CN114677217A - 一种基于子图匹配的面向以太坊的异常交易行为检测方法 - Google Patents

Abstract

本发明提供了一种基于子图匹配的面向以太坊的异常交易行为检测方法。该方法包括：对以太坊历史交易详细数据进行处理解析，利用交易数据构建交易数据集；根据交易数据集中的交易输入地址、交易输出地址、交易时间戳和交易金额信息，提取以太坊异常交易的行为特征，构建以太坊交易流图：根据以太坊异常交易行为特征制定各种异常交易行为对应的匹配规则；利用各种以太坊异常交易的特征子图根据匹配规则对以太坊交易流图进行检测，根据检测结果获取以太坊交易流图中的以太坊异常交易行为。本发明针对以太坊的特点，通过充分利用不同类型的异常交易行为的相似性与差异性，提取了异常交易行为的匹配规则，保证了算法对检测多种异常交易行为的准确性。

Description

一种基于子图匹配的面向以太坊的异常交易行为检测方法

技术领域

本发明涉及以太坊技术领域，尤其涉及一种基于子图匹配的面向以太坊的异常交易行为检测方法。

背景技术

以太坊作为一个数字货币平台，具有开放性和匿名性。早期的面向以太坊的异常交易研究主要集中是基于机器学习算法检测智能合约，使用子图匹配算法检测以太坊异常交易的研究相对较少。

子图匹配算法是从交易与交易之间的关联情况入手，可以从多个维度对异常交易进行检测。因此，开发一种基于子图匹配的面向以太坊的异常交易行为的检测方法，是非常重要且有意义的。

在子图匹配领域中，最基础的问题是怎样在大规模的图数据中查找与被查询图相同或相似的子图模式即子图同构。子图匹配问题可以分为两类：第一类为精确子图匹配，在图数据查找所有与查询图相似的图或子图，查询标准为子图同构。第二类则为非精确子图匹配或模糊子图匹配，通过不同的相似度标准在图数据集中查找所有与查询图相似的图或子图。

根据不同的基于实际应用的需求，精确子图匹配问题可以被分为下面两个子类别：基于目标图集合的精确子图匹配问题：给定查询图C，目标图集合S，找出S中所有包含图C的目标图；基于目标图的精确子图匹配问题：给定查询图C，目标图F，在F上找到所有与C同构的子图。无论是基于目标图集合还是基于目标图的精确子图匹配问题，现有的解决方案都是先过滤再验证。首先使用过滤算法，把多数不匹配规则的数据过滤出去来获得规模相对较小的候选集；下一步在过滤后的候选集中进行子图同构搜索。

现有技术中一种基于交易流图匹配的比特币异常交易实体识别方法包括：

步骤1,处理比特币历史交易详细数据,并进行地址聚类,构建地址集群数据集；

步骤2,从交易输入地址、交易输出地址、交易时间戳和交易金额四方面,提取比特币异常交易实体输入特征和输出特征；

步骤3,构建比特币历史交易详细信息交易流图；

步骤4,根据步骤2提取的比特币异常交易实体输入特征和输出特征,构建比特币异常交易实体的输入交易模式和输出交易模式；

步骤5,在步骤3构建的交易流图中,利用子图匹配算法,根据步骤4的比特币异常交易实体交易模式，分别对比特币异常交易实体的输入交易模式和输出交易模式进行匹配检测，从而识别出比特币异常交易实体。

上述现有技术中的基于交易流图匹配的比特币异常交易实体识别方法的缺点包括：该方法虽然使用了图算法对异常交易进行研究，但是对异常交易行为的划分比较简单粗略，只提出了两种类型的异常交易行为；而且此研究只针对比特币领域，在现有的研究中，基于图算法的面向以太坊的异常交易行为检测方法研究较少。

发明内容

本发明的实施例提供了一种基于子图匹配的面向以太坊的异常交易行为检测方法，以实现有效检测面向以太坊的异常交易行为。

为了实现上述目的，本发明采取了如下技术方案。

一种基于子图匹配的以太坊异常交易行为检测方法，包括：

对以太坊历史交易详细数据进行处理解析，得到包括交易ID、交易时间戳、交易输入地址、交易输出地址和交易金额在内的交易数据，利用所有的交易数据构建交易数据集；

根据交易数据集中的交易数据中的交易输入地址、交易输出地址、交易时间戳和交易金额入手信息构建以太坊交易流图，提取各种以太坊异常交易的行为特征，根据各种以太坊异常交易的行为特征构建各种以太坊异常交易的特征子图：

根据所述以太坊异常交易行为特征制定各种异常交易行为对应的匹配规则；

利用各种以太坊异常交易的特征子图根据所述匹配规则对待检测的以太坊交易流图进行检测，获取所述待检测的以太坊交易流图中的异常交易行为。

优选地，所述的以太坊异常交易的行为特征包括：庞氏骗局行为特征、区块链赌博行为特征和粉尘注入行为特征。

优选地，将交易流图定义为一个三元组G＝{N，E，W}，其中N表示交易节点；E表示交易流图中的边；W表示交易流图中边的权重，即交易金额，基于所述交易流图的定义，将交易数据集中的交易数据通过图构造算法处理成以太坊交易流图。

优选地，所述的各种异常交易行为对应的匹配规则包括：

庞氏骗局的匹配规则包括：

A.树型庞氏骗局特征匹配规则：

i.交易流图大节点B总度数D>60，D＝入度数Din+出度数Dout，B为合约地址；

ii.大节点B的入度数Din<出度数Dout；

iii.20天<地址的生命周期S<60天；

iv.假设往返于大节点B的传入和传出交易资金之间的比率为R，R＝收入资金/支出资金，设R>1的节点数与跟大节点相关的总节点数比值为P，P在5％-30％之间；

v.每有一个转入大节点B的交易V1，其交易金额为A1，T1时间内会有N1笔小于A1的转出，其中T1<180秒，N1笔转出金额依次递减，N1<在V1交易时间之前跟大节点交易过的节点数；

B.数组型庞氏骗局特征匹配规则：

i.易流图大节点B总度数D>10；

ii.大节点B的入度数Din<出度数Dout；

iii.地址的生命周期S<30天；

iv.假设往返于大节点B的传入和传出交易资金之间的比率为R，R＝收入资金/支出资金，设R>1的节点数与跟大节点相关的总节点数比值为P，P在20％-50％之间；

v.每有一个转入大节点B的交易V1，在时间T1内就会有转出交易V2，被转入的节点C，其中T1<180秒，V2>C转给B的金额；R>1的节点均为最早跟大节点B交易的节点，最后跟大节点B交易的节点无收入；

C.瀑布型庞氏骗局特征匹配规则：

i.交易流图大节点总度数D>20；

ii.大节点B的入度数Din<出度数Dout；

iii.200天<地址的生命周期S<360天；

iv.假设往返于大节点B的传入和传出交易资金之间的比率为R，设R>1的节点数与跟大节点相关的总节点数比值为P，P在5％-30％之间；

v.每有一个转入大节点B的交易V1，在时间T1内就会有50％金额转给合约所有者W，同时还会以原始投资的固定比例x按投资时间顺序发送给投资者；

D.权限转移型庞氏骗局特征匹配规则：

i.大节点B的入度数Din>出度数Dout；

ii.假设往返于大节点B的传入和传出交易资金之间的比率为R，除了最后一个节点以外，其他节点均表现出R>1；

iii.每有一个转入大节点B的交易V1，在时间T1内就会出现将V1全部金额A1转给上一个节点的情况，且A1>该上一个节点的本金；

区块链赌博匹配规则包括：

A.点对点赌博特征匹配规则：

i.交易流图大节点B总度数D>6，D＝入度数Din+出度数Dout；

ii.大节点B的入度数Din>出度数Dout；

iii.大节点B的总流入金额>总流出金额；

iv.假设往返于大节点B所有者地址的传入和传出交易资金之间的比率为R，设R>1的节点数与跟大节点相关的总节点数比值为P，P在30％以内；

v.一段时间T1内多笔交易从多个节点Ui汇入同一账户N，短时间T2一个大节点B向在T1有过交易的节点们汇出多笔资金，节点Ui收入资金/支出资金R即赔率相近，Ui中剩下的节点没有收到钱，T2<1天，T1<3天；

B.第三方网站赌博特征匹配规则：

i.交易流图大节点B总度数D>40，D＝入度数Din+出度数Dout；

ii.大节点B的入度数Din>出度数Dout；

iii.大节点B的总流入金额>总流出金额；

iv.假设往返于大节点B所有者地址的传入和传出交易资金之间的比率为R，设R>1的节点数与跟大节点相关的总节点数比值为P，P在30％以内；

v.单笔转入大节点B金额>其他正常交易平均交易值Am；

粉尘注入行为匹配规则包括：

i.交易流图大节点B总度数D>20，D＝入度数Din+出度数Dout；

ii.交易方向为B→Ui；

iii.单笔转出大节点B金额A在范围Range内浮动；

iv.手续费F>交易金额A*1/3。

优选地，所述的利用各种以太坊异常交易的特征子图根据所述匹配规则对待检测的以太坊交易流图进行检测，获取所述待检测的以太坊交易流图中的异常交易行为，包括：

将待检测的以太坊交易流图作为目标图，将各种异常交易行为对应的特征子图作为查询图，将各种异常交易行为对应的匹配规则作为映射规则，根据所述映射规则利用子图匹配算法将目标图依次与各个查询图进行映射查询，获取与目标图同构的特征子图，将所述与目标图同构的特征子图对应的异常交易行为认定为是所述待检测的以太坊交易流图中存在的以太坊异常交易行为。

优选地，所述的利用各种以太坊异常交易的特征子图根据所述匹配规则对待检测的以太坊交易流图进行检测，获取所述待检测的以太坊交易流图中的异常交易行为，包括：

给定查询图C＝{N₁，E₁，W₁}，目标图G＝{N₂，E₂，W₂}，和一个映射

利用子图匹配算法在查询图C中选取中心节点v₀，在目标图G进行广度优先的扫描比对，获得中心节点v₀在目标图G中的相似点，把该相似点作为中心向图的外圈逐层扩散，依次匹配中心节点v₀的一步邻节点，二步邻节点，N步邻节点，直到匹配完中心节点v₀的所有邻节点，获取中心节点v₀对应的目标图G的候选集U_i；

在候选集U_i中找到所有与查询图C同构的特征子图，设候选集U_i中节点的当前状态为S，M{S}表示M中与状态S相关的映射的集合，开始M{S}为空，算法调用Match函数后，根据节点的当前状态S与中心节点v₀的连接拓扑关系，获得节点对集合P{S}，其中每一节点对包含一个小图节点和一个大图节点，对节点对集合进行遍历，每取出一对节点，用IsFeasible函数判断其是否可行，若通过规则判断出节点对加入后不可能得到一对子图同构，就不继续搜索；如果有可能得到子图同构，就将其加入状态S得到状态S’，同时递归调用Match函数继续搜索。每搜完一个分支就进行回溯，整个过程属于深度优先搜索，状态S构成了树的节点，S中的节点数相当于搜索树的深度，算法每找到一个与查询图C同构的特征子图，就将该特征子图对应的异常交易行为认定为是所述待检测的以太坊交易流图中存在的以太坊异常交易行为。

由上述本发明的实施例提供的技术方案可以看出，本发明实施例通过子图匹配算法解决了面向以太坊的异常交易行为的检测问题，通过充分利用不同类型的异常交易的相似性与差异性，提取以太坊异常交易的行为特征，制定各种异常交易行为对应的匹配规则，保证了算法对多种数据集的准确性，有效地完成面向以太坊的异常交易行为检测的任务。

本发明附加的方面和优点将在下面的描述中部分给出，这些将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种基于子图匹配的以太坊异常交易行为检测方法的处理流程图。

图2为本发明实施例提供的一种树型庞氏骗局的特征子图；

图3为本发明实施例提供的一种数组型庞氏骗局的特征子图；

图4为本发明实施例提供的一种瀑布型庞氏骗局的特征子图；

图5为本发明实施例提供的一种转移权限型庞氏骗局的特征子图；

图6为本发明实施例提供的一种点对点赌博的特征子图；

图7为本发明实施例提供的一种第三方网站赌博的特征子图；

图8为本发明实施例提供的一种“粉尘”注入行为的特征子图。

具体实施方式

下面详细描述本发明的实施方式，所述实施方式的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施方式是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。应该理解，当我们称元件被“连接”或“耦接”到另一元件时，它可以直接连接或耦接到其他元件，或者也可以存在中间元件。此外，这里使用的“连接”或“耦接”可以包括无线连接或耦接。这里使用的措辞“和/或”包括一个或更多个相关联的列出项的任一单元和全部组合。

本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非像这里一样定义，不会用理想化或过于正式的含义来解释。

为便于对本发明实施例的理解，下面将结合附图以几个具体实施例为例做进一步的解释说明，且各个实施例并不构成对本发明实施例的限定。

因为以太坊交易是在同一平台上的多个节点的交易，其交易数据构成的是一张巨大的交易流图，对于基于目标图的精确子图匹配问题来说，过滤和验证两个阶段都面临着一定的挑战。本发明实施例对面向以太坊对异常交易行为进行探索研究。根据以太坊异常交易的行为特征，构建交易流图和交易子图后，利用子图匹配算法来进行检测面向以太坊的异常交易行为。此检测方法有利于规范以太坊交易市场，为用户提供更加健康的投资环境。

本发明实施例提供的一种基于子图匹配的面向以太坊的异常交易行为检测方法的处理流程图如图1所示，包括如下的处理步骤：

步骤S1：对以太坊历史交易详细数据进行处理解析，得到包括交易ID、交易时间戳、交易输入地址、交易输出地址和交易金额在内的交易数据，利用所有的交易数据构建交易数据集。

步骤S2：根据交易数据集中的交易数据中的交易输入地址、交易输出地址、交易时间戳和交易金额入手等信息，提取各种以太坊异常交易的行为特征，该行为特征包括：

庞氏骗局行为特征：合约将资金分配给投资者；通过合约筹集的资金仅来自投资者；每个投资者盈利的前提是有新投资者继续向合约汇款；失去投资的风险随着投资时长而增加。

区块链赌博行为特征：合约将资金分配给玩家；通过合约筹集的资金仅来自玩家；每个玩家是否盈利与有无新玩家继续向合约汇款无关；玩家中存在只有转出没有转入的真子集；不参加合约可以避免损失。

“粉尘”注入行为特征：主要表现为中心节点B(即投放“粉尘”的恶意用户)在时间T内，将M个相似小金额A(A的浮动范围为Range)群发给其他节点Ni，且交易的手续费F大于金额A的1/3。

根据各种以太坊异常交易的行为特征构建各种以太坊异常交易的特征子图。图2为本发明实施例提供的一种树型庞氏骗局的特征子图，图2中0号节点代表了骗局发起者；其余节点代表着投资者；节点的数字代表投资者的编号；指向中间的边代表投资行为；指向四周的边代表发放利息的行为；边的宽度代表金额，边的宽度越大对应的金额越大。

图3为本发明实施例提供的一种数组型庞氏骗局的特征子图。图3中间节点代表了骗局发起者；四周的节点代表着投资者；节点的数字代表投资者的编号；边代表交易，指向中间的边代表投资行为，指向四周的边代表发放利息的行为；边的宽度代表金额，边的宽度越大对应的金额越大。

图4为本发明实施例提供的一种瀑布型庞氏骗局的特征子图，图4中间节点代表了骗局发起者，四周的节点代表着投资者，节点的数字代表投资者的编号，边代表交易，指向中间的边代表投资行为，指向四周的边代表发放利息的行为；边的宽度代表金额，边的宽度越大对应的金额越大。

图5为本发明实施例提供的一种转移权限型庞氏骗局的特征子图，如图5中间节点代表了骗局发起者，四周的节点代表着投资者，节点的数字代表投资者的编号，边代表交易，指向中间的边代表投资行为，指向四周的边代表发放利息的行为；边的粗细代表金额，边越粗金额越大。

图6为本发明实施例提供的一种点对点赌博的特征子图，图6中间的节点代表了庄家，四周的节点代表着赌徒，节点的数字代表投资者的编号，边代表交易，指向中间的边代表下注行为，指向四周的边代表发放盈利的行为。

图7为本发明实施例提供的一种第三方网站赌博的特征子图，图7中间的节点代表了第三方网站，四周的节点代表着赌徒，节点的数字代表投资者的编号，边代表交易，指向中间的边代表存入赌资行为，指向四周的边代表取出赌资的行为。

图8为本发明实施例提供的一种“粉尘”注入行为的特征子图，图8中间的节点代表了交易发起者，四周的节点代表着普通用户，节点的数字代表用户的编号，边代表交易，指向四周节点的边代表了粉尘注入的行为。

步骤S3：构建以太坊历史交易流图：将交易流图定义为一个三元组G＝{N，E，W}，其中N表示交易节点；E表示交易流图中的边；W表示交易流图中边的权重，即交易金额。

基于上述交易流图的定义，将交易数据集中的交易数据通过图构造算法处理成交易流图。

步骤S4：根据步骤S2提取的以太坊异常交易行为特征，制定各种异常交易行为对应的匹配规则。

其中，庞氏骗局的匹配规则包括：

A.树型庞氏骗局特征匹配规则：

i.交易流图大节点B总度数D>60(D＝入度数Din+出度数Dout，B为合约地址)；

ii.大节点B的入度数Din<出度数Dout；

iii.20天<地址的生命周期S<60天；

iv.假设往返于大节点B的传入和传出交易资金之间的比率为R(R＝收入资金/支出资金)，在这个基础上，设R>1的节点数与跟大节点相关的总节点数比值为P，P在5％-30％之间；

v.每有一个转入大节点B的交易V1，其交易金额为A1，T1时间内会有N1笔小于A1的转出，其中T1<180秒，N1笔转出金额依次递减，N1<在V1交易时间之前跟大节点交易过的节点数。

B.数组型庞氏骗局特征匹配规则：

i.易流图大节点B总度数D>10；

ii.大节点B的入度数Din<出度数Dout；

iii.地址的生命周期S<30天；

iv.假设往返于大节点B的传入和传出交易资金之间的比率为R(R＝收入资金/支出资金)，在这个基础上，设R>1的节点数与跟大节点相关的总节点数比值为P，P在20％-50％之间；

v.每有一个转入大节点B的交易V1，在时间T1内就会有转出交易V2，被转入的节点C，其中T1<180秒，V2>C转给B的金额；R>1的节点均为最早跟大节点B交易的节点，最后跟大节点B交易的节点无收入。

C.瀑布型庞氏骗局特征匹配规则：

i.交易流图大节点总度数D>20；

ii.大节点B的入度数Din<出度数Dout；

iii.200天<地址的生命周期S<360天；

iv.假设往返于大节点B的传入和传出交易资金之间的比率为R(R＝收入资金/支出资金)，在这个基础上，设R>1的节点数与跟大节点相关的总节点数比值为P，P在5％-30％之间；

v.每有一个转入大节点B的交易V1，在时间T1内就会有50％金额转给合约所有者W，同时还会以原始投资的固定比例x按投资时间顺序发送给投资者。

D.权限转移型庞氏骗局特征匹配规则：

i.大节点B的入度数Din>出度数Dout；

ii.假设往返于大节点B的传入和传出交易资金之间的比率为R(R＝收入资金/支出资金)，在这个基础上，除了最后一个节点以外，其他节点均表现出R>1；

iii.每有一个转入大节点B的交易V1，在时间T1内就会出现将V1全部金额A1转给上一个节点的情况，且A1>该上一个节点的本金

区块链赌博的匹配规则包括：

A.点对点赌博特征匹配规则：

i.交易流图大节点B总度数D>6(D＝入度数Din+出度数Dout)；

ii.大节点B的入度数Din>出度数Dout；

iii.大节点B的总流入金额>总流出金额；

iv.假设往返于大节点B所有者地址的传入和传出交易资金之间的比率为R(R＝收入资金/支出资金)，在这个基础上，设R>1的节点数与跟大节点相关的总节点数比值为P，P在30％以内；

v.一段时间T1内(T1<3天)多笔交易从多个节点Ui汇入同一账户N，短时间T2(T2<1天)一个大节点B向在T1有过交易的节点们(Ui的真子集)汇出多笔资金，节点Ui收入资金/支出资金R即赔率相近，Ui中剩下的节点没有收到钱。

B.第三方网站赌博特征匹配规则：

i.交易流图大节点B总度数D>40(D＝入度数Din+出度数Dout)；

ii.大节点B的入度数Din>出度数Dout；

iii.大节点B的总流入金额>总流出金额；

iv.假设往返于大节点B所有者地址的传入和传出交易资金之间的比率为R(R＝收入资金/支出资金)，在这个基础上，设R>1的节点数与跟大节点相关的总节点数比值为P，P在30％以内；

v.单笔转入大节点B金额>其他正常交易平均交易值Am。

粉尘注入行为匹配规则包括：

i.交易流图大节点B总度数D>20(D＝入度数Din+出度数Dout)；

ii.交易方向为B→Ui；

iii.单笔转出大节点B金额A在范围Range内浮动；

iv.手续费F>交易金额A*1/3。

步骤S5：根据各种以太坊异常交易的特征子图利用子图匹配算法，根据上述匹配规则对以太坊交易流图进行检测。其中，查询图为各种异常交易行为对应的特征子图，目标图即为待检测的以太坊交易流图，映射

指匹配规则，算法找到的特征子图同构为检测结果，此检测结果对应的异常交易行为可以认定为是上述待检测的以太坊交易流图中存在的以太坊异常交易行为。

通过初步筛选获得候选集，包括：

给定查询图C＝{N₁，E₁，W₁}，目标图G＝{N₂，E₂，W₂}，和一个映射

利用子图匹配算法在查询图C中选取中心节点v₀，在目标图G进行广度优先的扫描比对，获得v₀在目标图G中的相似点；把v₀的相似点作为中心向图的外圈逐层扩散，依次匹配v₀的一步邻节点，二步邻节点等节点，直到匹配完所有节点。查询图C中的每一个节点V在查找结束后，都会得到一个来自目标图G的候选集U_i。

在候选集U_i中找到所有与查询图C同构的子图，包括：

设候选集U_i中节点的当前状态为S，M{S}表示M中与状态S相关的映射的集合。开始M{S}为空，算法调用Match函数后，根据当前状态和与中心节点v₀的连接拓扑关系，获得节点对集合P{S}，其中每一节点对包含一个小图节点和一个大图节点。对这个节点对集合进行遍历，每取出一对节点，用IsFeasible函数判断其是否可行，若通过规则判断出节点对加入后不可能得到一对子图同构，就不继续搜索；如果有可能得到子图同构，就将其加入状态S得到状态S’，同时递归调用Match函数继续搜索。每搜完一个分支就进行回溯，整个过程属于深度优先搜索，状态S构成了树的节点，S中的节点数相当于搜索树的深度。算法每找到一个子图同构，就把结果加入Solution(检测结果)。

综上所述，本发明实施例方法针对以太坊的特点，提取了不同类别异常交易的行为特征，提出了细化的检测规则，提升了检测效果。

本发明实施例通过子图匹配算法解决了面向以太坊的异常交易行为的检测问题，通过充分利用不同类型的异常交易的相似性与差异性，提取以太坊异常交易的行为特征，制定各种异常交易行为对应的匹配规则，保证了算法对多种数据集的准确性，有效地完成面向以太坊的异常交易行为检测的任务。

本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的装置及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (6)

1.一种基于子图匹配的以太坊异常交易行为检测方法，其特征在于，包括：

对以太坊历史交易详细数据进行处理解析，得到包括交易ID、交易时间戳、交易输入地址、交易输出地址和交易金额在内的交易数据，利用所有的交易数据构建交易数据集；

根据交易数据集中的交易数据中的交易输入地址、交易输出地址、交易时间戳和交易金额入手信息构建以太坊交易流图，提取各种以太坊异常交易的行为特征，根据各种以太坊异常交易的行为特征构建各种以太坊异常交易的特征子图：

根据所述以太坊异常交易行为特征制定各种异常交易行为对应的匹配规则；

利用各种以太坊异常交易的特征子图根据所述匹配规则对待检测的以太坊交易流图进行检测，获取所述待检测的以太坊交易流图中的异常交易行为。

2.根据权利要求1所述的方法，其特征在于，所述的以太坊异常交易的行为特征包括：庞氏骗局行为特征、区块链赌博行为特征和粉尘注入行为特征。

3.根据权利要求1所述的方法，其特征在于，将交易流图定义为一个三元组G＝{N，E，W}，其中N表示交易节点；E表示交易流图中的边；W表示交易流图中边的权重，即交易金额，基于所述交易流图的定义，将交易数据集中的交易数据通过图构造算法处理成以太坊交易流图。

4.根据权利要求1所述的方法，其特征在于，所述的各种异常交易行为对应的匹配规则包括：

庞氏骗局的匹配规则包括：

A.树型庞氏骗局特征匹配规则：

i.交易流图大节点B总度数D>60，D＝入度数Din+出度数Dout，B为合约地址；

ii.大节点B的入度数Din<出度数Dout；

iii.20天<地址的生命周期S<60天；

iv.假设往返于大节点B的传入和传出交易资金之间的比率为R，R＝收入资金/支出资金，设R>1的节点数与跟大节点相关的总节点数比值为P，P在5％-30％之间；

v.每有一个转入大节点B的交易V1，其交易金额为A1，T1时间内会有N1笔小于A1的转出，其中T1<180秒，N1笔转出金额依次递减，N1<在V1交易时间之前跟大节点交易过的节点数；

B.数组型庞氏骗局特征匹配规则：

i.易流图大节点B总度数D>10；

ii.大节点B的入度数Din<出度数Dout；

iii.地址的生命周期S<30天；

iv.假设往返于大节点B的传入和传出交易资金之间的比率为R，R＝收入资金/支出资金，设R>1的节点数与跟大节点相关的总节点数比值为P，P在20％-50％之间；

v.每有一个转入大节点B的交易V1，在时间T1内就会有转出交易V2，被转入的节点C，其中T1<180秒，V2>C转给B的金额；R>1的节点均为最早跟大节点B交易的节点，最后跟大节点B交易的节点无收入；

C.瀑布型庞氏骗局特征匹配规则：

i.交易流图大节点总度数D>20；

ii.大节点B的入度数Din<出度数Dout；

iii.200天<地址的生命周期S<360天；

iv.假设往返于大节点B的传入和传出交易资金之间的比率为R，设R>1的节点数与跟大节点相关的总节点数比值为P，P在5％-30％之间；

v.每有一个转入大节点B的交易V1，在时间T1内就会有50％金额转给合约所有者W，同时还会以原始投资的固定比例x按投资时间顺序发送给投资者；

D.权限转移型庞氏骗局特征匹配规则：

i.大节点B的入度数Din>出度数Dout；

ii.假设往返于大节点B的传入和传出交易资金之间的比率为R，除了最后一个节点以外，其他节点均表现出R>1；

iii.每有一个转入大节点B的交易V1，在时间T1内就会出现将V1全部金额A1转给上一个节点的情况，且A1>该上一个节点的本金；

区块链赌博匹配规则包括：

A.点对点赌博特征匹配规则：

i.交易流图大节点B总度数D>6，D＝入度数Din+出度数Dout；

ii.大节点B的入度数Din>出度数Dout；

iii.大节点B的总流入金额>总流出金额；

iv.假设往返于大节点B所有者地址的传入和传出交易资金之间的比率为R，设R>1的节点数与跟大节点相关的总节点数比值为P，P在30％以内；

v.一段时间T1内多笔交易从多个节点Ui汇入同一账户N，短时间T2一个大节点B向在T1有过交易的节点们汇出多笔资金，节点Ui收入资金/支出资金R即赔率相近，Ui中剩下的节点没有收到钱，T2<1天，T1<3天；

B.第三方网站赌博特征匹配规则：

i.交易流图大节点B总度数D>40，D＝入度数Din+出度数Dout；

ii.大节点B的入度数Din>出度数Dout；

iii.大节点B的总流入金额>总流出金额；

iv.假设往返于大节点B所有者地址的传入和传出交易资金之间的比率为R，设R>1的节点数与跟大节点相关的总节点数比值为P，P在30％以内；

v.单笔转入大节点B金额>其他正常交易平均交易值Am；

粉尘注入行为匹配规则包括：

i.交易流图大节点B总度数D>20，D＝入度数Din+出度数Dout；

ii.交易方向为B→Ui；

iii.单笔转出大节点B金额A在范围Range内浮动；

iv.手续费F>交易金额A*1/3。

5.根据权利要求1至4任一项所述的方法，其特征在于，所述的利用各种以太坊异常交易的特征子图根据所述匹配规则对待检测的以太坊交易流图进行检测，获取所述待检测的以太坊交易流图中的异常交易行为，包括：

将待检测的以太坊交易流图作为目标图，将各种异常交易行为对应的特征子图作为查询图，将各种异常交易行为对应的匹配规则作为映射规则，根据所述映射规则利用子图匹配算法将目标图依次与各个查询图进行映射查询，获取与目标图同构的特征子图，将所述与目标图同构的特征子图对应的异常交易行为认定为是所述待检测的以太坊交易流图中存在的以太坊异常交易行为。

6.根据权利要求5所述的方法，其特征在于，所述的利用各种以太坊异常交易的特征子图根据所述匹配规则对待检测的以太坊交易流图进行检测，获取所述待检测的以太坊交易流图中的异常交易行为，包括：

给定查询图C＝{N₁，E₁，W₁}，目标图G＝{N₂，E₂，W₂}，和一个映射

利用子图匹配算法在查询图C中选取中心节点v₀，在目标图G进行广度优先的扫描比对，获得中心节点v₀在目标图G中的相似点，把该相似点作为中心向图的外圈逐层扩散，依次匹配中心节点v₀的一步邻节点，二步邻节点，N步邻节点，直到匹配完中心节点v₀的所有邻节点，获取中心节点v₀对应的目标图G的候选集U_i；

在候选集U_i中找到所有与查询图C同构的特征子图，设候选集U_i中节点的当前状态为S，M{S}表示M中与状态S相关的映射的集合，开始M{S}为空，算法调用Match函数后，根据节点的当前状态S与中心节点v₀的连接拓扑关系，获得节点对集合P{S}，其中每一节点对包含一个小图节点和一个大图节点，对节点对集合进行遍历，每取出一对节点，用IsFeasible函数判断其是否可行，若通过规则判断出节点对加入后不可能得到一对子图同构，就不继续搜索；如果有可能得到子图同构，就将其加入状态S得到状态S’，同时递归调用Match函数继续搜索。每搜完一个分支就进行回溯，整个过程属于深度优先搜索，状态S构成了树的节点，S中的节点数相当于搜索树的深度，算法每找到一个与查询图C同构的特征子图，就将该特征子图对应的异常交易行为认定为是所述待检测的以太坊交易流图中存在的以太坊异常交易行为。

Images