 수 있는가?
• RQ5 피해자의 자금 조달 원천과 자금 이동 패턴은 사기 네트워크의 운영 체계를 어떻게 드러내는가?

주요 결과

• 사기자들은 공통된 인프라를 사용해 외관상 유사한 웹사이트를 다수 운영함으로써 조율된 대규모 운영임을 시사한다.
• 내용 유사성 기반 클러스터링으로 확인된 바, 동일한 실체가 여러 사기 웹사이트를 운영하고 있음을 확인했다.
• 사기자들은 합법성을 시각적으로 강화하고 피해자의 신뢰를 얻기 위해 인위적인 거래 패턴을 만들어 위조된 블록체인 활동을 생성한다.
• 피해자들은 주로 자금을 제공하기 위해 법정화폐를 수락하는 교환소를 통해 자금을 이관하며, 이는 도용된 자금의 주요 온래프로 기능을 한다.
• 사기 수익은 암호화폐 교환소, 도박 사이트 및 믹서를 통해 혼합되어 자금의 출처와 목적지를 은폐하기 위해 사용된다.
• 웹사이트 클러스터링과 블록체인 분석의 통합을 통해 분산된 웹 존재를 뒤에 숨은 중심 집행 구조를 드러내는 전체 사기 네트워크를 식별할 수 있다.