[논문 리뷰] Anomaly Detection in the Bitcoin System - A Network Perspective

Thai Pham, Steven Lee|arXiv (Cornell University)|2016. 11. 12.

Anomaly Detection Techniques and Applications참고 문헌 5인용 수 55

한 줄 요약

이 논문은 파워 법도 분포, 밀도 증가 법칙, 그리고 국소 이방자 요소(LOF)와 k-means 군집화를 융합한 네트워크 기반의 이상 탐지 프레임워크를 제안한다. 이는 구조적 이질성과 극단적인 밀도 이방자 요소를 탐지하여 의심스러운 사용자 및 거래를 식별하며, 2012년 알려진 비트코인 도난 사건을 96.5%와 91.4%의 중심점 거리 일致도를 각각 보이며 성공적으로 탐지하였다.

ABSTRACT

The problem of anomaly detection has been studied for a long time, and many Network Analysis techniques have been proposed as solutions. Although some results appear to be quite promising, no method is clearly to be superior to the rest. In this paper, we particularly consider anomaly detection in the Bitcoin transaction network. Our goal is to detect which users and transactions are the most suspicious; in this case, anomalous behavior is a proxy for suspicious behavior. To this end, we use the laws of power degree and densification and local outlier factor (LOF) method (which is proceeded by k-means clustering method) on two graphs generated by the Bitcoin transaction network: one graph has users as nodes, and the other has transactions as nodes. We remark that the methods used here can be applied to any type of setting with an inherent graph structure, including, but not limited to, computer networks, telecommunications networks, auction networks, security networks, social networks, Web networks, or any financial networks. We use the Bitcoin transaction network in this paper due to the availability, size, and attractiveness of the data set.

연구 동기 및 목표

• 비트코인 네트워크 내에서 이상 사용자 및 거래를 탐지하여 위험하거나 사기성 행동의 지표로 활용하는 것.
• 특히 파워 법도도 분포 및 밀도 증가 법칙을 포함한 네트워크 분석 기법을 적용하여 이상을 나타내는 구조적 이질성을 식별하는 것.
• 라벨이 없는 데이터를 기반으로 LOF 및 k-means 군집화를 사용하여 이상 탐지의 일관성과 탐지 가능성 평가하는 것.
• 이 방법이 비트코인을 초월한 다른 네트워크 기반 시스템으로 일반화 가능한지 보여주는 것.
• 라벨이 없는 대규모 금융 및 거래 네트워크에서의 이상 탐지 프레임워크 제공

제안 방법

• 사용자를 노드로, 거래를 노드로 하는 두 가지 그래프 표현 방식을 사용하여 비트코인 거래 네트워크를 모델링한다.
• 기대되는 네트워크 성장 패턴에서의 이탈을 측정함으로써, 파워 법도도 분포 및 밀도 증가 법칙을 적용하여 구조적 이상을 탐지한다.
• 기준군으로서 k-means 군집화를 사용하여 군집 중심점과 정상 노드 분포를 시각화한다.
• 로컬 이방자 요소(LOF)를 사용하여 국소 밀도 기반 이상 탐지 수행하며, k-최근접 이웃보다 밀도가 현저히 낮은 점은 이방자로 간주한다.
• k-최근접 이웃과 국소 도달 가능성 밀도를 사용하여 이상도 점수를 계산하고, 이웃 밀도에서의 이탈 정도를 정량화한다.
• 세 가지 평가 지표를 사용하여 결과를 검증한다: 중심점 거리 비율, 그래프 유형 간 일치도, 알려진 도난 사건 탐지

실험 결과

연구 질문

• RQ1 파워 법도도 분포 및 밀도 증가 법칙은 비트코인 거래 네트워크에서 구조적 이상을 효과적으로 식별할 수 있는가?
• RQ2 라벨이 없는 데이터 상황에서 LOF 방법은 알려진 사기 거래를 어느 정도 탐지할 수 있는가?
• RQ3 사용자 중심 및 거래 중심이라는 두 가지 다른 그래프 표현 간 이상 탐지 결과는 얼마나 일관성 있는가?
• RQ4 k-means 군집화는 LOF 기반 이상 탐지의 시각화 및 검증을 위한 신뢰할 수 있는 기준군을 제공할 수 있는가?
• RQ5 제안된 방법은 라벨이 없는 실제 금융 네트워크에 얼마나 잘 일반화되는가?

주요 결과

• LOF 기반 이상 탐지 방법은 22개의 주소를 통해 한 곳의 수신처로 2,600 BTC가 유출된 2012년 알려진 비트코인 도난 사건을 탐지하였다.
• 사용자 그래프의 경우 LOF 기반 이상 탐지에서 중심점 거리 비율이 0.965이며, 거래 그래프의 경우 0.914로 나타나, 탐지된 이방자는 군집의 외연부에 일관되게 위치함을 시사한다.
• 두 그래프 유형 간 일치도 지표(m_DE)는 0.55로 나타나, 사용자 및 거래 표현 간 이상 탐지 결과에 중간 정도의 일관성이 있음을 시사한다.
• 입도수, 평균 입금 금액, 출도수 또는 총 거래 금액에서 극단적인 값을 가지는 노드는 항상 이방자로 탐지되었으며, 이는 파워 법칙을 통한 구조적 이상 탐지와 일치한다.
• k-means와 LOF의 조합은 극단적인 특성 값을 가지는 노드의 효과적인 시각화 및 검증을 가능하게 하였다.
• 이 방법은 라벨이 없는 데이터에서 이상 패턴을 성공적으로 식별하여, 금융 및 네트워크 기반 시스템에서의 실질적 응용 가능성임을 입증하였다.