[論文レビュー] Tracing Cryptocurrency Scams: Clustering Replicated Advance-Fee and Phishing Websites

Ross C. Phillips, Heidi Wilder|arXiv (Cornell University)|May 29, 2020

Blockchain Technology Applications and Security参考文献 16被引用数 7

ひとこと要約

本稿では、暗号通貨ユーザーを標的にした複製された前払い手数料詐欺およびフィッシングWebサイトを特定するDBSCANに基づくクラスタリング手法を提案する。Webサイトのコンテンツ、インfra構造、ブロックチェーン取引パターンを分析することで、詐欺業者が複数の類似サイトを運営し、偽のブロックチェーン活動を生成することで正当性を装うことが明らかになった。被害者は通常、フィアット通貨交換のオンラップを通じて資金を提供し、その収益は交換所、ギャンブルサイト、ミキサーを通じて洗浄される。

ABSTRACT

Over the past few years, there has been a growth in activity, public knowledge, and awareness of cryptocurrencies and related blockchain technology. As the industry has grown, there has also been an increase in scams looking to steal unsuspecting individuals cryptocurrency. Many of the scams operate on visually similar but seemingly unconnected websites, advertised by malicious social media accounts, which either attempt an advance-fee scam or operate as phishing websites. This paper analyses public online and blockchain-based data to provide a deeper understanding of these cryptocurrency scams. The clustering technique DBSCAN is applied to the content of scam websites to discover a typology of advance-fee and phishing scams. It is found that the same entities are running multiple instances of similar scams, revealed by their online infrastructure and blockchain activity. The entities also manufacture public blockchain activity to create the appearance that their scams are genuine. Through source and destination of funds analysis, it is observed that victims usually send funds from fiat-accepting exchanges. The entities running these scams cash-out or launder their proceeds using a variety of avenues including exchanges, gambling sites, and mixers.

研究の動機と目的

• 前払い手数料およびフィッシングWebサイトを含む暗号通貨詐欺の規模と構造を理解すること。
• Web上で広がる詐欺Webサイトの複製パターンとその背後にあるインfra構造を特定すること。
• 詐欺業者が正当性を装うために生成する偽のブロックチェーン取引活動を検出するために、ブロックチェーン取引パターンを分析すること。
• 被害者から洗浄チャネル（交換所、ミキサー、ギャンブルプラットフォームなど）への資金流れを追跡すること。
• 法執行機関およびセキュリティ研究者による詐欺活動の遮断に役立つ実務的イン사이트を提供すること。

提案手法

• 詐欺Webサイトのテキストおよび構造的コンテンツにDBSCANクラスタリングアルゴリズムを適用し、視覚的に類似しているが論理的に異なるサイトをグループ化する。
• HTML構造、ドメイン登録、ホスティングインフラなど、Webサイトの特徴を抽出・比較し、複製を検出する。
• ブロックチェーン取引データを分析し、急速かつ循環的な送金や高頻度の相互作用といったパターンを検出することで、偽の活動を特定する。
• オンチェーン取引トレースを用いて、フィアットオンラップ（例：交換所）から最終的な現金化先への資金流れをマッピングする。
• Webサイトクラスタとブロックチェーンアドレスを照合し、複数の詐欺インスタンスの背後にある同一の運営者を同定する。

実験結果

リサーチクエスチョン

• RQ1 詐欺業者は、運用の一貫性を保ちながら、Web上に前払い手数料およびフィッシングWebサイトをどのように複製・配布しているのか？
• RQ2 詐欺業者は、信頼性を高めるために、どれほど本物のブロックチェーン活動を模倣しているのか？
• RQ3 詐欺業者が盗難した暗号通貨の収益を洗浄または現金化するために主に使用する経路は何か？
• RQ4 DBSCANのようなクラスタリング技術を用いることで、地理的および構造的に分散した詐欺Webサイトをどのように検出・グループ化できるか？
• RQ5 被害者の資金調達源と資金移動のパターンから、詐欺ネットワークの運用構造をどのように特定できるか？

主な発見

• 詐欺業者は、同じインフラを共有することで、視覚的に類似した複数のWebサイトを運営しており、これは一括管理された大規模な運用を示している。
• コンテンツ類似度に基づいてクラスタリングされた複数の詐欺Webサイトは、同一の実体が運営していることを確認しており、運用再利用が成立している。
• 詐欺業者は、正当性を装うために、人工的な取引パターンを生成することで、偽のブロックチェーン活動を創出している。
• 被害者は、主にフィアット通貨を受け入れる交換所を通じて資金を提供しており、これは盗難資金の主なオンラップである。
• 詐欺の収益は、資金の出所と到着先を隠すために、暗号通貨交換所、ギャンブルサイト、ミキサーの組み合わせを介して洗浄されている。
• Webサイトクラスタリングとブロックチェーン分析の統合により、分散したWebプレゼンスの背後にある中央集権的制御を特定でき、詐欺ネットワーク全体の特定が可能になった。