[论文解读] How to Peel a Million: Validating and Expanding Bitcoin Clusters

George Kappos, Haaroon Yousaf+4 more|arXiv (Cornell University)|May 27, 2022

Blockchain Technology Applications and Security被引用 8

一句话总结

本文提出了一种新颖的启发式方法，用于检测和追踪'剥皮链'——即同一主体发起的连续交易——通过交易层面的特征来验证并扩展现有的比特币聚类启发式方法。该方法在将聚类分类为真阳性或假阳性时达到89%的准确率，并将变更地址检测中的假阳性发现率降低至0.02%，显著优于先前的方法。

ABSTRACT

One of the defining features of Bitcoin and the thousands of cryptocurrencies that have been derived from it is a globally visible transaction ledger. While Bitcoin uses pseudonyms as a way to hide the identity of its participants, a long line of research has demonstrated that Bitcoin is not anonymous. This has been perhaps best exemplified by the development of clustering heuristics, which have in turn given rise to the ability to track the flow of bitcoins as they are sent from one entity to another. In this paper, we design a new heuristic that is designed to track a certain type of flow, called a peel chain, that represents many transactions performed by the same entity; in doing this, we implicitly cluster these transactions and their associated pseudonyms together. We then use this heuristic to both validate and expand the results of existing clustering heuristics. We also develop a machine learning-based validation method and, using a ground-truth dataset, evaluate all our approaches and compare them with the state of the art. Ultimately, our goal is to not only enable more powerful tracking techniques but also call attention to the limits of anonymity in these systems.

研究动机与目标

• 开发一种新启发式方法，用于识别和追踪剥皮链——即同一主体发起的连续交易，以增强比特币交易聚类。
• 利用新型机器学习分类器，验证并扩展现有的聚类启发式方法，特别是广泛使用的共同支出启发式方法。
• 使用包含120个比特币聚类（60个真阳性，60个假阳性）的平衡真实标签数据集，评估所提出启发式方法和分类器的性能。
• 通过将勒索软件资金与比特币雾混币服务关联，展示该方法在实际应用中的有效性，实现从交易所到比特币雾混币服务的资金追踪。
• 揭示当前比特币匿名性的局限性，并推动对隐私保护协议的进一步研究。

提出的方法

• 作者将剥皮链定义为由同一主体发起的一系列交易，利用输入/输出模式和地址类型等交易层面特征，检测并向前向后追踪这些链。
• 从共同支出启发式方法形成的聚类中提取特征，包括交易频率、地址多样性及输出行为，以表征聚类行为。
• 在真实标签数据集上训练机器学习分类器，以将聚类分类为真阳性或假阳性，准确率达到89%。
• 变更启发式方法隐式识别剥皮链中的变更输出，假阳性发现率仅为0.02%，远低于次佳方法的12.7%。
• 在真实案例中评估该方法，包括Dharma和Phobos勒索软件聚类，表明此前无法检测的跳转可通过剥皮链分析实现关联。
• 该方法仅依赖公开的区块链数据，无需访问私有或内部账本信息。

实验结果

研究问题

• RQ1 剥皮链启发式方法能否用于验证现有聚类启发式方法（如共同支出启发式方法）的准确性？
• RQ2 基于交易特征训练的机器学习分类器能否可靠地区分比特币聚类中的真阳性聚类与假阳性聚类？
• RQ3 剥皮链启发式方法在多大程度上能通过识别先前未检测到的交易流，扩展现有聚类技术的适用范围？
• RQ4 与先前方法相比，所提出的变更启发式方法在识别变更地址方面的有效性如何，特别是在存在新输出的情况下？
• RQ5 该启发式方法能否检测到看似无关的勒索软件活动之间的关联，暗示其可能由同一操作者发起？

主要发现

• 基于交易特征的机器学习分类器在区分真阳性聚类与假阳性聚类方面达到89%的准确率。
• 所提出的变更启发式方法将假阳性发现率降低至0.02%，显著优于次佳方法的12.7%。
• 该启发式方法成功将与Roman Sterlingov相关的交易所账户资金与比特币雾混币服务关联起来，而此前的启发式方法未能识别该关联。
• 对Dharma和Phobos勒索软件聚类的分析显示，存在一个在Dharma剥皮链中被使用83次的共同第三方地址，暗示可能存在操作重叠。
• 在多个剥皮链跳转中，两个输出均为新生成的，表明先前的变更启发式方法无法检测到这些关联，验证了本方法的创新性。
• 结果表明，即使交易行为保持一致，有动机的攻击者仍可通过特征随机化破坏该启发式方法，凸显基于区块链的去匿名化技术的固有局限性。