WO2021045331A1 - 암호화폐 거래 분석 방법 및 장치 - Google Patents

암호화폐 거래 분석 방법 및 장치 Download PDF

Info

Publication number
WO2021045331A1
WO2021045331A1 PCT/KR2020/001386 KR2020001386W WO2021045331A1 WO 2021045331 A1 WO2021045331 A1 WO 2021045331A1 KR 2020001386 W KR2020001386 W KR 2020001386W WO 2021045331 A1 WO2021045331 A1 WO 2021045331A1
Authority
WO
WIPO (PCT)
Prior art keywords
address
cryptocurrency
information
fraudulent
addresses
Prior art date
Application number
PCT/KR2020/001386
Other languages
English (en)
French (fr)
Inventor
서상덕
윤창훈
이승현
Original Assignee
(주)에스투더블유랩
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by (주)에스투더블유랩 filed Critical (주)에스투더블유랩
Priority to JP2022512810A priority Critical patent/JP7309242B2/ja
Priority to CN202080062448.XA priority patent/CN114365169A/zh
Priority to US17/640,617 priority patent/US20220343330A1/en
Publication of WO2021045331A1 publication Critical patent/WO2021045331A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/04—Payment circuits
    • G06Q20/06—Private payment circuits, e.g. involving electronic currency used among participants of a common payment scheme
    • G06Q20/065—Private payment circuits, e.g. involving electronic currency used among participants of a common payment scheme using e-cash
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • G06N3/084—Backpropagation, e.g. using gradient descent
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G06Q20/4016—Transaction verification involving fraud or risk level assessment in transaction processing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/044—Recurrent networks, e.g. Hopfield networks
    • G06N3/0442—Recurrent networks, e.g. Hopfield networks characterised by memory or gating, e.g. long short-term memory [LSTM] or gated recurrent units [GRU]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/0464—Convolutional networks [CNN, ConvNet]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q2220/00—Business processing using cryptography

Definitions

  • the present disclosure relates to a method and apparatus for detecting a fraudulent address of a cryptocurrency using a machine learning model. More specifically, the present disclosure may derive feature information from information about a fraudulent address and information about a good address that have already been obtained in order to generate a machine learning model.
  • Cryptocurrency is a digital asset designed to function as a means of exchange, and refers to electronic information that is encrypted with blockchain technology, distributed and issued, and can be used as currency in a certain network.
  • Cryptocurrency is electronic information that is not issued by the central bank, but whose monetary value is digitally displayed based on blockchain technology, and is distributedly stored and operated and managed in a P2P method on the Internet.
  • the core technique for issuing and managing cryptocurrency is blockchain technology.
  • Blockchain is a list of continuously increasing records (blocks), and blocks are connected using an encryption method to ensure security. Each block typically contains the previous block's cryptographic hash, timestamp, and transaction data.
  • Blockchain is an open decentralized ledger that is resistant to data modification from the beginning and can effectively and permanently prove the transaction between both parties. Therefore, cryptocurrency enables transparent operation based on tamper protection.
  • cryptocurrency has anonymity, so third parties other than the giver and receiver cannot know the transaction details at all. Due to the anonymity of the account, it is difficult to track the flow of transactions (Non-trackable), and all records such as remittance records and collection records are all public, but the subject of the transaction is unknown.
  • Cryptocurrency is regarded as an alternative to the existing key currency due to the above-described freedom and transparency, and it is expected that it can be effectively used for international transactions with cheaper fees and simple remittance procedures compared to existing currencies.
  • Cryptocurrency due to its anonymity, cryptocurrencies are sometimes abused as criminal means, such as being used for fraudulent transactions.
  • the data of cryptocurrency transactions is vast, and it is difficult to determine the subject of fraud by manually determining the characteristics of fraudulent transactions.
  • machine learning it is possible to automatically learn the relationship between vast amounts of data.
  • the present disclosure discloses that a method for detecting fraudulent addresses in cryptocurrency using a machine learning model is labeled as used for normal transactions and information on scam addresses labeled as used for fraudulent transactions from a database. Obtaining information about the bad addresses, based on the information about the fraudulent addresses, obtaining information about a group of fraudulent addresses determined to be owned by the same user, based on the fraudulent address group.
  • a machine learning model is formed by acquiring feature information corresponding to each of the addresses included in the address group, fraudulent address group, or mule address group, and machine learning feature information corresponding to each of the addresses and label information corresponding to each of the addresses. It characterized in that it comprises the step of generating.
  • the step of obtaining information on a Mule address group of a method for detecting a fraudulent address of a cryptocurrency using a machine learning model includes a first method included in the fraudulent address group based on the information on the fraudulent address group.
  • the step of obtaining characteristic information of a method for detecting fraudulent addresses of cryptocurrency using a machine learning model is based on information on good addresses, information on fraudulent address groups, and information on Mule address groups.
  • it characterized in that it comprises the step of acquiring first characteristic information indicating a time from the first transaction to the last transaction of the target address included in the good addresses or the fraudulent address group.
  • the step of obtaining characteristic information of a method for detecting a fraudulent address of a cryptocurrency using a machine learning model includes receiving the cryptocurrency of the target address included in the good addresses or the fraudulent address group and then sending the cryptocurrency. And obtaining second characteristic information indicating an average of time.
  • the step of obtaining characteristic information of a method for detecting a fraudulent address of a cryptocurrency using a machine learning model includes first transactions in which a target address included in a group of good addresses or fraudulent addresses receives a cryptocurrency.
  • Acquiring first address number information indicating the number of source addresses for transmitting cryptocurrency in the first transactions per number, indicating the number of destination addresses for receiving cryptocurrency in the first transactions per number of first transactions Obtaining information on the number of second addresses, obtaining information on the number of third addresses indicating the number of source addresses for transmitting the cryptocurrency in the second transactions per the number of second transactions in which the target address transmits the cryptocurrency, Obtaining fourth address number information indicating the number of destination addresses for receiving cryptocurrency in second transactions per number of second transactions, first address number information, second address number information, third address number information, and And determining the fourth address number information as the third feature information.
  • the step of obtaining characteristic information of a method for detecting a fraudulent address of a cryptocurrency using a machine learning model includes good addresses or target addresses included in the fraudulent address group in the entire cryptocurrency that received the cryptocurrency.
  • Second ratio information indicating the ratio of the cryptocurrency that directly received the cryptocurrency, receiving cryptocurrency directly from the first address included in the fraudulent address group for all cryptocurrencies whose target address has received cryptocurrency
  • third ratio information indicating the ratio of one cryptocurrency, the ratio of cryptocurrencies that directly received cryptocurrency from the second address included in the Mule address group with respect to all cryptocurrencies whose target address received cryptocurrency It characterized in that it comprises the step of acquiring the fourth ratio information indicating the first ratio information, the second ratio information, the third ratio information, and the step of determining the fourth ratio information as the fourth feature information.
  • the step of obtaining characteristic information of a method for detecting a fraudulent address of a cryptocurrency using a machine learning model includes good addresses or target addresses included in the fraudulent address group in the entire cryptocurrency to which the cryptocurrency was transmitted.
  • obtaining the fifth ratio information indicating the ratio of the cryptocurrency that directly transmitted the cryptocurrency to the address group containing the target address, and the cryptocurrency transaction service for the entire cryptocurrency to which the target address has transmitted cryptocurrency.
  • the sixth ratio information indicating the ratio of the cryptocurrency that directly sent the cryptocurrency, for all cryptocurrencies whose target address has transmitted the cryptocurrency, the cryptocurrency is directly transmitted to the first address included in the fraudulent address group
  • Acquiring the 7th ratio information indicating the ratio of one cryptocurrency, the ratio of the cryptocurrency that directly transmitted the cryptocurrency to the second address included in the Mule address group with respect to the total cryptocurrency in which the target address received cryptocurrency
  • the step of obtaining characteristic information of a method for detecting a fraudulent address of a cryptocurrency using a machine learning model includes good addresses or target addresses included in the fraudulent address group in the entire cryptocurrency to which the cryptocurrency was transmitted.
  • obtaining the ninth ratio information indicating the ratio of the cryptocurrency indirectly transmitted cryptocurrency with the cryptocurrency transaction service, the first included in the fraudulent address group for all cryptocurrencies whose target address has transmitted cryptocurrency Acquiring the 10th ratio information indicating the ratio of the cryptocurrency that indirectly transmitted the cryptocurrency to the address, and for all cryptocurrencies whose target address has received the cryptocurrency, the cryptocurrency is transferred to the second address included in the Mule address group. It characterized in that it comprises the step of acquiring 11th ratio information indicating the ratio of the indirectly transmitted cryptocurrency, and determining the ninth ratio information, the tenth ratio information, and the eleventh ratio information as sixth feature information.
  • the present disclosure relates to a method for detecting fraudulent addresses of cryptocurrency using a machine learning model: acquiring a new cryptocurrency address, acquiring new feature information for a new cryptocurrency address, and applying new feature information to a machine learning model. And determining whether the new cryptocurrency address is a fraudulent address.
  • the present disclosure provides a method for detecting fraudulent addresses in cryptocurrency using a machine learning model, the step of determining the fraud risk of the new cryptocurrency address as 5 when a new cryptocurrency address is included in the fraudulent address group, and a new cryptocurrency.
  • the address directly trades cryptocurrency with the first address included in the fraudulent address group, determining the fraud risk of the new cryptocurrency address as 4, and the new cryptocurrency address is the first address included in the fraudulent address group
  • determining the fraud risk of the new cryptocurrency address as 3 based on the machine learning model, if the new cryptocurrency address is determined to be a fraudulent address, fraudulent of the new cryptocurrency address Determining the risk as 2, if the new cryptocurrency address has no transaction history, and determining the fraud risk of the new cryptocurrency address as 1, and if the risk is not classified as 1 to 5, fraudulent in the new cryptocurrency address It characterized in that it comprises the step of determining the risk as zero.
  • a program for implementing the method for detecting the fraudulent address as described above may be recorded on a computer-readable recording medium.
  • FIG. 1 is a block diagram of an apparatus for detecting fraudulent addresses according to an embodiment of the present disclosure.
  • FIG. 2 is a diagram showing a fraudulent address detection apparatus according to an embodiment of the present disclosure.
  • FIG. 3 is a block diagram showing a fraudulent address detection apparatus according to an embodiment of the present disclosure.
  • FIG. 4 is a flow chart showing the operation of the fraudulent address detection apparatus according to an embodiment of the present disclosure.
  • FIG. 5 is a flowchart illustrating a method of obtaining information on a mul address group according to an embodiment of the present disclosure.
  • FIG. 6 is a flowchart illustrating a process of obtaining information on a mul address group according to an embodiment of the present disclosure.
  • FIG. 7 is a flowchart illustrating a process of obtaining information on a mul address group according to an embodiment of the present disclosure.
  • FIG. 8 is a flowchart illustrating a process of obtaining information on a mul address group according to an embodiment of the present disclosure.
  • FIG. 9 is a diagram for describing a process of acquiring feature information according to an embodiment of the present disclosure.
  • FIG. 10 is a block diagram showing the operation of the fraudulent address detection apparatus 100 according to an embodiment of the present disclosure.
  • unit used in the specification refers to software or hardware components, and “unit” performs certain roles. However, “unit” is not meant to be limited to software or hardware.
  • the “unit” may be configured to be in an addressable storage medium or may be configured to reproduce one or more processors.
  • unit refers to components such as software components, object-oriented software components, class components, and task components, processes, functions, properties, procedures, Includes subroutines, segments of program code, drivers, firmware, microcode, circuitry, data, database, data structures, tables, arrays and variables.
  • the functions provided within the components and “units” may be combined into a smaller number of components and “units” or may be further separated into additional components and “units”.
  • the "unit” may be implemented with a processor and a memory.
  • processor is to be interpreted broadly to include general purpose processors, central processing units (CPUs), microprocessors, digital signal processors (DSPs), controllers, microcontrollers, state machines, and the like.
  • processor may refer to an application specific application (ASIC), programmable logic device (PLD), field programmable gate array (FPGA), and the like.
  • ASIC application specific application
  • PLD programmable logic device
  • FPGA field programmable gate array
  • processor refers to a combination of processing devices, such as, for example, a combination of a DSP and a microprocessor, a combination of a plurality of microprocessors, a combination of one or more microprocessors in combination with a DSP core, or any other such configuration. You can also refer to it.
  • memory should be interpreted broadly to include any electronic component capable of storing electronic information.
  • the term memory refers to random access memory (RAM), read-only memory (ROM), non-volatile random access memory (NVRAM), programmable read-only memory (PROM), erase-programmable read-only memory (EPROM), electrical May refer to various types of processor-readable media such as erasable PROM (EEPROM), flash memory, magnetic or optical data storage, registers, and the like.
  • RAM random access memory
  • ROM read-only memory
  • NVRAM non-volatile random access memory
  • PROM programmable read-only memory
  • EPROM erase-programmable read-only memory
  • EEPROM erasable PROM
  • flash memory magnetic or optical data storage, registers, and the like.
  • the memory is said to be in electronic communication with the processor if the processor can read information from and
  • FIG. 1 is a block diagram of a fraudulent address detection apparatus 100 according to an embodiment of the present disclosure.
  • the fraudulent address detection apparatus 100 may include at least one of a data learning unit 110 and a data recognition unit 120.
  • the fraudulent address detection apparatus 100 as described above may include a processor and a memory.
  • the data learning unit 110 may learn a machine learning model for performing a target task using a data set.
  • the data learning unit 110 may receive label information related to a data set and a target task.
  • the data learning unit 110 may acquire a machine learning model by performing machine learning on the relationship between the data set and label information.
  • the machine learning model acquired by the data learning unit 110 may be a model for generating label information using a data set.
  • the data recognition unit 120 may receive and store the machine learning model of the data learning unit 110.
  • the data recognition unit 120 may output label information by applying a machine learning model to input data.
  • the data recognition unit 120 may use input data, label information, and results output by the machine learning model to update the machine learning model.
  • At least one of the data learning unit 110 and the data recognition unit 120 may be manufactured in the form of at least one hardware chip and mounted on an electronic device.
  • at least one of the data learning unit 110 and the data recognition unit 120 may be manufactured in the form of a dedicated hardware chip for artificial intelligence (AI), or an existing general-purpose processor (eg, a CPU Alternatively, it may be manufactured as a part of an application processor) or a graphics dedicated processor (eg, a GPU) and mounted on various electronic devices previously described.
  • AI artificial intelligence
  • an existing general-purpose processor eg, a CPU
  • a graphics dedicated processor eg, a GPU
  • the data learning unit 110 and the data recognition unit 120 may be mounted on separate electronic devices, respectively.
  • one of the data learning unit 110 and the data recognition unit 120 may be included in the electronic device, and the other may be included in the server.
  • the data learning unit 110 and the data recognition unit 120 may provide the machine learning model information built by the data learning unit 110 to the data recognition unit 120 through wired or wireless communication, or to recognize data. Data input to the unit 120 may be provided to the data learning unit 110 as additional learning data.
  • At least one of the data learning unit 110 and the data recognition unit 120 may be implemented as a software module.
  • the software module is a memory or a computer-readable ratio. It may be stored in a non-transitory computer readable media.
  • at least one software module may be provided by an operating system (OS) or may be provided by a predetermined application. Alternatively, some of the at least one software module may be provided by an operating system (OS), and the remaining part may be provided by a predetermined application.
  • the data learning unit 110 includes a data acquisition unit 111, a preprocessor 112, a training data selection unit 113, a model learning unit 114, and a model evaluation unit 115.
  • the data acquisition unit 111 may acquire data necessary for machine learning. Since a lot of data is required for learning, the data acquisition unit 111 may receive a data set including a plurality of data.
  • Label information may be assigned to each of a plurality of data.
  • the label information may be information describing each of a plurality of pieces of data.
  • the label information may be information to be derived by a target task.
  • the label information may be obtained from a user input, a memory, or a result of a machine learning model. For example, if the target task is to determine whether the cryptocurrency address is an address owned by a fraudster from information related to the transaction history of the cryptocurrency address, the plurality of data used in machine learning is related to the transaction history of the cryptocurrency address. It will be data and the label information will be whether the cryptocurrency address is the one owned by the scammer.
  • the preprocessor 112 may preprocess the acquired data so that the received data can be used for machine learning.
  • the preprocessor 112 may process the acquired data set into a preset format so that the model learning unit 114 to be described later can use it.
  • the learning data selection unit 113 may select data necessary for learning from among the preprocessed data.
  • the selected data may be provided to the model learning unit 114.
  • the learning data selection unit 113 may select data necessary for learning from among preprocessed data according to a preset criterion.
  • the learning data selection unit 113 may select data according to a preset criterion by learning by the model learning unit 114 to be described later.
  • the model learning unit 114 may learn a criterion regarding which label information is to be output based on the data set. In addition, the model learning unit 114 may perform machine learning by using the data set and label information on the data set as training data. In addition, the model learning unit 114 may perform machine learning by additionally using the previously acquired machine learning model. In this case, the previously acquired machine learning model may be a pre-built model. For example, the machine learning model may be a model built in advance by receiving basic training data.
  • the machine learning model may be constructed in consideration of the application field of the learning model, the purpose of learning, or the computer performance of the device.
  • the machine learning model may be, for example, a model based on a neural network.
  • models such as Deep Neural Network (DNN), Recurrent Neural Network (RNN), Long Short-Term Memory models (LSTM), BRDNN (Bidirectional Recurrent Deep Neural Network), and Convolutional Neural Networks (CNN) are used as machine learning models.
  • DNN Deep Neural Network
  • RNN Recurrent Neural Network
  • LSTM Long Short-Term Memory models
  • BRDNN Bidirectional Recurrent Deep Neural Network
  • CNN Convolutional Neural Networks
  • the model learning unit 114 may determine a machine learning model having a high correlation between the input learning data and the basic learning data as a machine learning model to be trained.
  • the basic learning data may be pre-classified by data type, and the machine learning model may be pre-built for each data type.
  • the basic training data may be pre-classified according to various criteria such as a place where the training data is generated, a time when the training data is generated, a size of the training data, a creator of the training data, and a type of an object in the training data.
  • model learning unit 114 may train the machine learning model using, for example, a learning algorithm including error back-propagation or gradient descent.
  • the model learning unit 114 may learn a machine learning model through supervised learning using, for example, training data as an input value.
  • the model learning unit 114 for example, by self-learning the type of data required for a target task without any guidance, unsupervised learning (unsupervised learning) to discover the criteria for the target task. Through this, a machine learning model can be obtained.
  • the model learning unit 114 may learn the machine learning model through reinforcement learning using feedback on whether the result of the target task according to the learning is correct, for example.
  • the model learning unit 114 may store the learned machine learning model.
  • the model learning unit 114 may store the learned machine learning model in a memory of the electronic device including the data recognition unit 120.
  • the model learning unit 114 may store the learned machine learning model in a memory of a server connected to the electronic device through a wired or wireless network.
  • the memory in which the learned machine learning model is stored may also store commands or data related to at least one other component of the electronic device, for example.
  • the memory may store software and/or programs.
  • the program may include, for example, a kernel, middleware, an application programming interface (API) and/or an application program (or "application").
  • the model evaluation unit 115 may input evaluation data to the machine learning model, and when a result output from the evaluation data does not satisfy a predetermined criterion, the model learning unit 114 may retrain.
  • the evaluation data may be preset data for evaluating the machine learning model.
  • the model evaluation unit 115 does not satisfy a predetermined criterion when the number or ratio of evaluation data whose recognition result is not accurate among the results of the machine learning model learned for the evaluation data exceeds a preset threshold. It can be evaluated as For example, when a predetermined criterion is defined as a ratio of 2%, when the learned machine learning model outputs incorrect recognition results for more than 20 evaluation data out of a total of 1000 evaluation data, the model evaluation unit 115 learns. It can be evaluated that the machine learning model is not suitable.
  • the model evaluation unit 115 evaluates whether each learned machine learning model satisfies a predetermined criterion, and determines the model that satisfies the predetermined criterion as a final machine learning model. You can decide. In this case, when there are a plurality of models that satisfy a predetermined criterion, the model evaluation unit 115 may determine any one or a predetermined number of models previously set in the order of the highest evaluation scores as the final machine learning model.
  • At least one of the data acquisition unit 111, the preprocessor 112, the training data selection unit 113, the model learning unit 114, and the model evaluation unit 115 in the data learning unit 110 is at least one It can be manufactured in the form of a hardware chip and mounted on an electronic device.
  • at least one of the data acquisition unit 111, the preprocessor 112, the training data selection unit 113, the model learning unit 114, and the model evaluation unit 115 is artificial intelligence (AI). It may be manufactured in the form of a dedicated hardware chip, or may be manufactured as a part of an existing general-purpose processor (eg, CPU or application processor) or a graphics dedicated processor (eg, GPU) and mounted on the aforementioned various electronic devices.
  • AI artificial intelligence
  • the data acquisition unit 111, the preprocessor 112, the training data selection unit 113, the model learning unit 114, and the model evaluation unit 115 may be mounted on one electronic device, or separate Each of the electronic devices may be mounted.
  • some of the data acquisition unit 111, the preprocessing unit 112, the training data selection unit 113, the model learning unit 114, and the model evaluation unit 115 are included in the electronic device, and the rest are Can be included in the server.
  • At least one of the data acquisition unit 111, the preprocessor 112, the training data selection unit 113, the model learning unit 114, and the model evaluation unit 115 may be implemented as a software module.
  • At least one of the data acquisition unit 111, the preprocessor 112, the training data selection unit 113, the model learning unit 114, and the model evaluation unit 115 is a software module (or a program including an instruction) Module), the software module may be stored in a computer-readable non-transitory computer readable media.
  • at least one software module may be provided by an operating system (OS) or may be provided by a predetermined application.
  • OS operating system
  • some of the at least one software module may be provided by an operating system (OS), and the remaining part may be provided by a predetermined application.
  • the data recognition unit 120 includes a data acquisition unit 121, a preprocessor 122, a recognition data selection unit 123, a recognition result providing unit 124, and a model update unit 125. It may include.
  • the data acquisition unit 121 may receive input data.
  • the preprocessor 122 may preprocess the acquired input data so that the acquired input data can be used by the recognition data selection unit 123 or the recognition result providing unit 124.
  • the recognition data selection unit 123 may select necessary data from among pre-processed data.
  • the selected data may be provided to the recognition result providing unit 124.
  • the recognition data selection unit 123 may select some or all of the preprocessed data according to a preset criterion.
  • the recognition data selection unit 123 may select data according to a preset criterion by learning by the model learning unit 114.
  • the recognition result providing unit 124 may obtain result data by applying the selected data to the machine learning model.
  • the machine learning model may be a machine learning model generated by the model learning unit 114.
  • the recognition result providing unit 124 may output result data.
  • the model update unit 125 may update the machine learning model based on an evaluation of the recognition result provided by the recognition result providing unit 124. For example, the model update unit 125 provides the recognition result provided by the recognition result providing unit 124 to the model learning unit 114, so that the model learning unit 114 can update the machine learning model. have.
  • At least one of the data acquisition unit 121, the preprocessor 122, the recognition data selection unit 123, the recognition result providing unit 124 and the model update unit 125 in the data recognition unit 120 is at least It can be manufactured in the form of a single hardware chip and mounted on an electronic device.
  • at least one of the data acquisition unit 121, the preprocessor 122, the recognition data selection unit 123, the recognition result providing unit 124, and the model update unit 125 is artificial intelligence (AI). ) May be manufactured in the form of a dedicated hardware chip, or may be manufactured as a part of an existing general-purpose processor (eg, a CPU or application processor) or a graphics dedicated processor (eg, a GPU) and mounted on the aforementioned various electronic devices.
  • AI artificial intelligence
  • the data acquisition unit 121, the preprocessor 122, the recognition data selection unit 123, the recognition result providing unit 124, and the model update unit 125 may be mounted on one electronic device, or separately It may be mounted on each of the electronic devices.
  • some of the data acquisition unit 121, the preprocessor 122, the recognition data selection unit 123, the recognition result providing unit 124, and the model update unit 125 are included in the electronic device, and the rest Can be included in the server.
  • At least one of the data acquisition unit 121, the preprocessor 122, the recognition data selection unit 123, the recognition result providing unit 124, and the model update unit 125 may be implemented as a software module.
  • At least one of the data acquisition unit 121, the preprocessor 122, the recognition data selection unit 123, the recognition result providing unit 124, and the model update unit 125 includes a software module (or instruction).
  • the software module may be stored in a computer-readable non-transitory computer readable media.
  • at least one software module may be provided by an operating system (OS) or may be provided by a predetermined application.
  • OS operating system
  • some of the at least one software module may be provided by an operating system (OS), and the remaining part may be provided by a predetermined application.
  • FIG. 2 is a diagram showing a fraudulent address detection apparatus according to an embodiment of the present disclosure.
  • the fraudulent address detection apparatus 100 may include a processor 210 and a memory 220.
  • the processor 210 may execute instructions stored in the memory 220.
  • the fraudulent address detection apparatus 100 may include a data learning unit 110 or a data recognition unit 120.
  • the data learning unit 110 or the data recognition unit 120 may be implemented by the processor 210 and the memory 220.
  • FIG 3 is a block diagram showing a fraudulent address detection apparatus according to an embodiment of the present disclosure.
  • Figure 4 is a flow chart showing the operation of the fraudulent address detection apparatus according to an embodiment of the present disclosure.
  • the processor 210 of the fraudulent address detection apparatus 100 may perform the following steps in order to detect a fraudulent address fraudulent using machine learning based on a command stored in the memory 220.
  • the fraudulent address detection apparatus 100 includes information 311 on scam addresses labeled as used for fraudulent transactions from the database 310 and benign addresses labeled as used for normal transactions. Addresses) information 312 may be acquired (410).
  • the database 310 may store information 311 about fraudulent addresses and information 312 about good addresses. Information on fraudulent addresses and information on good addresses are in the database 310 based on the data acquisition unit 111, the preprocessor 112, or the learning data selection unit 113 of the fraudulent address detection apparatus 100. May be stored.
  • the database 310 may be included in the fraudulent address detection apparatus 100. In addition, the database 310 may be outside the fraudulent address detection apparatus 100. The fraudulent address detection apparatus 100 may obtain information from the database 310 using wired or wireless communication.
  • the information on fraudulent addresses 311 and information on good addresses 312 may include addresses of fraudulent addresses and good addresses, and a transaction history.
  • the information on fraudulent addresses 311 and information on good addresses 312 may mean label information on fraudulent addresses and good addresses.
  • the information on the fraudulent addresses and the label information included in the information on the good addresses may indicate'fraud' or'good'.
  • the fraudulent address detection apparatus 100 may perform a step 420 of acquiring information on a fraudulent address group (scam cluster) determined to be owned by the same user based on the information 311 on fraudulent addresses. have.
  • the fraudulent address detection apparatus 100 may include an address group acquisition unit 320.
  • the address group acquisition unit 320 may further extract addresses owned by the same user based on the transaction history of the already acquired address, and cluster or group addresses owned by the same user.
  • the address group acquisition unit 320 may include a fraudulent address group acquisition unit 321 and a mule address group acquisition unit 322.
  • the fraudulent address group acquisition unit 321 may group fraudulent addresses determined to be owned by the same user based on the information 311 on fraudulent addresses included in the database 310.
  • the fraudulent address detection device 100 may group a set of transmission addresses by whether or not they possess a private key corresponding to a cryptocurrency address used as a transmission address of a transaction for grouping cryptocurrency addresses.
  • An input heuristic algorithm can be used.
  • the fraudulent address detection apparatus 100 may use an address change heuristic algorithm for grouping a plurality of addresses estimated to be the same owner by using an address to which the balance is returned after remittance.
  • the fraudulent address detection apparatus 100 may use a heuristic algorithm defined by a user in addition to that.
  • the fraudulent address detection apparatus 100 may perform address filtering and/or address grouping according to a user command.
  • the mule address group acquisition unit 322 of the fraudulent address detection apparatus 100 performs a step 430 of acquiring information on a mule address group used for money laundering based on the fraudulent address group.
  • a method of acquiring information on the Mule address group will be described in more detail with reference to FIG. 5.
  • the information on the mule address group may include a transaction history or address of an address included in the mule address group.
  • the information on the mule address group may include label information.
  • the label information may represent'mule'.
  • the fraudulent address detection apparatus 100 may further include an address group information acquisition unit 330.
  • the address group information acquisition unit 330 may acquire information on a service address group.
  • the service address may mean the address of an exchange of cryptocurrency.
  • the address group information acquisition unit 330 may acquire information on a service address group from, for example, "walletExplorer.com”.
  • the feature extraction unit 340 of the fraudulent address detection apparatus 100 is based on at least one of information about good addresses, information about a fraudulent address group, or information about a Mule address group, to the good addresses or the fraudulent address group.
  • a step 440 of acquiring feature information corresponding to each of the included addresses may be performed.
  • the feature information may be obtained based on a transaction history included in information about good addresses, information about a fraudulent address group, or information about a Mule address group. The feature information will be described in more detail with reference to FIG. 8.
  • the model learning unit 350 of the fraudulent address detection apparatus 100 performs the step 450 of generating a machine learning model 360 by machine learning feature information corresponding to each of the addresses and label information corresponding to each of the addresses. You can do it.
  • the fraud address detection apparatus 100 may store the learned machine learning model 360 in a memory. In addition, the fraudulent address detecting device 100 may transmit the machine learning model 360 to another fraudulent address detecting device 100.
  • 5 is a flowchart illustrating a method of obtaining information on a mul address group according to an embodiment of the present disclosure.
  • 6 to 8 are flowcharts illustrating a process of acquiring information on a mul address group according to an embodiment of the present disclosure.
  • the Mule address group acquisition unit 322 of the fraudulent address detection apparatus 100 obtains a flow of cryptocurrency related to the first fraudulent address included in the fraudulent address group, based on the information 311 on the fraudulent address group. 510 can be performed.
  • the fraudulent address detection apparatus 100 may obtain a flow of cryptocurrency related to the first fraudulent address 611 from the database 310.
  • the fraudulent address detection apparatus 100 may obtain a flow in which cryptocurrency is transmitted from the first fraudulent address 611 to the addresses 621, 622, 625 or 626.
  • the fraudulent address detection device 100 simulates a group of addresses through which cryptocurrency is transmitted from the first fraudulent address 611 to reach the fraudulent address group or the second fraudulent address included in the fraudulent address group and other fraudulent address groups.
  • the step 520 of determining the address group may be performed.
  • the fraudulent address detection apparatus 100 may determine an intermediate address included between fraudulent addresses as the Mule address.
  • the fraudulent address detection apparatus 100 may defer to determine the intermediate addresses as Mule addresses. That is, the fraudulent address detection device 100 may determine the middle addresses that carry cryptocurrency in the transaction between the fraudulent address sides as Mule addresses, and the middle address included in the transaction between the fraudulent address and the good address You may reserve the right to decide by address.
  • the fraudulent address detection apparatus 100 may track a transaction history from the first fraudulent address 611 to the addresses 631, 632, and 633 included in the fraudulent address group 630 until the cryptocurrency arrives.
  • the fraudulent address group 630 may be a fraudulent address group 630 including the first fraudulent address 611.
  • the fraudulent address group 630 is not limited thereto, and although the first fraudulent address 611 is not included, the fraudulent address group 630 may be another fraudulent address group determined as a fraudulent address group.
  • the fraudulent address detection apparatus 100 includes addresses 621, 622, and 625 through which the cryptocurrency reaches the addresses 631, 632, and 633 included in the fraudulent address group 630 from the first fraudulent address 611. , 626) can be obtained as Mule addresses.
  • the fraudulent address detection device 100 encrypts the fraudulent address group 630 from the fraudulent address 612 other than the first fraudulent address 611 included in the fraudulent address group 630 to the addresses 631, 632, 633 included in the fraudulent address group. Addresses 623, 624, 627, and 628 that have gone through until the currency arrives can be obtained as Mule addresses.
  • the fraudulent address detection apparatus 100 may repeat this process for all addresses included in the fraudulent address group 630.
  • the fraudulent address detection apparatus 100 may obtain addresses 621, 622, 623, 624, 625, 626, 627 and 628 as Mule addresses.
  • the fraudulent address detection apparatus 100 may classify an address group based on the transaction history of the addresses 621, 622, 623, 624, 625, 626, 627, and 628. For example, the first address group 621, 622, 623, 625, 626 and the second address group 624, 627, 628 may not have a history of transactions with each other.
  • the fraudulent address detection apparatus 100 may group the first address group and the second address group into different groups.
  • the fraudulent address detection apparatus 100 may determine the first address group as the first Mule address group and the second address group as the second Mule address group.
  • the fraudulent address detection apparatus 100 is owned by the same user based on information on addresses 621, 622, 623, 625, and 626 included in the first Mule address group 810.
  • the address 811 may be additionally detected.
  • the fraudulent address detection device 100 may group a set of transmission addresses by whether or not they possess a private key corresponding to a cryptocurrency address used as a transmission address of a transaction for grouping cryptocurrency addresses.
  • An input heuristic algorithm can be used.
  • the fraudulent address detection apparatus 100 may use an address change heuristic algorithm for grouping a plurality of addresses estimated to be the same owner by using an address to which the balance is returned after remittance.
  • the fraudulent address detection apparatus 100 may use a heuristic algorithm defined by a user in addition to that.
  • the fraudulent address detection apparatus 100 may perform address filtering and/or address grouping according to a user command.
  • the fraudulent address detection device 100 additionally detects addresses 821 and 822 owned by the same user based on information on the addresses 624, 627, and 628 included in the second Mule address group 820 can do.
  • FIG. 9 is a diagram for describing a process of acquiring feature information according to an embodiment of the present disclosure.
  • the fraudulent address detection apparatus 100 corresponds to each of the good addresses or the addresses included in the fraudulent address group based on at least one of information about good addresses, information about a fraudulent address group, or information about a Mule address group.
  • An operation 440 of acquiring feature information may be performed.
  • the fraudulent address detection apparatus 100 may acquire a transaction history of the target address 930 based on at least one of information about good addresses, information about a fraudulent address group, or information about a Mule address group.
  • the target address 930 may be ADDR4.
  • the target address 930 has received a cryptocurrency
  • the right side may be a transaction history in which the target address 930 transmits a cryptocurrency.
  • the unit of the cryptocurrency is BTC.
  • This can be a unit of Bitcoin, a type of cryptocurrency.
  • the present disclosure is not limited to Bitcoin, and the same description may be applied to other cryptocurrencies.
  • the target address 930 may receive 2BTC cryptocurrency from ADDR1 911, which is a service address, by transaction A 921.
  • the service address may mean the address of an exchange.
  • the target address 930 may receive 5BTC cryptocurrency from ADDR2 912, which is the same owner's address as the target address 930 by transaction B 922. At the same time, the target address 930 may receive a 3BTC cryptocurrency from the ADDR3 913, which is a Mule address, by transaction B 922. That is, the target address 930 may receive 8 BTC of cryptocurrency by transaction B 922.
  • the target address 930 may transmit 2BTC cryptocurrency to the Mule address ADDR5 951 by transaction C 941.
  • the target address 930 may transmit the 2BTC cryptocurrency to the service address ADDR6 952 by transaction D 942. At the same time, the target address 930 may transmit 6BTC cryptocurrency to ADDR7 953, which is an address not specified by transaction D 942.
  • the unspecified address may be an address that has not been determined by the fraudulent address detection apparatus 100 as good addresses, fraudulent address groups, mule address groups, or service address groups.
  • the target address 930 may transmit 8 BTC of cryptocurrency by transaction D 942.
  • the fraudulent address detection apparatus 100 may acquire feature information including first feature information.
  • the fraudulent address detection device 100 is based on the information on the good addresses, the information on the fraudulent address group, and the information on the Mule address group, the initial transaction of the target addresses 930 included in the good addresses or the fraudulent address group A step of acquiring first characteristic information indicating a time from the last transaction to the last transaction may be performed.
  • the fraudulent address detection device 100 records transaction histories such as transaction A (921), transaction B (922), transaction C (941), and transaction D (942) based on the information on the target address 930. Can be obtained. Transaction A (921) was made on February 1, 2019, Transaction B (922) was made on March 1, 2019, Transaction C (941) was made on May 1, 2019, and Transaction D (942) may take place on April 1, 2019.
  • the fraudulent address detection apparatus 100 may determine the initial transaction of the target address 930 as the transaction A 921.
  • the fraudulent address detection apparatus 100 may determine the last transaction of the target address 930 as the transaction C 941.
  • the fraudulent address detection apparatus 100 may determine the time from the first transaction to the last transaction as 89 days.
  • the fraudulent address detection apparatus 100 may obtain information indicating 89 days as first characteristic information of the target address 930.
  • the first characteristic information of fraudulent addresses tends to be shorter than the first characteristic of good addresses. Accordingly, the fraudulent address detection apparatus 100 may determine whether the new address is a fraudulent address based on the first characteristic information.
  • the fraudulent address detection apparatus 100 may acquire feature information including the second feature information.
  • the fraudulent address detection apparatus 100 may perform a step of acquiring second characteristic information indicating an average of a time taken to transmit the cryptocurrency after receiving the cryptocurrency of the target addresses included in the good addresses or the fraudulent address group.
  • 2BTC received by the target address 930 from the transaction A 921 may be transmitted from the target address 930 by the transaction C 941.
  • the time between transaction A 921 and transaction C 941 may be 89 days.
  • the 8BTC received from the transaction B 922 by the target address 930 may be transmitted from the target address 930 by the transaction D 942.
  • the fraudulent address detection apparatus 100 may acquire information representing 60 days as the second characteristic information of the target address 930.
  • the second characteristic information of fraudulent addresses tends to be shorter than the second characteristic of good addresses. Accordingly, the fraudulent address detection apparatus 100 may determine whether the new address is a fraudulent address based on the second characteristic information.
  • the fraudulent address detection apparatus 100 may acquire feature information including third feature information.
  • the fraudulent address detection device 100 transfers the cryptocurrency in the first transactions per number of the first transactions 921 and 922 for which the target address 930 included in the fraudulent address group or the fraudulent address group receives the cryptocurrency.
  • the step of obtaining first address number information indicating the number of source addresses 911, 912, and 913 may be performed.
  • the target address 930 may receive cryptocurrency through two transactions such as transaction A 921 and transaction B 922.
  • transaction A the source address for transmitting the cryptocurrency may be ADDR1 (911).
  • the source addresses for transmitting the cryptocurrency in transaction B 922 may be ADDR2 912 and ADDR3 913.
  • the fraudulent address detection apparatus 100 may perform a step of acquiring second address number information indicating the number of destination addresses for receiving cryptocurrencies in the first transactions per the number of first transactions.
  • the target address 930 may receive cryptocurrency through two transactions such as transaction A 921 and transaction B 922.
  • the destination address for receiving cryptocurrency in transaction A 921 may be a target address 930.
  • the destination address for receiving the cryptocurrency in transaction B 922 may be the target address 930.
  • the fraudulent address detection apparatus 100 performs a step of acquiring third address number information indicating the number of source addresses for transmitting the cryptocurrency in the second transactions per the number of second transactions for which the target address transmits the cryptocurrency. I can.
  • the target address 930 may transmit cryptocurrency by two transactions such as Transaction C 941 and Transaction D 942.
  • the source address from which the cryptocurrency is transmitted in transaction C 941 may be the target address 930.
  • the source address from which the cryptocurrency is transmitted in the transaction D 942 may be the target address 930.
  • the fraudulent address detection apparatus 100 may perform a step of obtaining information on the number of fourth addresses indicating the number of destination addresses for receiving cryptocurrencies in the second transactions per the number of second transactions.
  • the target address 930 may transmit cryptocurrency by two transactions such as Transaction C 941 and Transaction D 942.
  • the destination address for receiving cryptocurrency in transaction C 941 may be ADDR5 951.
  • destination addresses for receiving cryptocurrencies in transaction D 942 may be ADDR6 952 and ADDR7 953.
  • the fraudulent address detection apparatus 100 may perform a step of determining first address number information, second address number information, third address number information, and fourth address number information as third feature information.
  • the number of destinations In transactions where fraudulent addresses receive cryptocurrency, the number of destinations is often less than a predetermined number. However, since good addresses are mainly traded on exchanges, they are often many-to-many transactions. Therefore, in a transaction where a good address receives cryptocurrency, the number of destinations is often more than a predetermined number.
  • the number of origins is greater than the number of origins for a good address when the number of origins is more than a predetermined number. This could be because people with fraudulent addresses run many cryptocurrency addresses.
  • the fraudulent address detection apparatus 100 may acquire feature information including the fourth feature information.
  • the fraudulent address detection device 100 directly receives the cryptocurrency from the address group including the target address 930 for all cryptocurrencies in which the target address 930 included in the fraudulent address group or the target address 930 received the cryptocurrency.
  • the step of obtaining first ratio information indicating the ratio of the received cryptocurrency may be performed.
  • Health addresses can be grouped into a group without distinction of owners. All of the good addresses can be referred to as one good address group. However, the present invention is not limited thereto, and good addresses may be grouped by owner. Good addresses grouped by owners can be referred to as good address groups.
  • Each of the good address group, the fraudulent address group, and the Mule address group may include a plurality of address groups. If the target address 930 belongs to the first fraudulent address group, the fraudulent address detection device 100 encrypts the target address 930 from an address belonging to the first fraudulent address group for all cryptocurrencies that received the cryptocurrency.
  • the ratio of the cryptocurrency that directly received the currency can be obtained as the first ratio information.
  • the first ratio can be expressed as a percentage, a fraction, or a real number.
  • the target address 930 directly receives the cryptocurrency, it means that the target address 930 directly receives the cryptocurrency from the source address without passing through another address in the middle. It also means that the target address 930 has received cryptocurrency through only one transaction.
  • the target address 930 receives cryptocurrency from ADDR1 911 through transaction A 921.
  • the target address 930 receives cryptocurrency from ADDR2 912 through transaction B 922.
  • the target address 930 receives cryptocurrency from ADDR3 913 through transaction B 922.
  • the source address from which the target address 930 directly receives the cryptocurrency may be ADDR1 (911), ADDR2 (912) and ADDR3 (913).
  • the total cryptocurrency received by the target address 930 may be 10 BTC.
  • the cryptocurrency directly received from ADDR2 912, which is another address in the address group including the target address 930, is 5BTC
  • the first rate information may be 50%.
  • the fraudulent address detection apparatus 100 is a step of obtaining second ratio information indicating the ratio of the cryptocurrency that the target address 930 directly received the cryptocurrency from the cryptocurrency transaction service with respect to the total cryptocurrency that received the cryptocurrency. You can do it.
  • Cryptocurrency transaction service can mean a cryptocurrency exchange.
  • the total cryptocurrency received by the target address 930 may be 10 BTC.
  • the first rate information may be 20% when the cryptocurrency directly received from ADDR1 911, which is the address of the cryptocurrency transaction service, is 2BTC.
  • the fraudulent address detection device 100 is a third ratio representing the ratio of the cryptocurrency that directly received the cryptocurrency from the first address included in the fraudulent address group with respect to the total cryptocurrency for which the target address 930 received cryptocurrency.
  • the step of acquiring information may be performed.
  • the first ratio information may be included in the third ratio information. Therefore, when the fraudulent address detection device 100 acquires the third rate information, when the target address 930 is included in the fraudulent address group, it is included in a fraudulent address group different from the fraudulent address group in which the target address 930 is included. It can be obtained as third rate information based on the size of the cryptocurrency directly received from the first address. However, it is not limited thereto.
  • the fraudulent address detection device 100 performs a third based on the size of the cryptocurrency directly received from the first address in the fraudulent address group including the target address 930. Rate information can be obtained.
  • the fraudulent address detection apparatus 100 is a fourth ratio indicating the ratio of the cryptocurrency that directly received the cryptocurrency from the second address included in the Mule address group with respect to the total cryptocurrency in which the target address 930 received cryptocurrency.
  • the step of acquiring information may be performed.
  • the total cryptocurrency received by the target address 930 may be 10 BTC.
  • the target address 930 is a cryptocurrency directly received from ADDR3 913, which is a second address included in the Mule address group, 3BTC
  • the first rate information may be 30%.
  • the fraudulent address detection apparatus 100 may perform a step of determining the first ratio information, the second ratio information, the third ratio information, and the fourth ratio information as fourth feature information.
  • the fraudulent address detection apparatus 100 may acquire feature information including fifth feature information.
  • the fraudulent address detection apparatus 100 directly transfers the cryptocurrency to the address group including the target address 930 for all cryptocurrencies from which the target address 930 included in the fraudulent address group or the target address 930 transmitted the cryptocurrency.
  • a step of acquiring fifth rate information indicating the rate of the transmitted cryptocurrency may be performed.
  • target address 930 When the target address 930 directly transmits the cryptocurrency, it means that the target address 930 directly transmits the cryptocurrency to the destination address without going through another address in the middle. In addition, it means that the target address 930 transmits the cryptocurrency through only one transaction. Referring to FIG. 9, the target address 930 transmits a cryptocurrency to ADDR5 951 through transaction C 941. In addition, the target address 930 transmits cryptocurrency to ADDR6 952 through transaction D 942. In addition, the target address 930 transmits cryptocurrency to ADDR7 953 through transaction D 942. Accordingly, in FIG. 9, destination addresses to which the target address 930 directly transmits the cryptocurrency may be ADDR5 (951), ADDR6 (952), and ADDR7 (953).
  • the fraudulent address detection apparatus 100 is a step of obtaining sixth ratio information indicating the ratio of the cryptocurrency that directly transmitted the cryptocurrency to the cryptocurrency transaction service with respect to the total cryptocurrency to which the target address 930 has transmitted the cryptocurrency. You can do it.
  • the size of the total cryptocurrency to which the target address 930 transmits the cryptocurrency may be 10BTC.
  • the size of the cryptocurrency directly transmitted to ADDR6 952, which is the address of the cryptocurrency transaction service, may be 2BTC. Accordingly, the fraudulent address detection apparatus 100 may obtain 20% as the sixth ratio information.
  • the fraudulent address detection apparatus 100 is a seventh ratio representing the ratio of the cryptocurrency that directly transmits the cryptocurrency to the first address included in the fraudulent address group with respect to the total cryptocurrency to which the target address 930 has transmitted the cryptocurrency.
  • the step of acquiring information may be performed.
  • a target address 930 transmits a cryptocurrency to ADDR9 972, which is a fraudulent address, through transaction D 942 and transaction E 960. However, since the target address 930 transmitted cryptocurrency to the fraudulent address ADDR9 972 using two or more transactions, the fraudulent address detection device 100 indicates that the target address 930 did not directly transmit to the fraudulent address. You can decide.
  • the fraudulent address detection device 100 obtains the eighth ratio information indicating the ratio of the cryptocurrency that directly transmits the cryptocurrency to the second address included in the Mule address group with respect to the total cryptocurrency in which the target address has received the cryptocurrency. You can perform the steps.
  • the size of the total cryptocurrency to which the target address 930 transmits the cryptocurrency may be 10BTC.
  • the size of the cryptocurrency directly transmitted to ADDR5 951, an address included in the Mule address group, may be 2BTC. Accordingly, the fraudulent address detection apparatus 100 may obtain 20% as the eighth ratio information.
  • the fraudulent address detection apparatus 100 may perform the step of determining the fifth ratio information, the sixth ratio information, the seventh ratio information, and the eighth ratio information as fifth feature information.
  • the fraudulent address detection apparatus 100 may acquire feature information including the sixth feature information.
  • the fraudulent address detection device 100 is the ratio of the cryptocurrencies that indirectly transmit the cryptocurrency to the cryptocurrency transaction service with respect to all cryptocurrencies to which the target address 930 included in the fraudulent address group or the target address 930 transmits cryptocurrency. It is possible to perform the step of obtaining the ninth ratio information indicating.
  • Indirect transmission and reception of cryptocurrency means that the cryptocurrency transmitted from the source address reaches the destination address by two or more transactions.
  • the cryptocurrency transmitted from the source address reaches the destination address by two or more transactions.
  • the target address 930 in order for cryptocurrency to be transmitted from the target address 930 to the ADDR8 971 or ADDR9 972, it may go through a transaction D 942 and a transaction E 960.
  • the fraudulent address detection apparatus 100 may determine that the target address 930 indirectly transmits the cryptocurrency to the ADDR8 971 or ADDR9 972.
  • the fraudulent address detection apparatus 100 may determine whether there is indirect transmission/reception of cryptocurrency between addresses within a predetermined number of transactions. By determining whether the fraudulent address detection device 100 has indirect transmission/reception within a predetermined number of transactions, the fraudulent address detection device 100 can prevent the processing power from being largely consumed in order to confirm the indirect transaction. For example, the fraudulent address detection apparatus 100 may determine whether the target address 930 transmits cryptocurrency, and whether there is indirect transmission to the cryptocurrency transaction service within 10 or less transactions.
  • the size of the total cryptocurrency to which the target address 930 transmits the cryptocurrency may be 10 BTC.
  • the target address 930 may indirectly transmit 2BTC to ADDR8 971, which is an address of a cryptocurrency transaction service, through transaction D 942 and transaction E 960.
  • the fraudulent address detection apparatus 100 may determine the ninth ratio information as 20%.
  • the fraudulent address detection device 100 acquires the tenth ratio information indicating the percentage of the cryptocurrency indirectly transmitting the cryptocurrency to the first address included in the fraudulent address group with respect to the total cryptocurrency to which the target address has transmitted the cryptocurrency. You can perform the steps.
  • the size of the total cryptocurrency to which the target address 930 transmits the cryptocurrency may be 10 BTC.
  • the target address 930 may indirectly transmit 4BTC to the ADDR9 972, which is a first address included in the fraudulent address group, through the transaction D 942 and the transaction E 960.
  • the fraudulent address detection apparatus 100 may determine the tenth ratio information as 40%.
  • the fraudulent address detection device 100 obtains 11th ratio information indicating the ratio of the cryptocurrency indirectly transmitted to the second address included in the Mule address group with respect to the total cryptocurrency in which the target address received the cryptocurrency. You can perform the steps.
  • the fraudulent address detection apparatus 100 may perform the step of determining the ninth ratio information, the tenth ratio information, and the eleventh ratio information as sixth feature information.
  • the fraudulent address detection apparatus 100 may acquire the first to sixth feature information.
  • the fraudulent address detection apparatus 100 may perform the step 450 of generating a machine learning model based on the first to sixth feature information.
  • FIG. 10 is a block diagram showing the operation of the fraudulent address detection apparatus 100 according to an embodiment of the present disclosure.
  • the fraudulent address detection apparatus 100 may obtain the address label information 1011 and the feature information 1012 from the database 310 and the feature extraction unit 340.
  • the address label information 1011 may indicate'good' or'fraud'.
  • the feature information 1012 may be at least one of first to sixth feature information.
  • the fraudulent address detection apparatus 100 may acquire the machine learning model 360 based on the label information 1011 and the feature information 1012 of the address.
  • the fraudulent address detection apparatus 100 may store the machine learning model 360 in a memory and use it later.
  • the fraudulent address detection device 100 may transmit the machine learning model 360 to another fraudulent address detection device.
  • the fraudulent address detection apparatus 100 may perform the step of obtaining a new cryptocurrency address.
  • the fraudulent address detection apparatus 100 may perform a step of acquiring new characteristic information for a new cryptocurrency address.
  • the fraudulent address detection apparatus 100 may perform a step of determining whether the new cryptocurrency address is a fraudulent address by applying the new feature information to the machine learning model 360 obtained in advance.
  • the fraudulent address detection apparatus 100 may output result information 1070 indicating whether the fraudulent address is present.
  • the fraudulent address detection apparatus 100 may output information on the risk of a new cryptocurrency address based on a machine learning model or fraudulent address group.
  • the fraudulent address detection apparatus 100 may perform a step of determining a fraud risk of the new cryptocurrency address as 5.
  • a risk of 5 could mean the most dangerous.
  • the risk may be reduced to 1, and a risk of 1 may mean that the risk is low. If the risk is 0, it may indicate that the risk cannot be judged.
  • the degree of risk is indicated by 0 to 5, but other letters or numbers may indicate the risk.
  • the fraudulent address detection device 100 may perform a step of determining the fraud risk of the new cryptocurrency address as 4 when the new cryptocurrency address directly transacts cryptocurrency with the first address included in the fraudulent address group.
  • Directly transacting cryptocurrency with the first address means that the first address transmits cryptocurrency to a new cryptocurrency address in one transaction, or that the first address receives cryptocurrency from a new cryptocurrency address.
  • the fraudulent address detection device 100 may perform a step of determining the fraud risk of the new cryptocurrency address as 3 when the new cryptocurrency address has indirectly traded cryptocurrency with the first address included in the fraudulent address group. have.
  • a new cryptocurrency address indirectly transacts cryptocurrency with the first address
  • the first address transmits cryptocurrency to a new cryptocurrency address through more than one address, or the first address transmits cryptocurrency to a new cryptocurrency address through more than one address. It means receiving cryptocurrency from cryptocurrency address.
  • the fraudulent address detection apparatus 100 may require a lot of processing power to confirm indirect transactions.
  • the fraudulent address detection device 100 checks whether the first address included in the fraudulent address group appears while a new cryptocurrency address is transmitted or received cryptocurrency goes through a predetermined number of transactions, and has a high processing power. You can prevent it from being consumed.
  • the predetermined number of times may be determined based on the processing capability of the fraudulent address detection apparatus 100. For example, the predetermined number of times may be 10 times.
  • the fraudulent address detection apparatus 100 may perform a step of determining a fraud risk of the new cryptocurrency address as 2.
  • the result of the fraudulent address detection apparatus 100 according to the machine learning model may appear as'fraud' or'good'.
  • the fraudulent address detection apparatus 100 may determine the risk as 2 when the result is'fraud'. If the result is'good', the fraud address detection device 100 may check the next step.
  • the fraudulent address detection apparatus 100 may perform a step of determining a fraud risk of the new cryptocurrency address as 1 when the new cryptocurrency address has no transaction history.
  • the fraudulent address detection apparatus 100 may perform a step of determining a fraud risk of a new cryptocurrency address as 0 when the risk is not classified as 1 to 5. A zero risk may indicate that the risk cannot be determined.
  • the above-described embodiments of the present invention can be written as a program that can be executed on a computer, and can be implemented in a general-purpose digital computer that operates the program using a computer-readable recording medium.
  • the computer-readable recording medium includes storage media such as magnetic storage media (eg, ROM, floppy disk, hard disk, etc.) and optical reading media (eg, CD-ROM, DVD, etc.).

Landscapes

  • Business, Economics & Management (AREA)
  • Engineering & Computer Science (AREA)
  • Accounting & Taxation (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Finance (AREA)
  • Strategic Management (AREA)
  • General Business, Economics & Management (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Evolutionary Computation (AREA)
  • Mathematical Physics (AREA)
  • Artificial Intelligence (AREA)
  • Signal Processing (AREA)
  • Medical Informatics (AREA)
  • Computer Hardware Design (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Biomedical Technology (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Biophysics (AREA)
  • Computational Linguistics (AREA)
  • General Health & Medical Sciences (AREA)
  • Molecular Biology (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
  • Debugging And Monitoring (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

본 개시는 기계학습모델을 이용하여 암호화폐의 사기 주소를 검출하기 위한 방법에 대한 것으로써, 데이터베이스로부터 사기 거래를 위해 사용된 것으로 레이블된 사기 주소들(scam addresses)에 대한 정보 및 정상적인 거래를 위해 사용된 것으로 레이블된 양호 주소들(benign addresses)에 대한 정보를 획득하는 단계, 사기 주소들에 대한 정보에 기초하여, 동일한 사용자가 소유하고 있는 것으로 결정된 사기 주소 그룹에 대한 정보를 획득하는 단계, 사기 주소 그룹에 기초하여, 자금 세탁을 위해 사용되는 뮬(mule) 주소 그룹에 대한 정보를 획득하는 단계, 양호 주소들에 대한 정보, 사기 주소 그룹에 대한 정보 또는 뮬 주소 그룹에 대한 정보 중 적어도 하나에 기초하여 양호 주소들, 사기 주소 그룹 또는 뮬 주소 그룹에 포함된 주소들 각각에 대응되는 특징 정보를 획득하는 단계 및 주소들 각각에 대응되는 특징 정보 및 주소들 각각에 대응되는 레이블 정보를 기계학습하여 기계학습모델을 생성하는 단계를 포함하는 것을 특징으로 한다.

Description

암호화폐 거래 분석 방법 및 장치
본 개시는 기계학습모델을 이용하여 암호화폐의 사기 주소를 검출하기 위한 방법 및 장치에 관한 것이다. 보다 구체적으로 본 개시는 기계학습모델을 생성하기 위하여 이미 획득된 사기 주소에 대한 정보 및 양호 주소에 대한 정보로부터 특징 정보를 도출할 수 있다.
암호화폐(cryptocurrency)는 교환 수단으로 기능하도록 고안된 디지털 자산으로, 블록체인(blockchain) 기술로 암호화되어 분산발행되고 일정한 네트워크에서 화폐로 사용할 수 있는 전자정보를 말한다. 암호화폐는 중앙은행이 발행하지 않고 블록체인 기술에 기초하여 금전적 가치가 디지털방식으로 표시된 전자정보로서 인터넷상 P2P 방식으로 분산 저장되어 운영·관리된다. 암호화폐를 발행하고 관리하는 핵심 기법은 블록체인(blockchain) 기술이다. 블록체인은 지속적으로 늘어나는 기록(블록)의 일람표로서 블록은 암호화방법을 사용하여 연결되어 보안이 확보된다. 각 블록은 전형적으로는 이전 블록의 암호해쉬, 타임스탬프와 거래 데이터를 포함한다. 블록체인은 처음부터 데이터의 수정에 대해 저항력을 가지고 있으며, 양 당사자 간의 거래를 유효하게 영구적으로 증명할 수 있는 공개된 분산 장부이다. 따라서 암호화폐는 조작 방지를 기반으로 투명한 운영을 가능하게 한다.
그 밖에, 암호화폐는 기존 화폐와는 달리 익명성을 갖고 있어, 준 사람과 받은 사람 이외의 제3자는 거래 내역을 일체 알 수 없다는 특징이 있다. 계좌의 익명성 때문에 거래의 흐름을 추적하기 어려우며(Non-trackable), 송금기록, 수금기록 등 일체의 기록은 모두 공개되어 있으나 거래 주체는 알 수 없다.
암호화폐는 전술한 바와 같은 자유성과 투명성으로 인해 기존의 기축통화를 대체할 수 있는 대안으로 여겨지고 있으며, 기존 통화 대비 저렴한 수수료와 간단한 송금 절차로 국제 간 거래 등에 효과적으로 사용될 수 있을 것으로 보인다. 다만 그 익명성으로 인해 암호화폐는 사기 거래에 사용되는 등 범죄 수단으로 악용되기도 한다.
한편, 암호화폐 거래의 데이터는 방대하여 사기 거래의 특징을 수동으로 판별하여 사기 주체를 결정하기 어려운 문제점이 있었다. 이와 관련하여 기계학습을 이용하면 방대한 데이터들의 관계를 자동으로 학습할 수 있다.
따라서 기계학습을 이용하여 암호화폐를 범죄 수단으로 사용하는 거래 주체를 파악할 수 있는 방법이 요구된다.
본 개시는 기계학습모델을 이용하여 암호화폐의 사기 주소를 검출하기 위한 방법은 데이터베이스로부터 사기 거래를 위해 사용된 것으로 레이블된 사기 주소들(scam addresses)에 대한 정보 및 정상적인 거래를 위해 사용된 것으로 레이블된 양호 주소들(benign addresses)에 대한 정보를 획득하는 단계, 사기 주소들에 대한 정보에 기초하여, 동일한 사용자가 소유하고 있는 것으로 결정된 사기 주소 그룹에 대한 정보를 획득하는 단계, 사기 주소 그룹에 기초하여, 자금 세탁을 위해 사용되는 뮬(mule) 주소 그룹에 대한 정보를 획득하는 단계, 양호 주소들에 대한 정보, 사기 주소 그룹에 대한 정보 또는 뮬 주소 그룹에 대한 정보 중 적어도 하나에 기초하여 양호 주소들, 사기 주소 그룹 또는 뮬 주소 그룹에 포함된 주소들 각각에 대응되는 특징 정보를 획득하는 단계 및 주소들 각각에 대응되는 특징 정보 및 주소들 각각에 대응되는 레이블 정보를 기계학습하여 기계학습모델을 생성하는 단계를 포함하는 것을 특징으로 한다.
본 개시는 기계학습모델을 이용하여 암호화폐의 사기 주소를 검출하기 위한 방법의 뮬 주소 그룹에 대한 정보를 획득하는 단계는, 사기 주소 그룹에 대한 정보에 기초하여, 사기 주소 그룹에 포함된 제 1 사기 주소와 관련된 암호화폐의 흐름을 획득하는 단계 및 제 1 사기 주소에서 암호화폐가 전송되어 사기 주소 그룹 또는 사기 주소 그룹과 다른 사기 주소 그룹에 포함된 제 2 사기 주소로 도달하기까지 거치는 주소들의 모임을 뮬 주소 그룹으로 결정하는 단계를 포함하는 것을 특징으로 한다.
본 개시는 기계학습모델을 이용하여 암호화폐의 사기 주소를 검출하기 위한 방법의 특징 정보를 획득하는 단계는, 양호 주소들에 대한 정보, 사기 주소 그룹에 대한 정보 및 뮬 주소 그룹에 대한 정보에 기초하여, 양호 주소들 또는 사기 주소 그룹에 포함된 목표 주소의 최초 거래부터 최후 거래까지의 시간을 나타내는 제 1 특징 정보를 획득하는 단계를 포함하는 것을 특징으로 한다.
본 개시는 기계학습모델을 이용하여 암호화폐의 사기 주소를 검출하기 위한 방법의 특징 정보를 획득하는 단계는, 양호 주소들 또는 사기 주소 그룹에 포함된 목표 주소의 암호화폐 수신 후 암호화폐 송신까지 걸리는 시간의 평균을 나타내는 제 2 특징 정보를 획득하는 단계를 포함하는 것을 특징으로 한다.
본 개시는 기계학습모델을 이용하여 암호화폐의 사기 주소를 검출하기 위한 방법의 특징 정보를 획득하는 단계는, 양호 주소들 또는 사기 주소 그룹에 포함된 목표 주소가 암호화폐를 수신하는 제 1 거래들의 개수 당 제 1 거래들에서 암호화폐를 송금하는 출발지 주소들의 개수를 나타내는 제 1 주소 개수 정보를 획득 하는 단계, 제 1 거래들의 개수 당 제 1 거래들에서 암호화폐를 수신하는 목적지 주소들의 개수를 나타내는 제 2 주소 개수 정보를 획득 하는 단계, 목표 주소가 암호화폐를 송신하는 제 2 거래들의 개수 당 제 2 거래들에서 암호화폐를 송금하는 출발지 주소들의 개수를 나타내는 제 3 주소 개수 정보를 획득 하는 단계, 제 2 거래들의 개수 당 제 2 거래들에서 암호화폐를 수신하는 목적지 주소들의 개수를 나타내는 제 4 주소 개수 정보를 획득 하는 단계 및 제 1 주소 개수 정보, 제 2 주소 개수 정보, 제 3 주소 개수 정보 및 제 4 주소 개수 정보를 제 3 특징 정보로 결정하는 단계를 포함하는 것을 특징으로 한다.
본 개시는 기계학습모델을 이용하여 암호화폐의 사기 주소를 검출하기 위한 방법의 특징 정보를 획득하는 단계는, 양호 주소들 또는 사기 주소 그룹에 포함된 목표 주소가 암호화폐를 수신한 전체 암호화폐에 대하여, 목표 주소가 포함된 주소 그룹으로부터 암호화폐를 직접 수신한 암호화폐의 비율을 나타내는 제 1 비율 정보를 획득하는 단계, 목표 주소가 암호화폐를 수신한 전체 암호화폐에 대하여, 암호화폐 거래 서비스로부터 암호화폐를 직접 수신한 암호화폐의 비율을 나타내는 제 2 비율 정보를 획득하는 단계, 목표 주소가 암호화폐를 수신한 전체 암호화폐에 대하여, 사기 주소 그룹에 포함된 제 1 주소로부터 암호화폐를 직접 수신한 암호화폐의 비율을 나타내는 제 3 비율 정보를 획득하는 단계, 목표 주소가 암호화폐를 수신한 전체 암호화폐에 대하여, 뮬 주소 그룹에 포함된 제 2 주소로부터 암호화폐를 직접 수신한 암호화폐의 비율을 나타내는 제 4 비율 정보를 획득하는 단계 및 제 1 비율 정보, 제 2 비율 정보, 제 3 비율 정보 및 제 4 비율 정보를 제 4 특징 정보로 결정하는 단계를 포함하는 것을 특징으로 한다.
본 개시는 기계학습모델을 이용하여 암호화폐의 사기 주소를 검출하기 위한 방법의 특징 정보를 획득하는 단계는, 양호 주소들 또는 사기 주소 그룹에 포함된 목표 주소가 암호화폐를 송신한 전체 암호화폐에 대하여, 목표 주소가 포함된 주소 그룹으로 암호화폐를 직접 송신한 암호화폐의 비율을 나타내는 제 5 비율 정보를 획득하는 단계, 목표 주소가 암호화폐를 송신한 전체 암호화폐에 대하여, 암호화폐 거래 서비스로 암호화폐를 직접 송신한 암호화폐의 비율을 나타내는 제 6 비율 정보를 획득하는 단계, 목표 주소가 암호화폐를 송신한 전체 암호화폐에 대하여, 사기 주소 그룹에 포함된 제 1 주소로 암호화폐를 직접 송신한 암호화폐의 비율을 나타내는 제 7 비율 정보를 획득하는 단계, 목표 주소가 암호화폐를 수신한 전체 암호화폐에 대하여, 뮬 주소 그룹에 포함된 제 2 주소로 암호화폐를 직접 송신한 암호화폐의 비율을 나타내는 제 8 비율 정보를 획득하는 단계 및 제 5 비율 정보, 제 6 비율 정보, 제 7 비율 정보 및 제 8 비율 정보를 제 5 특징 정보로 결정하는 단계를 포함하는 것을 특징으로 한다.
본 개시는 기계학습모델을 이용하여 암호화폐의 사기 주소를 검출하기 위한 방법의 특징 정보를 획득하는 단계는, 양호 주소들 또는 사기 주소 그룹에 포함된 목표 주소가 암호화폐를 송신한 전체 암호화폐에 대하여, 암호화폐 거래 서비스로 암호화폐를 간접 송신한 암호화폐의 비율을 나타내는 제 9 비율 정보를 획득하는 단계, 목표 주소가 암호화폐를 송신한 전체 암호화폐에 대하여, 사기 주소 그룹에 포함된 제 1 주소로 암호화폐를 간접 송신한 암호화폐의 비율을 나타내는 제 10 비율 정보를 획득하는 단계, 목표 주소가 암호화폐를 수신한 전체 암호화폐에 대하여, 뮬 주소 그룹에 포함된 제 2 주소로 암호화폐를 간접 송신한 암호화폐의 비율을 나타내는 제 11 비율 정보를 획득하는 단계 및 제 9 비율 정보, 제 10 비율 정보 및 제 11 비율 정보를 제 6 특징 정보로 결정하는 단계를 포함하는 것을 특징으로 한다.
본 개시는 기계학습모델을 이용하여 암호화폐의 사기 주소를 검출하기 위한 방법은 새로운 암호화폐 주소를 획득하는 단계, 새로운 암호화폐 주소에 대한 새로운 특징 정보를 획득하는 단계, 새로운 특징 정보를 기계학습모델에 적용하여 새로운 암호화폐 주소가 사기 주소인지 여부를 판단하는 단계를 포함하는 것을 특징으로 한다.
본 개시는 기계학습모델을 이용하여 암호화폐의 사기 주소를 검출하기 위한 방법은 새로운 암호화폐 주소가, 사기 주소 그룹에 포함된 경우 새로운 암호화폐 주소의 사기 위험도를 5로 결정하는 단계, 새로운 암호화폐 주소가, 사기 주소 그룹에 포함된 제 1 주소와 직접적으로 암호화폐를 거래한 경우, 새로운 암호화폐 주소의 사기 위험도를 4로 결정하는 단계, 새로운 암호화폐 주소가, 사기 주소 그룹에 포함된 제 1 주소와 간접적으로 암호화폐를 거래한 경우, 새로운 암호화폐 주소의 사기 위험도를 3으로 결정하는 단계, 기계학습모델에 기초하여 새로운 암호화폐 주소가 사기 주소인 것으로 판단된 경우, 새로운 암호화폐 주소의 사기 위험도를 2로 결정하는 단계, 새로운 암호화폐 주소가 거래이력이 없는 경우, 새로운 암호화폐 주소의 사기 위험도를 1로 결정하는 단계 및 위험도가 1 내지 5로 분류되지 않은 경우, 새로운 암호화폐 주소의 사기 위험도를 0으로 결정하는 단계를 포함하는 것을 특징으로 한다.
또한, 상술한 바와 같은 사기 주소를 검출하기 위한 방법을 구현하기 위한 프로그램은 컴퓨터로 판독 가능한 기록 매체에 기록될 수 있다.
도 1은 본 개시의 일 실시예에 따른 사기주소검출장치의 블록도이다.
도 2는 본 개시의 일 실시예에 따른 사기주소검출장치를 나타낸 도면이다.
도 3은 본 개시의 일 실시예에 다른 사기주소검출장치를 나타낸 블록도이다.
도 4은 본 개시의 일 실시예에 따른 사기주소검출장치의 동작을 나타내는 흐름도이다.
도 5는 본 개시의 일 실시예에 따라 뮬 주소 그룹에 대한 정보를 획득하는 방법을 나타낸 흐름도이다.
도 6은 본 개시의 일 실시예에 따라 뮬 주소 그룹에 대한 정보를 획득하는 과정을 나타낸 흐름도이다.
도 7은 본 개시의 일 실시예에 따라 뮬 주소 그룹에 대한 정보를 획득하는 과정을 나타낸 흐름도이다.
도 8은 본 개시의 일 실시예에 따라 뮬 주소 그룹에 대한 정보를 획득하는 과정을 나타낸 흐름도이다.
도 9는 본 개시의 일 실시예에 따라 특징 정보를 획득하는 과정을 설명하기 위한 도면이다.
도 10 은 본 개시의 일 실시예에 따른 사기주소검출장치(100)의 동작을 나타내는 블록도이다.
개시된 실시예의 이점 및 특징, 그리고 그것들을 달성하는 방법은 첨부되는 도면과 함께 후술되어 있는 실시예들을 참조하면 명확해질 것이다. 그러나 본 개시는 이하에서 개시되는 실시예들에 한정되는 것이 아니라 서로 다른 다양한 형태로 구현될 수 있으며, 단지 본 실시예들은 본 개시가 완전하도록 하고, 본 개시가 속하는 기술분야에서 통상의 지식을 가진 자에게 발명의 범주를 완전하게 알려주기 위해 제공되는 것일 뿐이다.
본 명세서에서 사용되는 용어에 대해 간략히 설명하고, 개시된 실시예에 대해 구체적으로 설명하기로 한다.
본 명세서에서 사용되는 용어는 본 개시에서의 기능을 고려하면서 가능한 현재 널리 사용되는 일반적인 용어들을 선택하였으나, 이는 관련 분야에 종사하는 기술자의 의도 또는 판례, 새로운 기술의 출현 등에 따라 달라질 수 있다. 또한, 특정한 경우는 출원인이 임의로 선정한 용어도 있으며, 이 경우 해당되는 발명의 설명 부분에서 상세히 그 의미를 기재할 것이다. 따라서 본 개시에서 사용되는 용어는 단순한 용어의 명칭이 아닌, 그 용어가 가지는 의미와 본 개시의 전반에 걸친 내용을 토대로 정의되어야 한다.
본 명세서에서의 단수의 표현은 문맥상 명백하게 단수인 것으로 특정하지 않는 한, 복수의 표현을 포함한다. 또한 복수의 표현은 문맥상 명백하게 복수인 것으로 특정하지 않는 한, 단수의 표현을 포함한다.
명세서 전체에서 어떤 부분이 어떤 구성요소를 "포함"한다고 할 때, 이는 특별히 반대되는 기재가 없는 한 다른 구성요소를 제외하는 것이 아니라 다른 구성요소를 더 포함할 수 있음을 의미한다.
또한, 명세서에서 사용되는 "부"라는 용어는 소프트웨어 또는 하드웨어 구성요소를 의미하며, "부"는 어떤 역할들을 수행한다. 그렇지만 "부"는 소프트웨어 또는 하드웨어에 한정되는 의미는 아니다. "부"는 어드레싱할 수 있는 저장 매체에 있도록 구성될 수도 있고 하나 또는 그 이상의 프로세서들을 재생시키도록 구성될 수도 있다. 따라서, 일 예로서 "부"는 소프트웨어 구성요소들, 객체지향 소프트웨어 구성요소들, 클래스 구성요소들 및 태스크 구성요소들과 같은 구성요소들과, 프로세스들, 함수들, 속성들, 프로시저들, 서브루틴들, 프로그램 코드의 세그먼트들, 드라이버들, 펌웨어, 마이크로 코드, 회로, 데이터, 데이터베이스, 데이터 구조들, 테이블들, 어레이들 및 변수들을 포함한다. 구성요소들과 "부"들 안에서 제공되는 기능은 더 작은 수의 구성요소들 및 "부"들로 결합되거나 추가적인 구성요소들과 "부"들로 더 분리될 수 있다.
본 개시의 일 실시예에 따르면 "부"는 프로세서 및 메모리로 구현될 수 있다. 용어 "프로세서" 는 범용 프로세서, 중앙 처리 장치 (CPU), 마이크로프로세서, 디지털 신호 프로세서 (DSP), 제어기, 마이크로제어기, 상태 머신 등을 포함하도록 넓게 해석되어야 한다. 몇몇 환경에서는, "프로세서" 는 주문형 반도체 (ASIC), 프로그램가능 로직 디바이스 (PLD), 필드 프로그램가능 게이트 어레이 (FPGA) 등을 지칭할 수도 있다. 용어 "프로세서" 는, 예를 들어, DSP 와 마이크로프로세서의 조합, 복수의 마이크로프로세서들의 조합, DSP 코어와 결합한 하나 이상의 마이크로프로세서들의 조합, 또는 임의의 다른 그러한 구성들의 조합과 같은 처리 디바이스들의 조합을 지칭할 수도 있다.
용어 "메모리" 는 전자 정보를 저장 가능한 임의의 전자 컴포넌트를 포함하도록 넓게 해석되어야 한다. 용어 메모리는 임의 액세스 메모리 (RAM), 판독-전용 메모리 (ROM), 비-휘발성 임의 액세스 메모리 (NVRAM), 프로그램가능 판독-전용 메모리 (PROM), 소거-프로그램가능 판독 전용 메모리 (EPROM), 전기적으로 소거가능 PROM (EEPROM), 플래쉬 메모리, 자기 또는 광학 데이터 저장장치, 레지스터들 등과 같은 프로세서-판독가능 매체의 다양한 유형들을 지칭할 수도 있다. 프로세서가 메모리로부터 정보를 판독하고/하거나 메모리에 정보를 기록할 수 있다면 메모리는 프로세서와 전자 통신 상태에 있다고 불린다. 프로세서에 집적된 메모리는 프로세서와 전자 통신 상태에 있다.
아래에서는 첨부한 도면을 참고하여 실시예에 대하여 본 개시가 속하는 기술 분야에서 통상의 지식을 가진 자가 용이하게 실시할 수 있도록 상세히 설명한다. 그리고 도면에서 본 개시를 명확하게 설명하기 위해서 설명과 관계없는 부분은 생략한다.
도 1은 본 개시의 일 실시예에 따른 사기주소검출장치(100)의 블록도이다.
도 1을 참조하면, 일 실시예에 따른 사기주소검출장치(100)는 데이터 학습부(110) 또는 데이터 인식부(120) 중 적어도 하나를 포함할 수 있다. 상술한 바와 같은 사기주소검출장치(100)는 프로세서 및 메모리를 포함할 수 있다.
데이터 학습부(110)는 데이터 세트를 이용하여 타겟 태스크(target task)를 수행하기 위한 기계학습모델을 학습할 수 있다. 데이터 학습부(110)는 데이터 세트 및 타겟 태스크와 관련된 레이블 정보를 수신할 수 있다. 데이터 학습부(110)는 데이터 세트와 레이블 정보의 관계에 대해 기계학습을 수행하여 기계학습모델을 획득할 수 있다. 데이터 학습부(110)가 획득한 기계학습모델은 데이터 세트를 이용하여 레이블 정보를 생성하기 위한 모델일 수 있다.
데이터 인식부(120)는 데이터 학습부(110)의 기계학습모델을 수신하여 저장하고 있을 수 있다. 데이터 인식부(120)는 입력 데이터에 기계학습모델을 적용하여 레이블 정보를 출력할 수 있다. 또한, 데이터 인식부(120)는 입력 데이터, 레이블 정보 및 기계학습모델에 의해 출력된 결과를 기계학습모델을 갱신하는데 이용할 수 있다.
데이터 학습부(110) 및 데이터 인식부(120) 중 적어도 하나는, 적어도 하나의 하드웨어 칩 형태로 제작되어 전자 장치에 탑재될 수 있다. 예를 들어, 데이터 학습부(110) 및 데이터 인식부(120) 중 적어도 하나는 인공 지능(AI; artificial intelligence)을 위한 전용 하드웨어 칩 형태로 제작될 수도 있고, 또는 기존의 범용 프로세서(예: CPU 또는 application processor) 또는 그래픽 전용 프로세서(예: GPU)의 일부로 제작되어 이미 설명한 각종 전자 장치에 탑재될 수도 있다.
또한 데이터 학습부(110) 및 데이터 인식부(120)는 별개의 전자 장치들에 각각 탑재될 수도 있다. 예를 들어, 데이터 학습부(110) 및 데이터 인식부(120) 중 하나는 전자 장치에 포함되고, 나머지 하나는 서버에 포함될 수 있다. 또한, 데이터 학습부(110) 및 데이터 인식부(120)는 유선 또는 무선으로 통하여, 데이터 학습부(110)가 구축한 기계학습모델 정보를 데이터 인식부(120)로 제공할 수도 있고, 데이터 인식부(120)로 입력된 데이터가 추가 학습 데이터로써 데이터 학습부(110)로 제공될 수도 있다.
한편, 데이터 학습부(110) 및 데이터 인식부(120) 중 적어도 하나는 소프트웨어 모듈로 구현될 수 있다. 데이터 학습부(110) 및 데이터 인식부(120) 중 적어도 하나가 소프트웨어 모듈(또는, 인스트럭션(instruction)을 포함하는 프로그램 모듈)로 구현되는 경우, 소프트웨어 모듈은 메모리 또는 컴퓨터로 읽을 수 있는 판독 가능한 비일시적 판독 가능 기록매체(non-transitory computer readable media)에 저장될 수 있다. 또한, 이 경우, 적어도 하나의 소프트웨어 모듈은 OS(Operating System)에 의해 제공되거나, 소정의 애플리케이션에 의해 제공될 수 있다. 또는, 적어도 하나의 소프트웨어 모듈 중 일부는 OS(Operating System)에 의해 제공되고, 나머지 일부는 소정의 애플리케이션에 의해 제공될 수 있다.
본 개시의 일 실시예에 따른 데이터 학습부(110)는 데이터 획득부(111), 전처리부(112), 학습 데이터 선택부(113), 모델 학습부(114) 및 모델 평가부(115)를 포함할 수 있다.
데이터 획득부(111)는 기계학습에 필요한 데이터를 획득할 수 있다. 학습을 위해서는 많은 데이터가 필요하므로, 데이터 획득부(111)는 복수의 데이터를 포함하는 데이터 세트를 수신할 수 있다.
복수의 데이터 각각에 대하여 레이블 정보가 할당될 수 있다. 레이블 정보는 복수의 데이터의 각각을 설명하는 정보일 수 있다. 레이블 정보는 타겟 태스크(target task)가 도출하고자 하는 정보일 수 있다. 레이블 정보는 사용자 입력으로부터 획득되거나, 메모리로부터 획득되거나, 기계학습모델의 결과로부터 획득될 수 있다. 예를 들어 타겟 태스크가 암호화폐 주소의 거래이력과 관련된 정보로부터 암호화폐 주소가 사기꾼이 소유한 주소인지 여부를 결정하기 위한 것이라면, 기계학습에 사용되는 복수의 데이터는 암호화폐 주소의 거래이력과 관련된 데이터가 될 것이며 레이블 정보는 암호화폐 주소가 사기꾼이 소유한 주소인지 여부가 될 것이다.
전처리부(112)는 수신된 데이터가 기계학습에 이용될 수 있도록, 획득된 데이터를 전처리할 수 있다. 전처리부(112)는 후술할 모델 학습부(114)가 이용할 수 있도록, 획득된 데이터 세트를 미리 설정된 포맷으로 가공할 수 있다.
학습 데이터 선택부(113)는 전처리된 데이터 중에서 학습에 필요한 데이터를 선택할 수 있다. 선택된 데이터는 모델 학습부(114)에 제공될 수 있다. 학습 데이터 선택부(113)는 기 설정된 기준에 따라, 전처리된 데이터 중에서 학습에 필요한 데이터를 선택할 수 있다. 또한, 학습 데이터 선택부(113)는 후술할 모델 학습부(114)에 의한 학습에 의해 기 설정된 기준에 따라 데이터를 선택할 수도 있다.
모델 학습부(114)는 데이터 세트에 기초하여 어떤 레이블 정보를 출력할 지에 관한 기준을 학습할 수 있다. 또한, 모델 학습부(114)는 데이터 세트 및 데이터 세트 대한 레이블 정보를 학습 데이터로써 이용하여 기계학습을 수행할 수 있다. 또한 모델 학습부(114)는 기존에 획득된 기계학습모델을 추가적으로 이용하여 기계학습을 수행할 수 있다. 이 경우, 기존에 획득된 기계학습모델은 미리 구축된 모델일 수 있다. 예를 들어, 기계학습모델은 기본 학습 데이터를 입력 받아 미리 구축된 모델일 수 있다.
기계학습모델은, 학습모델의 적용 분야, 학습의 목적 또는 장치의 컴퓨터 성능 등을 고려하여 구축될 수 있다. 기계학습모델은, 예를 들어, 신경망(Neural Network)을 기반으로 하는 모델일 수 있다. 예컨대, Deep Neural Network (DNN), Recurrent Neural Network (RNN), Long Short-Term Memory models (LSTM), BRDNN (Bidirectional Recurrent Deep Neural Network), Convolutional Neural Networks (CNN)과 같은 모델이 기계학습모델로써 사용될 수 있으나, 이에 한정되지 않는다.
다양한 실시예에 따르면, 모델 학습부(114)는 미리 구축된 기계학습모델이 복수 개가 존재하는 경우, 입력된 학습 데이터와 기본 학습 데이터의 관련성이 큰 기계학습모델을 학습할 기계학습모델로 결정할 수 있다. 이 경우, 기본 학습 데이터는 데이터의 타입 별로 기 분류되어 있을 수 있으며, 기계학습모델은 데이터의 타입 별로 미리 구축되어 있을 수 있다. 예를 들어, 기본 학습 데이터는 학습 데이터가 생성된 장소, 학습 데이터가 생성된 시간, 학습 데이터의 크기, 학습 데이터의 생성자, 학습 데이터 내의 오브젝트의 종류 등과 같은 다양한 기준으로 기 분류되어 있을 수 있다.
또한, 모델 학습부(114)는, 예를 들어, 오류 역전파법(error back-propagation) 또는 경사 하강법(gradient descent)을 포함하는 학습 알고리즘 등을 이용하여 기계학습모델을 학습시킬 수 있다.
또한, 모델 학습부(114)는, 예를 들어, 학습 데이터를 입력 값으로 하는 지도 학습(supervised learning)을 통하여, 기계학습모델을 학습할 수 있다. 또한, 모델 학습부(114)는, 예를 들어, 별다른 지도없이 타겟 태스크(target task)을 위해 필요한 데이터의 종류를 스스로 학습함으로써, 타겟 태스크를 위한 기준을 발견하는 비지도 학습(unsupervised learning)을 통하여, 기계학습모델을 획득할 수 있다. 또한, 모델 학습부(114)는, 예를 들어, 학습에 따른 타겟 태스크의 결과가 올바른 지에 대한 피드백을 이용하는 강화 학습(reinforcement learning)을 통하여, 기계학습모델을 학습할 수 있다.
또한, 기계학습모델이 학습되면, 모델 학습부(114)는 학습된 기계학습모델을 저장할 수 있다. 이 경우, 모델 학습부(114)는 학습된 기계학습모델을 데이터 인식부(120)를 포함하는 전자 장치의 메모리에 저장할 수 있다. 또는, 모델 학습부(114)는 학습된 기계학습모델을 전자 장치와 유선 또는 무선 네트워크로 연결되는 서버의 메모리에 저장할 수도 있다.
학습된 기계학습모델이 저장되는 메모리는, 예를 들면, 전자 장치의 적어도 하나의 다른 구성요소에 관계된 명령 또는 데이터를 함께 저장할 수도 있다. 또한, 메모리는 소프트웨어 및/또는 프로그램을 저장할 수도 있다. 프로그램은, 예를 들면, 커널, 미들웨어, 어플리케이션 프로그래밍 인터페이스(API) 및/또는 어플리케이션 프로그램(또는 "어플리케이션") 등을 포함할 수 있다.
모델 평가부(115)는 기계학습모델에 평가 데이터를 입력하고, 평가 데이터로부터 출력되는 결과가 소정 기준을 만족하지 못하는 경우, 모델 학습부(114)로 하여금 다시 학습하도록 할 수 있다. 이 경우, 평가 데이터는 기계학습모델을 평가하기 위한 기 설정된 데이터일 수 있다.
예를 들어, 모델 평가부(115)는 평가 데이터에 대한 학습된 기계학습모델의 결과 중에서, 인식 결과가 정확하지 않은 평가 데이터의 개수 또는 비율이 미리 설정된 임계치를 초과하는 경우 소정 기준을 만족하지 못한 것으로 평가할 수 있다. 예컨대, 소정 기준이 비율 2%로 정의되는 경우, 학습된 기계학습모델이 총 1000개의 평가 데이터 중의 20개를 초과하는 평가 데이터에 대하여 잘못된 인식 결과를 출력하는 경우, 모델 평가부(115)는 학습된 기계학습모델이 적합하지 않은 것으로 평가할 수 있다.
한편, 학습된 기계학습모델이 복수 개가 존재하는 경우, 모델 평가부(115)는 각각의 학습된 기계학습모델에 대하여 소정 기준을 만족하는지를 평가하고, 소정 기준을 만족하는 모델을 최종 기계학습모델로써 결정할 수 있다. 이 경우, 소정 기준을 만족하는 모델이 복수 개인 경우, 모델 평가부(115)는 평가 점수가 높은 순으로 미리 설정된 어느 하나 또는 소정 개수의 모델을 최종 기계학습모델로써 결정할 수 있다.
한편, 데이터 학습부(110) 내의 데이터 획득부(111), 전처리부(112), 학습 데이터 선택부(113), 모델 학습부(114) 및 모델 평가부(115) 중 적어도 하나는, 적어도 하나의 하드웨어 칩 형태로 제작되어 전자 장치에 탑재될 수 있다. 예를 들어, 데이터 획득부(111), 전처리부(112), 학습 데이터 선택부(113), 모델 학습부(114) 및 모델 평가부(115) 중 적어도 하나는 인공 지능(AI; artificial intelligence)을 위한 전용 하드웨어 칩 형태로 제작될 수도 있고, 또는 기존의 범용 프로세서(예: CPU 또는 application processor) 또는 그래픽 전용 프로세서(예: GPU)의 일부로 제작되어 전술한 각종 전자 장치에 탑재될 수도 있다.
또한, 데이터 획득부(111), 전처리부(112), 학습 데이터 선택부(113), 모델 학습부(114) 및 모델 평가부(115)는 하나의 전자 장치에 탑재될 수도 있으며, 또는 별개의 전자 장치들에 각각 탑재될 수도 있다. 예를 들어, 데이터 획득부(111), 전처리부(112), 학습 데이터 선택부(113), 모델 학습부(114) 및 모델 평가부(115) 중 일부는 전자 장치에 포함되고, 나머지 일부는 서버에 포함될 수 있다.
또한, 데이터 획득부(111), 전처리부(112), 학습 데이터 선택부(113), 모델 학습부(114) 및 모델 평가부(115) 중 적어도 하나는 소프트웨어 모듈로 구현될 수 있다. 데이터 획득부(111), 전처리부(112), 학습 데이터 선택부(113), 모델 학습부(114) 및 모델 평가부(115) 중 적어도 하나가 소프트웨어 모듈(또는, 인스트럭션(instruction) 포함하는 프로그램 모듈)로 구현되는 경우, 소프트웨어 모듈은 컴퓨터로 읽을 수 있는 판독 가능한 비일시적 판독 가능 기록매체(non-transitory computer readable media)에 저장될 수 있다. 또한, 이 경우, 적어도 하나의 소프트웨어 모듈은 OS(Operating System)에 의해 제공되거나, 소정의 애플리케이션에 의해 제공될 수 있다. 또는, 적어도 하나의 소프트웨어 모듈 중 일부는 OS(Operating System)에 의해 제공되고, 나머지 일부는 소정의 애플리케이션에 의해 제공될 수 있다.
본 개시의 일 실시예에 따른 데이터 인식부(120)는 데이터 획득부(121), 전처리부(122), 인식 데이터 선택부(123), 인식 결과 제공부(124) 및 모델 갱신부(125)를 포함할 수 있다.
데이터 획득부(121)는 입력 데이터를 수신할 수 있다. 전처리부(122)는 획득된 입력 데이터가 인식 데이터 선택부(123) 또는 인식 결과 제공부(124)에서 이용될 수 있도록, 획득된 입력 데이터를 전처리할 수 있다.
인식 데이터 선택부(123)는 전처리된 데이터 중에서 필요한 데이터를 선택할 수 있다. 선택된 데이터는 인식 결과 제공부(124)에게 제공될 수 있다. 인식 데이터 선택부(123)는 기 설정된 기준에 따라, 전처리된 데이터 중에서 일부 또는 전부를 선택할 수 있다. 또한, 인식 데이터 선택부(123)는 모델 학습부(114)에 의한 학습에 의해 기 설정된 기준에 따라 데이터를 선택할 수도 있다.
인식 결과 제공부(124)는 선택된 데이터를 기계학습모델에 적용하여 결과 데이터를 획득할 수 있다. 기계학습모델은 모델 학습부(114)에 의하여 생성된 기계학습모델일 수 있다. 인식 결과 제공부(124)는 결과 데이터를 출력할 수 있다.
모델 갱신부(125)는 인식 결과 제공부(124)에 의해 제공되는 인식 결과에 대한 평가에 기초하여, 기계학습모델이 갱신되도록 할 수 있다. 예를 들어, 모델 갱신부(125)는 인식 결과 제공부(124)에 의해 제공되는 인식 결과를 모델 학습부(114)에게 제공함으로써, 모델 학습부(114)가 기계학습모델을 갱신하도록 할 수 있다.
한편, 데이터 인식부(120) 내의 데이터 획득부(121), 전처리부(122), 인식 데이터 선택부(123), 인식 결과 제공부(124) 및 모델 갱신부(125) 중 적어도 하나는, 적어도 하나의 하드웨어 칩 형태로 제작되어 전자 장치에 탑재될 수 있다. 예를 들어, 데이터 획득부(121), 전처리부(122), 인식 데이터 선택부(123), 인식 결과 제공부(124) 및 모델 갱신부(125) 중 적어도 하나는 인공 지능(AI; artificial intelligence)을 위한 전용 하드웨어 칩 형태로 제작될 수도 있고, 또는 기존의 범용 프로세서(예: CPU 또는 application processor) 또는 그래픽 전용 프로세서(예: GPU)의 일부로 제작되어 전술한 각종 전자 장치에 탑재될 수도 있다.
또한, 데이터 획득부(121), 전처리부(122), 인식 데이터 선택부(123), 인식 결과 제공부(124) 및 모델 갱신부(125)는 하나의 전자 장치에 탑재될 수도 있으며, 또는 별개의 전자 장치들에 각각 탑재될 수도 있다. 예를 들어, 데이터 획득부(121), 전처리부(122), 인식 데이터 선택부(123), 인식 결과 제공부(124) 및 모델 갱신부(125) 중 일부는 전자 장치에 포함되고, 나머지 일부는 서버에 포함될 수 있다.
또한, 데이터 획득부(121), 전처리부(122), 인식 데이터 선택부(123), 인식 결과 제공부(124) 및 모델 갱신부(125) 중 적어도 하나는 소프트웨어 모듈로 구현될 수 있다. 데이터 획득부(121), 전처리부(122), 인식 데이터 선택부(123), 인식 결과 제공부(124) 및 모델 갱신부(125) 중 적어도 하나가 소프트웨어 모듈(또는, 인스트럭션(instruction) 포함하는 프로그램 모듈)로 구현되는 경우, 소프트웨어 모듈은 컴퓨터로 읽을 수 있는 판독 가능한 비일시적 판독 가능 기록매체(non-transitory computer readable media)에 저장될 수 있다. 또한, 이 경우, 적어도 하나의 소프트웨어 모듈은 OS(Operating System)에 의해 제공되거나, 소정의 애플리케이션에 의해 제공될 수 있다. 또는, 적어도 하나의 소프트웨어 모듈 중 일부는 OS(Operating System)에 의해 제공되고, 나머지 일부는 소정의 애플리케이션에 의해 제공될 수 있다.
아래에서는 데이터 학습부(110)의 데이터 획득부(111), 전처리부(112) 및 학습 데이터 선택부(113)가 학습 데이터를 수신하여 처리하는 방법 및 장치에 대하여 보다 자세히 설명한다.
도 2는 본 개시의 일 실시예에 따른 사기주소검출장치를 나타낸 도면이다.
사기주소검출장치(100)는 프로세서(210) 및 메모리(220)를 포함할 수 있다. 프로세서(210)는 메모리(220)에 저장된 명령어들을 수행할 수 있다.
상술한 바와 같이 사기주소검출장치(100)는 데이터 학습부(110) 또는 데이터 인식부(120)를 포함할 수 있다. 데이터 학습부(110) 또는 데이터 인식부(120)는 프로세서(210) 및 메모리(220)에 의하여 구현될 수 있다.
도 3은 본 개시의 일 실시예에 다른 사기주소검출장치를 나타낸 블록도이다. 또한, 도 4은 본 개시의 일 실시예에 따른 사기주소검출장치의 동작을 나타내는 흐름도이다.
사기주소검출장치(100)의 프로세서(210)는 메모리(220)에 저장된 명령어에 기초하여 기계학습을 이용하여 암호화폐 사기 주소를 검출화기 위하여 아래와 같은 단계를 수행할 수 있다.
사기주소검출장치(100)는 데이터베이스(310)로부터 사기 거래를 위해 사용된 것으로 레이블된 사기 주소들(scam addresses)에 대한 정보(311) 및 정상적인 거래를 위해 사용된 것으로 레이블된 양호 주소들(benign addresses)에 대한 정보(312)를 획득하는 단계(410)를 수행할 수 있다.
데이터베이스(310)는 사기 주소들에 대한 정보(311) 및 양호 주소들에 대한 정보(312)를 저장하고 있을 수 있다. 사기 주소들에 대한 정보 및 양호 주소들에 대한 정보는 사기주소검출장치(100)의 데이터 획득부(111), 전처리부(112) 또는 학습 데이터 선택부(113)에 기초하여 데이터베이스(310)에 저장되어 있을 수 있다.
데이터베이스(310)는 사기주소검출장치(100)에 포함되어 있을 수 있다. 또한 데이터베이스(310)는 사기주소검출장치(100)의 외부에 있을 수 있다. 사기주소검출장치(100)는 유무선 통신을 이용하여 데이터베이스(310)로부터 정보를 획득할 수 있다.
사기 주소들에 대한 정보(311) 및 양호 주소들에 대한 정보(312)는 사기 주소들 및 양호 주소들의 주소, 거래이력을 포함할 수 있다. 또한 사기 주소들에 대한 정보(311) 및 양호 주소들에 대한 정보(312)는 사기 주소들 및 양호 주소들에 대한 레이블 정보를 의미할 수 있다. 사기 주소들에 대한 정보 및 양호 주소들에 대한 정보에 포함된 레이블 정보는 '사기'를 나타내거나 '양호'를 나타낼 수 있다.
사기주소검출장치(100)는 사기 주소들에 대한 정보(311)에 기초하여, 동일한 사용자가 소유하고 있는 것으로 결정된 사기 주소 그룹(scam cluster)에 대한 정보를 획득하는 단계(420)를 수행할 수 있다.
사기주소검출장치(100)는 주소 그룹 획득부(320)를 포함할 수 있다. 주소 그룹 획득부(320)는 이미 획득된 주소의 거래이력에 기초하여 동일 사용자가 소유하고 있는 주소들을 더 추출하고, 동일 사용자가 소유하고 있는 주소들을 클러스터링(clustering) 또는 그룹화할 수 있다.
주소 그룹 획득부(320)는 사기 주소 그룹 획득부(321) 및 뮬 주소 그룹 획득부(322)를 포함할 수 있다.
사기 주소 그룹 획득부(321)는 데이터베이스(310)에 포함된 사기 주소들에 대한 정보(311)에 기초하여 동일한 사용자가 소유하고 있는 것으로 결정된 사기 주소들을 그룹화할 수 있다. 예를 들어, 사기주소검출장치(100)는 암호화폐 주소의 그룹화를 위하여 거래의 송신주소로 사용되는 암호화폐 주소에 대응하는 프라이빗 키(private key)의 소유 여부로 송신 주소의 집합을 그룹화하는 멀티 입력 휴리스틱 알고리즘이 사용될 수 있다. 또는 사기주소검출장치(100)는 송금 후 잔액을 돌려받는 주소를 이용하여 동일 소유주로 추정되는 복수개의 주소를 그룹화하는 주소변경 휴리스틱 알고리즘을 사용할 수 있다. 또한 사기주소검출장치(100)는 그 외에도 사용자가 정의한 휴리스틱 알고리즘을 사용할 수 있다. 또한 사기주소검출장치(100)는 사용자 명령에 의해 주소 필터링 및/또는 주소 그룹화가 이루어질 수도 있다.
사기주소검출장치(100)의 뮬 주소 그룹 획득부(322)는 사기 주소 그룹에 기초하여, 자금 세탁을 위해 사용되는 뮬 주소 그룹(mule cluster)에 대한 정보를 획득하는 단계(430)를 수행할 수 있다. 뮬 주소 그룹에 대한 정보를 획득하는 방법에 대해서는 도 5와 함께 보다 자세히 설명한다. 뮬 주소 그룹에 대한 정보는 뮬 주소 그룹에 포함된 주소의 거래이력 또는 주소를 포함할 수 있다. 또한 뮬 주소 그룹에 대한 정보는 레이블 정보를 포함할 수 있다. 예를 들어 레이블 정보는 '뮬'을 나타낼 수 있다.
사기주소검출장치(100)는 주소 그룹 정보 획득부(330)를 더 포함할 수 있다. 주소 그룹 정보 획득부(330)는 서비스 주소 그룹에 대한 정보를 획득할 수 있다. 서비스 주소는 암호화폐의 거래소의 주소를 의미할 수 있다. 주소 그룹 정보 획득부(330)는 예를 들어 "walletExplorer.com"에서 서비스 주소 그룹에 대한 정보를 획득할 수 있다.
*사기주소검출장치(100)의 특징 추출부(340)는 양호 주소들에 대한 정보, 사기 주소 그룹에 대한 정보 또는 뮬 주소 그룹에 대한 정보 중 적어도 하나에 기초하여 양호 주소들 또는 사기 주소 그룹에 포함된 주소들 각각에 대응되는 특징 정보를 획득하는 단계(440)를 수행할 수 있다. 특징 정보는 양호 주소들에 대한 정보, 사기 주소 그룹에 대한 정보 또는 뮬 주소 그룹에 대한 정보에 포함된 거래 이력에 기초하여 획득될 수 있다. 특징 정보에 대해서는 도 8과 함께 보다 자세히 설명한다.
사기주소검출장치(100)의 모델 학습부(350)는 주소들 각각에 대응되는 특징 정보 및 주소들 각각에 대응되는 레이블 정보를 기계학습하여 기계학습모델(360)을 생성하는 단계(450)를 수행할 수 있다.
사기주소검출장치(100)는 학습된 기계학습모델(360)을 메모리에 저장할 수 있다. 또한 사기주소검출장치(100)는 기계학습모델(360)을 다른 사기주소검출장치(100)로 전송할 수 있다.
도 5는 본 개시의 일 실시예에 따라 뮬 주소 그룹에 대한 정보를 획득하는 방법을 나타낸 흐름도이다. 도 6 내지 도 8은 본 개시의 일 실시예에 따라 뮬 주소 그룹에 대한 정보를 획득하는 과정을 나타낸 흐름도이다.
사기주소검출장치(100)의 뮬 주소 그룹 획득부(322)는 사기 주소 그룹에 대한 정보(311)에 기초하여, 사기 주소 그룹에 포함된 제 1 사기 주소와 관련된 암호화폐의 흐름을 획득하는 단계(510)를 수행할 수 있다.
도 6을 참조하면, 사기주소검출장치(100)는 제 1 사기 주소(611)와 관련된 암호화폐의 흐름을 데이터베이스(310)로부터 획득할 수 있다. 사기주소검출장치(100)는 제 1 사기 주소(611)로부터 주소들(621, 622, 625 또는 626)로 암호화폐가 전송되는 흐름을 획득할 수 있다.
사기주소검출장치(100)는 제 1 사기 주소(611)에서 암호화폐가 전송되어 사기 주소 그룹 또는 사기 주소 그룹과 다른 사기 주소 그룹에 포함된 제 2 사기 주소로 도달하기까지 거치는 주소들의 모임을 뮬 주소 그룹으로 결정하는 단계(520)를 수행할 수 있다.
통계적으로 사기 주소는 사기주소와 뮬 주소를 통하여 암호화폐를 거래하는 경우가 많다. 또한 양호 주소는 양호 주소들끼리 암호화폐를 거래하는 경우가 압도적으로 많다. 따라서 사기주소검출장치(100)는 사기 주소들 사이에 포함되어 있는 중간 주소를 뮬 주소로 결정할 수 있다.
제 1 사기 주소(611)에서 암호화폐가 송신되어 중간 주소들을 거쳐 양호 주소들 중 하나에 도달하는 경우, 사기주소검출장치(100)는 중간 주소들을 뮬 주소로 결정하는 것을 유보할 수 있다. 즉, 사기주소검출장치(100)는 사기 주소 사이드들 사이의 거래에서 암호화폐를 나르는 역할을 하는 중간 주소들을 뮬 주소로 결정할 수 있고, 사기 주소와 양호 주소 사이의 거래에 포함된 중간 주소를 뮬 주소로 결정하는 것을 유보할 수 있다.
사기주소검출장치(100)는 제 1 사기 주소(611)로부터 사기 주소 그룹(630)에 포함된 주소들(631, 632, 633)로 암호화폐가 도달하기까지의 거래 이력을 추적할 수 있다. 사기 주소 그룹(630)은 제 1 사기 주소(611)가 포함된 사기 주소 그룹(630)일 수 있다. 하지만 이에 한정되는 것은 아니고 사기 주소 그룹(630)은 제 1 사기 주소(611)가 포함되지 않았지만 사기 주소 그룹으로 결정된 다른 사기 주소 그룹일 수 있다.
사기주소검출장치(100)는 제 1 사기 주소(611)로부터 사기 주소 그룹(630)에 포함된 주소들(631, 632, 633)로 암호화폐가 도달하기까지 거친 주소들(621, 622, 625, 626)을 뮬 주소들로써 획득할 수 있다. 또한 사기주소검출장치(100)는 사기 주소 그룹(630)에 포함된 제 1 사기 주소(611)외의 다른 사기주소(612)로부터 사기 주소 그룹에 포함된 주소들(631, 632, 633)로 암호화폐가 도달하기까지 거친 주소들(623, 624, 627, 628)을 뮬 주소들로써 획득할 수 있다. 사기주소검출장치(100)는 이러한 과정을 사기 주소 그룹(630)에 포함된 모든 주소들에 대하여 반복할 수 있다.
도 7을 참조하면, 위와 같은 과정을 반복하여 사기주소검출장치(100)는 주소들(621, 622, 623, 624, 625, 626, 627, 628)을 뮬 주소들로써 획득할 수 있다. 사기주소검출장치(100)는 주소들(621, 622, 623, 624, 625, 626, 627, 628)의 거래 이력에 기초하여 주소 그룹을 구분할 수 있다. 예를 들어 제 1 주소 그룹(621, 622, 623, 625, 626) 및 제 2 주소 그룹(624, 627, 628)은 서로 거래된 이력이 없을 수 있다. 사기주소검출장치(100)는 제 1 주소 그룹 및 제 2 주소 그룹을 서로 다른 그룹으로 묶을 수 있다. 사기주소검출장치(100)는 제 1 주소 그룹을 제 1 뮬 주소 그룹으로 결정하고, 제 2 주소 그룹을 제 2 뮬 주소 그룹으로 결정할 수 있다.
도 8을 참조하면, 사기주소검출장치(100)는 제 1 뮬 주소 그룹(810)에 포함된 주소들(621, 622, 623, 625, 626)에 대한 정보에 기초하여 동일 사용자가 소유하고 있는 주소(811)를 추가적으로 검출할 수 있다. 예를 들어, 사기주소검출장치(100)는 암호화폐 주소의 그룹화를 위하여 거래의 송신주소로 사용되는 암호화폐 주소에 대응하는 프라이빗 키(private key)의 소유 여부로 송신 주소의 집합을 그룹화하는 멀티 입력 휴리스틱 알고리즘이 사용될 수 있다. 또는 사기주소검출장치(100)는 송금 후 잔액을 돌려받는 주소를 이용하여 동일 소유주로 추정되는 복수개의 주소를 그룹화하는 주소변경 휴리스틱 알고리즘을 사용할 수 있다. 또한 사기주소검출장치(100)는 그 외에도 사용자가 정의한 휴리스틱 알고리즘을 사용할 수 있다. 또한 사기주소검출장치(100)는 사용자 명령에 의해 주소 필터링 및/또는 주소 그룹화가 이루어질 수도 있다.
사기주소검출장치(100)는 제 2 뮬 주소 그룹(820)에 포함된 주소들(624, 627, 628)에 대한 정보에 기초하여 동일 사용자가 소유하고 있는 주소들(821, 822)을 추가적으로 검출할 수 있다.
도 9는 본 개시의 일 실시예에 따라 특징 정보를 획득하는 과정을 설명하기 위한 도면이다.
사기주소검출장치(100)는 양호 주소들에 대한 정보, 사기 주소 그룹에 대한 정보 또는 뮬 주소 그룹에 대한 정보 중 적어도 하나에 기초하여 양호 주소들 또는 사기 주소 그룹에 포함된 주소들 각각에 대응되는 특징 정보를 획득하는 단계(440)를 수행할 수 있다. 사기주소검출장치(100)는 양호 주소들에 대한 정보, 사기 주소 그룹에 대한 정보 또는 뮬 주소 그룹에 대한 정보 중 적어도 하나에 기초하여 목표 주소(930)의 거래 이력을 획득할 수 있다. 목표 주소(930)는 ADDR4일 수 있다.
도 9를 참조하면 라인(931)을 중심으로 왼쪽은 목표 주소(930)가 암호화폐를 수신한 거래이력이며, 오른쪽은 목표 주소(930)가 암호화폐를 송신한 거래이력일 수 있다.
도 9에서 설명의 편의를 위하여 암호화폐의 단위는 BTC를 사용하였다. 이는 암호화폐의 한 종류인 비트코인의 단위일 수 있다. 하지만 본 개시는 비트코인에 한정되는 것은 아니며 다른 암호화폐에도 동일한 설명이 적용될 수 있다.
목표 주소(930)는 거래 A(921)에 의하여 서비스 주소인 ADDR1(911)로부터 2BTC의 암호화폐를 수신할 수 있다. 여기서 서비스 주소는 거래소의 주소를 의미할 수 있다.
목표 주소(930)는 거래 B(922)에 의하여 목표 주소(930)와 동일한 소유자의 주소인 ADDR2(912)로부터 5BTC의 암호화폐를 수신할 수 있다. 동시에 목표 주소(930)는 거래 B(922)에 의하여 뮬 주소인 ADDR3(913)으로부터 3BTC의 암호화폐를 수신할 수 있다. 즉 목표 주소(930)는 거래 B(922)에 의하여 8BTC 만큼의 암호화폐를 수신할 수 있다.
목표 주소(930)는 거래 C(941)에 의하여 뮬 주소인 ADDR5(951)로 2BTC의 암호화폐를 송신할 수 있다.
목표 주소(930)는 거래 D(942)에 의하여 서비스 주소인 ADDR6(952)로 2BTC의 암호화폐를 송신할 수 있다. 동시에 목표 주소(930)는 거래 D(942)에 의하여 특정되지 않은 주소인 ADDR7(953)로 6BTC의 암호화폐를 송신할 수 있다. 특정되지 않은 주소는 사기주소검출장치(100)에 의하여 양호 주소들, 사기 주소 그룹, 뮬 주소 그룹 또는 서비스 주소 그룹으로 결정되지 않은 주소일 수 있다. 목표 주소(930)는 거래 D(942)에 의하여 8BTC 만큼의 암호화폐를 송신할 수 있다.
사기주소검출장치(100)는 제 1 특징 정보를 포함하는 특징 정보를 획득할 수 있다.
사기주소검출장치(100)는 양호 주소들에 대한 정보, 사기 주소 그룹에 대한 정보 및 뮬 주소 그룹에 대한 정보에 기초하여, 양호 주소들 또는 사기 주소 그룹에 포함된 목표 주소(930)의 최초 거래부터 최후 거래까지의 시간을 나타내는 제 1 특징 정보를 획득하는 단계를 수행할 수 있다.
예를 들어 사기주소검출장치(100)는 목표 주소(930)에 대한 정보에 기초하여 거래 A(921), 거래 B(922), 거래 C(941) 및 거래 D(942)와 같은 거래 이력을 획득할 수 있다. 거래 A(921)는 2019년2월1일에 이루어졌고, 거래 B(922)는 2019년3월1일에 이루어졌고, 거래 C(941)는 2019년5월1일에 이루어졌고, 거래 D(942)는 2019년4월1일에 이루어질 수 있다. 사기주소검출장치(100)는 목표 주소(930)의 최초 거래를 거래 A(921)로 결정하 수 있다. 또한 사기주소검출장치(100)는 목표 주소(930)의 최후 거래를 거래 C(941)로 결정할 수 있다. 또한 사기주소검출장치(100)는 최초 거래부터 최후 거래까지의 시간을 89일로 결정할 수 있다. 사기주소검출장치(100)는 89일을 나타내는 정보를 목표 주소(930)의 제 1 특징 정보로 획득할 수 있다.
사기 주소들의 제 1 특징 정보는 양호 주소들의 제 1 특징보다 짧은 경향이 있다. 따라서 사기주소검출장치(100)는 제 1 특징 정보에 기초하여 새로운 주소가 사기 주소인지 여부를 결정할 수 있다.
사기주소검출장치(100)는 제 2 특징 정보를 포함하는 특징 정보를 획득할 수 있다.
사기주소검출장치(100)는 양호 주소들 또는 사기 주소 그룹에 포함된 목표 주소의 암호화폐 수신 후 암호화폐 송신까지 걸리는 시간의 평균을 나타내는 제 2 특징 정보를 획득하는 단계를 수행할 수 있다.
예를 들어, 목표 주소(930)가 거래 A(921)로부터 수신한 2BTC은 거래 C(941)에 의하여 목표 주소(930)로부터 송신될 수 있다. 거래 A(921)와 거래 C(941) 사이의 시간은 89일일 수 있다. 또한 목표 주소(930)가 거래 B(922)로부터 수신한 8BTC은 거래 D(942)에 의하여 목표 주소(930)로부터 송신될 수 있다. 거래 B(922)와 거래 D(942) 사이의 시간은 31일일 수 있다. 따라서 목표 주소의 암호화폐 수신 후 암호화폐 송신까지 걸리는 시간의 평균은 (31+89)/2=60일 일 수 있다. 사기주소검출장치(100)는 60일을 나타내는 정보를 목표 주소(930)의 제 2 특징 정보로 획득할 수 있다.
사기 주소들의 제 2 특징 정보는 양호 주소들의 제 2 특징보다 짧은 경향이 있다. 따라서 사기주소검출장치(100)는 제 2 특징 정보에 기초하여 새로운 주소가 사기 주소인지 여부를 결정할 수 있다.
사기주소검출장치(100)는 제 3 특징 정보를 포함하는 특징 정보를 획득할 수 있다.
사기주소검출장치(100)는 양호 주소들 또는 사기 주소 그룹에 포함된 목표 주소(930)가 암호화폐를 수신하는 제 1 거래들(921 및 922)의 개수 당 제 1 거래들에서 암호화폐를 송금하는 출발지 주소들(911, 912, 913)의 개수를 나타내는 제 1 주소 개수 정보를 획득 하는 단계를 수행할 수 있다.
예를 들어, 목표 주소(930)는 거래 A(921) 및 거래 B(922)와 같은 2개의 거래에 의하여 암호화폐를 수신할 수 있다. 거래 A(921)에서 암호화폐를 송신하는 출발지 주소는 ADDR1(911)일 수 있다. 또한 거래 B(922)에서 암호화폐를 송신하는 출발지 주소들은 ADDR2(912) 및 ADDR3(913)일 수 있다. 목표 주소(930)가 암호화폐를 수신하는 거래의 개수는 2개이고, 출발지 주소들은 3개일 수 있다. 따라서 사기주소검출장치(100)는 제 1 주소 개수 정보를 3/2=1.5로 결정할 수 있다.
사기주소검출장치(100)는 제 1 거래들의 개수 당 제 1 거래들에서 암호화폐를 수신하는 목적지 주소들의 개수를 나타내는 제 2 주소 개수 정보를 획득 하는 단계를 수행할 수 있다.
예를 들어, 목표 주소(930)는 거래 A(921) 및 거래 B(922)와 같은 2개의 거래에 의하여 암호화폐를 수신할 수 있다. 거래 A(921)에서 암호화폐를 수신하는 목적지 주소는 목표 주소(930)일 수 있다. 또한 거래 B(922)에서 암호화폐를 수신하는 목적지 주소는 목표 주소(930) 일 수 있다. 목표 주소(930)가 암호화폐를 수신하는 거래의 개수는 2개이고, 목적지 주소는 1개일 수 있다. 따라서 사기주소검출장치(100)는 제 2 주소 개수 정보를 1/2=0.5로 결정할 수 있다.
사기주소검출장치(100)는 목표 주소가 암호화폐를 송신하는 제 2 거래들의 개수 당 제 2 거래들에서 암호화폐를 송신하는 출발지 주소들의 개수를 나타내는 제 3 주소 개수 정보를 획득 하는 단계를 수행할 수 있다.
예를 들어, 목표 주소(930)는 거래 C(941) 및 거래 D(942)와 같은 2개의 거래에 의하여 암호화폐를 송신할 수 있다. 거래 C(941)에서 암호화폐를 송신하는 출발지 주소는 목표 주소(930)일 수 있다. 또한 거래 D(942)에서 암호화폐를 송신하는 출발지 주소는 목표 주소(930) 일 수 있다. 목표 주소(930)가 암호화폐를 송신하는 거래의 개수는 2개이고, 출발지 주소는 1개일 수 있다. 따라서 사기주소검출장치(100)는 제 3 주소 개수 정보를 1/2=0.5로 결정할 수 있다.
사기주소검출장치(100)는 제 2 거래들의 개수 당 제 2 거래들에서 암호화폐를 수신하는 목적지 주소들의 개수를 나타내는 제 4 주소 개수 정보를 획득 하는 단계를 수행할 수 있다.
예를 들어, 목표 주소(930)는 거래 C(941) 및 거래 D(942)와 같은 2개의 거래에 의하여 암호화폐를 송신할 수 있다. 거래 C(941)에서 암호화폐를 수신하는 목적지 주소는 ADDR5(951)일 수 있다. 또한 거래 D(942)에서 암호화폐를 수신하는 목적지 주소는 ADDR6(952) 및 ADDR7(953)일 수 있다. 목표 주소(930)가 암호화폐를 송신하는 거래의 개수는 2개이고, 목적지 주소는 3개일 수 있다. 따라서 사기주소검출장치(100)는 제 4 주소 개수 정보를 3/2=1.5로 결정할 수 있다.
사기주소검출장치(100)는 제 1 주소 개수 정보, 제 2 주소 개수 정보, 제 3 주소 개수 정보 및 제 4 주소 개수 정보를 제 3 특징 정보로 결정하는 단계를 수행할 수 있다.
사기 주소가 암호화폐를 수신하는 거래에서 목적지의 수는 소정의 개수 이하인 경우가 많다. 하지만 양호 주소는 주로 거래소에서 거래를 하므로 다대다의 거래인 경우가 많다. 따라서 양호 주소가 암호화폐를 수신하는 거래에서 목적지의 수는 소정의 개수 이상인 경우가 많다.
또한, 사기 주소가 암호화폐를 송신하는 거래에서 출발지의 수는 소정의 개수 이상인 경우가 양호 주소에 대한 출발지의 수보다 많다. 이는, 사기 주소를 소유한 사람들은 많은 암호화폐 주소를 운영하기 때문일 수 있다.
사기주소검출장치(100)는 제 4 특징 정보를 포함하는 특징 정보를 획득할 수 있다.
사기주소검출장치(100)는 양호 주소들 또는 사기 주소 그룹에 포함된 목표 주소(930)가 암호화폐를 수신한 전체 암호화폐에 대하여, 목표 주소(930)가 포함된 주소 그룹으로부터 암호화폐를 직접 수신한 암호화폐의 비율을 나타내는 제 1 비율 정보를 획득하는 단계를 수행할 수 있다.
양호주소들은 소유자의 구분 없이 하나의 그룹이 될 수 있다. 양호 주소들 전체를 하나의 양호 주소 그룹이라고 할 수 있다. 하지만 이에 한정되는 것은 아니며 양호주소들은 소유자별로 그룹화될 수 있다. 소유자 별로 그룹화된 양호 주소들을 양호 주소 그룹이라고 할 수 있다.
양호 주소 그룹, 사기 주소 그룹, 뮬 주소 그룹은 각각 복수의 주소 그룹을 포함할 수 있다. 목표 주소(930)가 제 1 사기 주소 그룹에 속해 있다면, 사기주소검출장치(100)는 목표 주소(930)가 암호화폐를 수신한 전체 암호화폐에 대하여 제 1 사기 주소 그룹에 속해 있는 주소로부터 암호화폐를 직접 수신한 암호화폐의 비율을 제 1 비율 정보로 획득할 수 있다. 제 1 비율은 퍼센트, 분수 또는 실수로 나타낼 수 있다.
목표 주소(930)가 암호화폐를 직접 수신한 것은 중간에 다른 주소를 거치지 않고 목표 주소(930)가 출발지 주소로부터 직접 암호화폐를 수신한 것을 의미한다. 또한 목표 주소(930)가 단 하나의 거래를 통하여 암호화폐를 수신한 것을 의미한다. 도 9를 참조하면, 목표 주소(930)는 거래 A(921)를 통하여 ADDR1(911)로부터 암호화폐를 수신한다. 또한 목표 주소(930)는 거래 B(922)를 통하여 ADDR2(912)로부터 암호화폐를 수신한다. 또한 목표 주소(930)는 거래 B(922)를 통하여 ADDR3(913)로부터 암호화폐를 수신한다. 따라서, 도 9에서 목표 주소(930)가 암호화폐를 직접 수신한 출발지 주소는 ADDR1(911), ADDR2(912) 및 ADDR3(913)일 수 있다.
도 9를 참조하면 목표 주소(930)가 수신한 전체 암호화폐는 10BTC일 수 있다. 목표 주소(930)가 포함된 주소 그룹의 다른 주소인 ADDR2(912)로부터 직접 수신한 암호화폐가 5BTC인 경우, 제 1 비율 정보는 50%가 될 수 있다.
사기주소검출장치(100)는 목표 주소(930)가 암호화폐를 수신한 전체 암호화폐에 대하여, 암호화폐 거래 서비스로부터 암호화폐를 직접 수신한 암호화폐의 비율을 나타내는 제 2 비율 정보를 획득하는 단계를 수행할 수 있다. 암호화폐 거래 서비스는 암호화폐 거래소를 의미할 수 있다.
예를 들어, 도 9를 참조하면, 목표 주소(930)가 수신한 전체 암호화폐가 10BTC일 수 있다. 목표 주소(930)가 암호화폐 거래 서비스의 주소인 ADDR1(911)로부터 직접 수신한 암호화폐가 2BTC인 경우, 제 1 비율 정보는 20%가 될 수 있다.
사기주소검출장치(100)는 목표 주소(930)가 암호화폐를 수신한 전체 암호화폐에 대하여, 사기 주소 그룹에 포함된 제 1 주소로부터 암호화폐를 직접 수신한 암호화폐의 비율을 나타내는 제 3 비율 정보를 획득하는 단계를 수행할 수 있다.
목표 주소(930)가 사기 주소 그룹에 포함되는 경우, 제 3 비율 정보에는 제 1 비율정보가 포함될 수 있다. 따라서 사기주소검출장치(100)는 제 3 비율 정보를 획득할 때, 목표 주소(930)가 사기 주소 그룹에 포함되는 경우, 목표 주소(930)가 포함된 사기 주소 그룹과 다른 사기 주소 그룹에 포함된 제 1 주소로부터 직접 수신된 암호화폐의 크기에 기초하여 제 3 비율 정보로 획득할 수 있다. 하지만 이에 한정되는 것은 아니다. 목표 주소(930)가 사기 주소 그룹에 포함되는 경우, 사기주소검출장치(100)는 목표 주소(930)가 포함된 사기 주소 그룹 내의 제 1 주소로부터 직접 수신된 암호화폐의 크기에 기초하여 제 3 비율 정보를 획득할 수 있다.
사기주소검출장치(100)는 목표 주소(930)가 암호화폐를 수신한 전체 암호화폐에 대하여, 뮬 주소 그룹에 포함된 제 2 주소로부터 암호화폐를 직접 수신한 암호화폐의 비율을 나타내는 제 4 비율 정보를 획득하는 단계를 수행할 수 있다.
예를 들어, 도 9를 참조하면, 목표 주소(930)가 수신한 전체 암호화폐가 10BTC일 수 있다. 목표 주소(930)가 뮬 주소 그룹에 포함된 제 2 주소인 ADDR3(913)으로부터 직접 수신한 암호화폐가 3BTC인 경우, 제 1 비율 정보는 30%가 될 수 있다.
사기주소검출장치(100)는 제 1 비율 정보, 제 2 비율 정보, 제 3 비율 정보 및 제 4 비율 정보를 제 4 특징 정보로 결정하는 단계를 수행할 수 있다.
사기주소검출장치(100)는 제 5 특징 정보를 포함하는 특징 정보를 획득할 수 있다.
사기주소검출장치(100)는 양호 주소들 또는 사기 주소 그룹에 포함된 목표 주소(930)가 암호화폐를 송신한 전체 암호화폐에 대하여, 목표 주소(930)가 포함된 주소 그룹으로 암호화폐를 직접 송신한 암호화폐의 비율을 나타내는 제 5 비율 정보를 획득하는 단계를 수행할 수 있다.
목표 주소(930)가 암호화폐를 직접 송신한 것은 중간에 다른 주소를 거치지 않고 목표 주소(930)가 목적지 주소로 직접 암호화폐를 송신한 것을 의미한다. 또한 목표 주소(930)가 단 하나의 거래를 통하여 암호화폐를 송신한 것을 의미한다. 도 9를 참조하면, 목표 주소(930)는 거래 C(941)를 통하여 ADDR5(951)로 암호화폐를 송신한다. 또한 목표 주소(930)는 거래 D(942)를 통하여 ADDR6(952)로 암호화폐를 송신한다. 또한 목표 주소(930)는 거래 D(942)를 통하여 ADDR7(953)로 암호화폐를 송신한다. 따라서, 도 9에서 목표 주소(930)가 암호화폐를 직접 송신한 목적지 주소는 ADDR5(951), ADDR6(952) 및 ADDR7(953)일 수 있다.
사기주소검출장치(100)는 목표 주소(930)가 암호화폐를 송신한 전체 암호화폐에 대하여, 암호화폐 거래 서비스로 암호화폐를 직접 송신한 암호화폐의 비율을 나타내는 제 6 비율 정보를 획득하는 단계를 수행할 수 있다.
예를 들어 도 9를 참조하면, 목표 주소(930)가 암호화폐를 송신한 전체 암호화폐의 크기는 10BTC일 수 있다. 또한 암호화폐 거래 서비스의 주소인 ADDR6(952)로 직접 송신된 암호화폐의 크기는 2BTC일 수 있다. 따라서 사기주소검출장치(100)는 20%를 제 6 비율 정보로써 획득할 수 있다.
사기주소검출장치(100)는 목표 주소(930)가 암호화폐를 송신한 전체 암호화폐에 대하여, 사기 주소 그룹에 포함된 제 1 주소로 암호화폐를 직접 송신한 암호화폐의 비율을 나타내는 제 7 비율 정보를 획득하는 단계를 수행할 수 있다.
도 9를 참조하면 목표 주소(930)가 거래 D(942) 및 거래 E(960)를 통하여 암호화폐를 사기 주소인 ADDR9(972)로 암호화폐를 송신하였다. 하지만 2개 이상의 거래를 이용하여 목표 주소(930)가 사기 주소인 ADDR9(972)로 암호화폐를 송신하였으므로, 사기주소검출장치(100)는 목표 주소(930)가 사기 주소로 직접 송신하지 않은 것으로 결정할 수 있다.
사기주소검출장치(100)는 목표 주소가 암호화폐를 수신한 전체 암호화폐에 대하여, 뮬 주소 그룹에 포함된 제 2 주소로 암호화폐를 직접 송신한 암호화폐의 비율을 나타내는 제 8 비율 정보를 획득하는 단계를 수행할 수 있다.
예를 들어 도 9를 참조하면, 목표 주소(930)가 암호화폐를 송신한 전체 암호화폐의 크기는 10BTC일 수 있다. 또한 뮬 주소 그룹에 포함되는 주소인 ADDR5(951)로 직접 송신된 암호화폐의 크기는 2BTC일 수 있다. 따라서 사기주소검출장치(100)는 20%를 제 8 비율 정보로써 획득할 수 있다.
사기주소검출장치(100)는 제 5 비율 정보, 제 6 비율 정보, 제 7 비율 정보 및 제 8 비율 정보를 제 5 특징 정보로 결정하는 단계를 수행할 수 있다.
사기주소검출장치(100)는 제 6 특징 정보를 포함하는 특징 정보를 획득할 수 있다.
사기주소검출장치(100)는 양호 주소들 또는 사기 주소 그룹에 포함된 목표 주소(930)가 암호화폐를 송신한 전체 암호화폐에 대하여, 암호화폐 거래 서비스로 암호화폐를 간접 송신한 암호화폐의 비율을 나타내는 제 9 비율 정보를 획득하는 단계를 수행할 수 있다.
암호화폐의 간접 송수신은 출발지 주소로부터 송신된 암호화폐가 2 이상의 거래에 의하여 목적지 주소에 도달하는 것을 의미한다. 예를 들어 도 9를 참조하면 목표 주소(930)로부터 ADDR8(971) 또는 ADDR9(972)로 암호화폐가 전송되기 위해서는 거래 D(942) 및 거래 E(960)를 거칠 수 있다. 사기주소검출장치(100)는 목표 주소(930)가 ADDR8(971) 또는 ADDR9(972)로 암호화폐를 간접 송신한 것으로 결정할 수 있다.
간접 송수신이 있었는지 여부를 결정하기 위하여 복수의 주소의 거래 이력을 확인해야 하므로 사기주소검출장치(100)의 프로세싱 능력이 크게 요구될 수 있다. 사기주소검출장치(100)는 소정의 횟수의 거래 내에서 주소들 간에 암호화폐의 간접 송수신이 있는지 결정할 수 있다. 사기주소검출장치(100)가 소정의 횟수의 거래 내에서 간접 송수신이 있는지 결정함으로써, 사기주소검출장치(100)는 간접거래를 확인하기 위해 프로세싱 능력이 크게 소모되는 것을 방지할 수 있다. 예를 들어 사기주소검출장치(100)는 목표 주소(930)가 암호화폐를 송신하고, 10회 이하의 거래 내에서 암호화폐 거래 서비스로 간접 송신이 있는지 여부를 결정할 수 있다.
예를 들어, 도 9를 참조하면, 목표 주소(930)가 암호화폐를 송신한 전체 암호화폐의 크기는 10BTC일 수 있다. 목표 주소(930)는 거래 D(942) 및 거래 E(960)를 거쳐 암호화폐 거래 서비스의 주소인 ADDR8(971)로 2BTC를 간접 전송할 수 있다. 사기주소검출장치(100)는 제 9 비율 정보를 20%로 결정할 수 있다.
사기주소검출장치(100)는 목표 주소가 암호화폐를 송신한 전체 암호화폐에 대하여, 사기 주소 그룹에 포함된 제 1 주소로 암호화폐를 간접 송신한 암호화폐의 비율을 나타내는 제 10 비율 정보를 획득하는 단계를 수행할 수 있다.
예를 들어, 도 9를 참조하면, 목표 주소(930)가 암호화폐를 송신한 전체 암호화폐의 크기는 10BTC일 수 있다. 목표 주소(930)는 거래 D(942) 및 거래 E(960)를 거쳐 사기 주소 그룹에 포함된 제 1 주소인 ADDR9(972)로 4BTC를 간접 전송할 수 있다. 사기주소검출장치(100)는 제 10 비율 정보를 40%로 결정할 수 있다.
사기주소검출장치(100)는 목표 주소가 암호화폐를 수신한 전체 암호화폐에 대하여, 뮬 주소 그룹에 포함된 제 2 주소로 암호화폐를 간접 송신한 암호화폐의 비율을 나타내는 제 11 비율 정보를 획득하는 단계를 수행할 수 있다.
사기주소검출장치(100)는 제 9 비율 정보, 제 10 비율 정보 및 제 11 비율 정보를 제 6 특징 정보로 결정하는 단계를 수행할 수 있다.
이상과 같이 사기주소검출장치(100)가 제 1 특징 정보 내지 제 6 특징 정보를 획득할 수 있다. 사기주소검출장치(100)는 제 1 특징 정보 내지 제 6 특징 정보에 기초하여 기계학습모델을 생성하는 단계(450)를 수행할 수 있다.
도 10 은 본 개시의 일 실시예에 따른 사기주소검출장치(100)의 동작을 나타내는 블록도이다.
사기주소검출장치(100)는 데이터베이스(310) 및 특징 추출부(340)로부터 주소의 레이블 정보(1011) 및 특징 정보(1012)를 획득할 수 있다. 주소의 레이블 정보(1011)는 '양호' 또는 '사기'를 나타낼 수 있다. 특징 정보(1012)는 제 1 특징 정보 내지 제 6 특징 정보 중 적어도 하나일 수 있다.
사기주소검출장치(100)는 주소의 레이블 정보(1011) 및 특징 정보(1012)에 기초하여 기계학습모델(360)을 획득할 수 있다. 사기주소검출장치(100)는 기계학습모델(360)을 메모리에 저장하여 추후에 사용할 수 있다. 또한 사기주소검출장치(100)는 다른 사기주소검출장치로 기계학습모델(360)을 송신할 수 있다.
사기주소검출장치(100)는 새로운 암호화폐 주소를 획득하는 단계를 수행할 수 있다. 사기주소검출장치(100)는 새로운 암호화폐 주소에 대한 새로운 특징 정보를 획득하는 단계를 수행할 수 있다. 사기주소검출장치(100)는 새로운 특징 정보를 미리 획득된 기계학습모델(360)에 적용하여 새로운 암호화폐 주소가 사기 주소인지 여부를 판단하는 단계를 수행할 수 있다. 또한 사기주소검출장치(100)는 사기 주소 여부를 나타내는 결과 정보(1070)를 출력할 수 있다.
사기주소검출장치(100)는 기계학습모델 또는 사기 주소 그룹에 기초하여 새로운 암호화폐 주소의 위험도에 대한 정보를 출력할 수 있다.
예를 들어, 사기주소검출장치(100)는 새로운 암호화폐 주소가, 사기 주소 그룹에 포함된 경우 새로운 암호화폐 주소의 사기 위험도를 5로 결정하는 단계를 수행할 수 있다. 위험도가 5라는 것은 가장 위험함을 의미할 수 있다. 또한 위험도는 1까지 줄어들 수 있으며, 위험도가 1이라는 것은 위험도가 낮음을 의미할 수 있다. 위험도가 0이라는 것은 위험도를 판단할 수 없음을 나타낼 수 있다. 본 개시에서는 위험도를 0 내지 5로 표시하였으나 다른 문자나 숫자로 위험함을 나타낼 수 있다.
사기주소검출장치(100)는 새로운 암호화폐 주소가, 사기 주소 그룹에 포함된 제 1 주소와 직접적으로 암호화폐를 거래한 경우, 새로운 암호화폐 주소의 사기 위험도를 4로 결정하는 단계를 수행할 수 있다. 제 1 주소와 직접적으로 암호화폐를 거래한 것은, 한 번의 거래로 제 1 주소가 새로운 암호화폐 주소로 암호화폐를 송신하거나, 제 1 주소가 새로운 암호화폐 주소로부터 암호화폐를 수신하는 것을 의미한다.
사기주소검출장치(100)는 새로운 암호화폐 주소가, 사기 주소 그룹에 포함된 제 1 주소와 간접적으로 암호화폐를 거래한 경우, 새로운 암호화폐 주소의 사기 위험도를 3으로 결정하는 단계를 수행할 수 있다. 새로운 암호화폐 주소가 제 1 주소와 간접적으로 암호화폐를 거래한 것은, 제 1 주소가 1개 이상의 주소를 통하여 새로운 암호화폐 주소로 암호화폐를 송신하거나, 제 1 주소가 1개 이상의 주소를 통하여 새로운 암호화폐 주소로부터 암호화폐를 수신하는 것을 의미한다.
간접 거래를 확인하기 위해서는 다양한 주소의 거래 이력을 확인해야 하므로 사기주소검출장치(100) 간접 거래를 확인하기 위하여 많은 처리 능력이 필요할 수 있다. 사기주소검출장치(100)는, 새로운 암호화폐 주소가 송신하거나 수신한 암호화폐가 소정의 횟수의 거래를 거치는 동안, 사기 주소 그룹에 포함되는 제 1 주소가 나타나는지 여부를 확인하여, 처리 능력이 많이 소모되는 것을 방지할 수 있다. 소정의 횟수는 사기주소검출장치(100)의 처리 능력에 기초하여 결정될 수 있다. 예를 들어, 소정의 횟수는 10회일 수 있다.
사기주소검출장치(100)는 기계학습모델에 기초하여 새로운 암호화폐 주소가 사기 주소인 것으로 판단된 경우, 새로운 암호화폐 주소의 사기 위험도를 2로 결정하는 단계를 수행할 수 있다. 기계학습모델에 따른 사기주소검출장치(100)의 결과는 '사기' 또는 '양호'로 나타날 수 있다. 사기주소검출장치(100)는 결과가 '사기' 인 경우, 위험도를 2로 결정할 수 있다. 사기주소검출장치(100)는 결과가 '양호' 인 경우, 다음 단계를 확인해볼 수 있다.
사기주소검출장치(100)는 새로운 암호화폐 주소가 거래이력이 없는 경우, 새로운 암호화폐 주소의 사기 위험도를 1로 결정하는 단계를 수행할 수 있다.
사기주소검출장치(100)는 위험도가 1 내지 5로 분류되지 않은 경우, 새로운 암호화폐 주소의 사기 위험도를 0으로 결정하는 단계를 수행할 수 있다. 위험도가 0이라는 것은 위험도를 결정할 수 없음을 나타낼 수 있다.
이제까지 다양한 실시예들을 중심으로 살펴보았다. 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자는 본 발명이 본 발명의 본질적인 특성에서 벗어나지 않는 범위에서 변형된 형태로 구현될 수 있음을 이해할 수 있을 것이다. 그러므로 개시된 실시예들은 한정적인 관점이 아니라 설명적인 관점에서 고려되어야 한다. 본 발명의 범위는 전술한 설명이 아니라 특허청구범위에 나타나 있으며, 그와 동등한 범위 내에 있는 모든 차이점은 본 발명에 포함된 것으로 해석되어야 할 것이다.
한편, 상술한 본 발명의 실시예들은 컴퓨터에서 실행될 수 있는 프로그램으로 작성가능하고, 컴퓨터로 읽을 수 있는 기록매체를 이용하여 상기 프로그램을 동작시키는 범용 디지털 컴퓨터에서 구현될 수 있다. 상기 컴퓨터로 읽을 수 있는 기록매체는 마그네틱 저장매체(예를 들면, 롬, 플로피 디스크, 하드디스크 등), 광학적 판독 매체(예를 들면, 시디롬, 디브이디 등)와 같은 저장매체를 포함한다.

Claims (9)

  1. 사기주소 검출 장치에서, 기계학습을 이용하여 암호화폐 사기 주소를 검출하기 위한 방법에 있어서,
    데이터베이스로부터 사기 거래를 위해 사용된 것으로 레이블된 사기 주소들(scam addresses)에 대한 정보 및 정상적인 거래를 위해 사용된 것으로 레이블된 양호 주소들(benign addresses)에 대한 정보를 획득하는 단계;
    상기 사기 주소들에 대한 정보에 기초하여, 동일한 사용자가 소유하고 있는 것으로 결정된 사기 주소 그룹에 대한 정보를 획득하는 단계;
    상기 사기 주소 그룹에 기초하여, 자금 세탁을 위해 사용되는 뮬(mule) 주소 그룹에 대한 정보를 획득하는 단계;
    상기 양호 주소들에 대한 정보, 상기 사기 주소 그룹에 대한 정보 또는 뮬 주소 그룹에 대한 정보 중 적어도 하나에 기초하여 상기 양호 주소들, 상기 사기 주소 그룹 또는 뮬 주소 그룹에 포함된 주소들 각각에 대응되는 특징 정보를 획득하는 단계; 및
    상기 주소들 각각에 대응되는 특징 정보 및 상기 주소들 각각에 대응되는 레이블 정보를 기계학습하여 기계학습모델을 생성하는 단계를 포함하며,
    상기 특징 정보를 획득하는 단계는,
    상기 양호 주소들에 대한 정보, 상기 사기 주소 그룹에 대한 정보 및 상기 뮬 주소 그룹에 대한 정보에 기초하여, 상기 양호 주소들 또는 상기 사기 주소 그룹에 포함된 목표 주소의 최초 거래부터 최후 거래까지의 시간을 나타내는 제 1 특징 정보를 획득하는 단계를 포함하는 것을 특징으로 하는 사기 주소 검출 방법.
  2. 제 1 항에 있어서,
    상기 뮬 주소 그룹에 대한 정보를 획득하는 단계는,
    상기 사기 주소 그룹에 대한 정보에 기초하여, 상기 사기 주소 그룹에 포함된 제 1 사기 주소와 관련된 암호화폐의 흐름을 획득하는 단계; 및
    상기 제 1 사기 주소에서 암호화폐가 전송되어 상기 사기 주소 그룹 또는 상기 사기 주소 그룹과 다른 사기 주소 그룹에 포함된 제 2 사기 주소로 도달하기까지 거치는 주소들의 모임을 뮬 주소 그룹으로 결정하는 단계를 포함하는 것을 특징으로 하는 사기 주소 검출 방법.
  3. 제 1 항에 있어서,
    상기 특징 정보를 획득하는 단계는,
    상기 양호 주소들 또는 상기 사기 주소 그룹에 포함된 목표 주소의 암호화폐 수신 후 암호화폐 송신까지 걸리는 시간의 평균을 나타내는 제 2 특징 정보를 획득하는 단계를 포함하는 것을 특징으로 하는 사기 주소 검출 방법.
  4. 제 1 항에 있어서,
    상기 특징 정보를 획득하는 단계는,
    상기 양호 주소들 또는 상기 사기 주소 그룹에 포함된 목표 주소가 암호화폐를 수신하는 제 1 거래들의 개수 당 상기 제 1 거래들에서 암호화폐를 송금하는 출발지 주소들의 개수를 나타내는 제 1 주소 개수 정보를 획득 하는 단계;
    상기 제 1 거래들의 개수 당 상기 제 1 거래들에서 암호화폐를 수신하는 목적지 주소들의 개수를 나타내는 제 2 주소 개수 정보를 획득 하는 단계;
    상기 목표 주소가 암호화폐를 송신하는 제 2 거래들의 개수 당 상기 제 2 거래들에서 암호화폐를 송금하는 출발지 주소들의 개수를 나타내는 제 3 주소 개수 정보를 획득 하는 단계;
    상기 제 2 거래들의 개수 당 상기 제 2 거래들에서 암호화폐를 수신하는 목적지 주소들의 개수를 나타내는 제 4 주소 개수 정보를 획득 하는 단계; 및
    상기 제 1 주소 개수 정보, 상기 제 2 주소 개수 정보, 상기 제 3 주소 개수 정보 및 상기 제 4 주소 개수 정보를 제 3 특징 정보로 결정하는 단계를 포함하는 것을 특징으로 하는 사기 주소 검출 방법.
  5. 제 1 항에 있어서,
    상기 특징 정보를 획득하는 단계는,
    상기 양호 주소들 또는 상기 사기 주소 그룹에 포함된 목표 주소가 암호화폐를 수신한 전체 암호화폐에 대하여, 상기 목표 주소가 포함된 주소 그룹으로부터 암호화폐를 직접 수신한 암호화폐의 비율을 나타내는 제 1 비율 정보를 획득하는 단계;
    상기 목표 주소가 암호화폐를 수신한 전체 암호화폐에 대하여, 암호화폐 거래 서비스로부터 암호화폐를 직접 수신한 암호화폐의 비율을 나타내는 제 2 비율 정보를 획득하는 단계;
    상기 목표 주소가 암호화폐를 수신한 전체 암호화폐에 대하여, 상기 사기 주소 그룹에 포함된 제 1 주소로부터 암호화폐를 직접 수신한 암호화폐의 비율을 나타내는 제 3 비율 정보를 획득하는 단계;
    상기 목표 주소가 암호화폐를 수신한 전체 암호화폐에 대하여, 상기 뮬 주소 그룹에 포함된 제 2 주소로부터 암호화폐를 직접 수신한 암호화폐의 비율을 나타내는 제 4 비율 정보를 획득하는 단계; 및
    상기 제 1 비율 정보, 상기 제 2 비율 정보, 상기 제 3 비율 정보 및 상기 제 4 비율 정보를 제 4 특징 정보로 결정하는 단계를 포함하는 것을 특징으로 하는 사기 주소 검출 방법.
  6. 제 1 항에 있어서,
    상기 특징 정보를 획득하는 단계는,
    상기 양호 주소들 또는 상기 사기 주소 그룹에 포함된 목표 주소가 암호화폐를 송신한 전체 암호화폐에 대하여, 상기 목표 주소가 포함된 주소 그룹으로 암호화폐를 직접 송신한 암호화폐의 비율을 나타내는 제 5 비율 정보를 획득하는 단계;
    상기 목표 주소가 암호화폐를 송신한 전체 암호화폐에 대하여, 암호화폐 거래 서비스로 암호화폐를 직접 송신한 암호화폐의 비율을 나타내는 제 6 비율 정보를 획득하는 단계;
    상기 목표 주소가 암호화폐를 송신한 전체 암호화폐에 대하여, 상기 사기 주소 그룹에 포함된 제 1 주소로 암호화폐를 직접 송신한 암호화폐의 비율을 나타내는 제 7 비율 정보를 획득하는 단계;
    상기 목표 주소가 암호화폐를 수신한 전체 암호화폐에 대하여, 상기 뮬 주소 그룹에 포함된 제 2 주소로 암호화폐를 직접 송신한 암호화폐의 비율을 나타내는 제 8 비율 정보를 획득하는 단계; 및
    상기 제 5 비율 정보, 상기 제 6 비율 정보, 상기 제 7 비율 정보 및 상기 제 8 비율 정보를 제 5 특징 정보로 결정하는 단계를 포함하는 것을 특징으로 하는 사기 주소 검출 방법.
  7. 제 1 항에 있어서,
    상기 특징 정보를 획득하는 단계는,
    상기 양호 주소들 또는 상기 사기 주소 그룹에 포함된 목표 주소가 암호화폐를 송신한 전체 암호화폐에 대하여, 암호화폐 거래 서비스로 암호화폐를 간접 송신한 암호화폐의 비율을 나타내는 제 9 비율 정보를 획득하는 단계;
    상기 목표 주소가 암호화폐를 송신한 전체 암호화폐에 대하여, 상기 사기 주소 그룹에 포함된 제 1 주소로 암호화폐를 간접 송신한 암호화폐의 비율을 나타내는 제 10 비율 정보를 획득하는 단계;
    상기 목표 주소가 암호화폐를 수신한 전체 암호화폐에 대하여, 상기 뮬 주소 그룹에 포함된 제 2 주소로 암호화폐를 간접 송신한 암호화폐의 비율을 나타내는 제 11 비율 정보를 획득하는 단계; 및
    상기 제 9 비율 정보, 상기 제 10 비율 정보 및 상기 제 11 비율 정보를 제 6 특징 정보로 결정하는 단계를 포함하는 것을 특징으로 하는 사기 주소 검출 방법.
  8. 제 1 항에 있어서,
    새로운 암호화폐 주소를 획득하는 단계;
    상기 새로운 암호화폐 주소에 대한 새로운 특징 정보를 획득하는 단계;
    상기 새로운 특징 정보를 상기 기계학습모델에 적용하여 상기 새로운 암호화폐 주소가 사기 주소인지 여부를 판단하는 단계를 포함하는 것을 특징으로 하는 사기 주소 검출 방법.
  9. 제 8 항에 있어서,
    상기 새로운 암호화폐 주소가, 상기 사기 주소 그룹에 포함된 경우 상기 새로운 암호화폐 주소의 사기 위험도를 5로 결정하는 단계;
    상기 새로운 암호화폐 주소가, 상기 사기 주소 그룹에 포함된 제 1 주소와 직접적으로 암호화폐를 거래한 경우, 새로운 암호화폐 주소의 사기 위험도를 4로 결정하는 단계;
    상기 새로운 암호화폐 주소가, 상기 사기 주소 그룹에 포함된 제 1 주소와 간접적으로 암호화폐를 거래한 경우, 새로운 암호화폐 주소의 사기 위험도를 3으로 결정하는 단계;
    상기 기계학습모델에 기초하여 상기 새로운 암호화폐 주소가 사기 주소인 것으로 판단된 경우, 새로운 암호화폐 주소의 사기 위험도를 2로 결정하는 단계;
    상기 새로운 암호화폐 주소가 거래이력이 없는 경우, 새로운 암호화폐 주소의 사기 위험도를 1로 결정하는 단계; 및
    위험도가 1 내지 5로 분류되지 않은 경우, 새로운 암호화폐 주소의 사기 위험도를 0으로 결정하는 단계를 포함하는 것을 특징으로 하는 사기 주소 검출 방법.
PCT/KR2020/001386 2019-09-05 2020-01-30 암호화폐 거래 분석 방법 및 장치 WO2021045331A1 (ko)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2022512810A JP7309242B2 (ja) 2019-09-05 2020-01-30 暗号通貨取引の分析方法及び装置
CN202080062448.XA CN114365169A (zh) 2019-09-05 2020-01-30 加密货币交易的分析方法和装置
US17/640,617 US20220343330A1 (en) 2019-09-05 2020-01-30 Cryptocurrency transaction analysis method and apparatus

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020190110106A KR102058683B1 (ko) 2019-09-05 2019-09-05 암호화폐 거래 분석 방법 및 장치
KR10-2019-0110106 2019-09-05

Publications (1)

Publication Number Publication Date
WO2021045331A1 true WO2021045331A1 (ko) 2021-03-11

Family

ID=69051944

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2020/001386 WO2021045331A1 (ko) 2019-09-05 2020-01-30 암호화폐 거래 분석 방법 및 장치

Country Status (5)

Country Link
US (1) US20220343330A1 (ko)
JP (1) JP7309242B2 (ko)
KR (1) KR102058683B1 (ko)
CN (1) CN114365169A (ko)
WO (1) WO2021045331A1 (ko)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102058683B1 (ko) * 2019-09-05 2019-12-23 (주)에스투더블유랩 암호화폐 거래 분석 방법 및 장치
KR20210094439A (ko) 2020-01-21 2021-07-29 고려대학교 산학협력단 암호화폐 지갑 주소의 클러스터링 기법
KR102367223B1 (ko) * 2020-01-28 2022-02-24 (주)인프라케이 가상자산 부정 거래 탐지 시스템 및 방법
KR102113347B1 (ko) * 2020-02-20 2020-05-21 팀블랙버드 주식회사 인공지능을 이용한 암호화폐 계좌 분류 방법, 장치 및 컴퓨터프로그램
KR102112798B1 (ko) * 2020-02-28 2020-05-19 팀블랙버드 주식회사 인공지능을 이용한 암호화폐 계좌의 클러스터링 방법, 장치 및 컴퓨터프로그램
KR102259838B1 (ko) * 2020-09-21 2021-06-02 한성대학교 산학협력단 암호화폐 블랙리스트 구축 장치 및 방법
KR102440878B1 (ko) * 2021-12-09 2022-09-05 한국인터넷진흥원 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법, 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법 및 이들을 수행하는 장치 및 컴퓨터 프로그램
KR102616570B1 (ko) * 2023-05-24 2023-12-21 주식회사 보난자팩토리 고위험 가상자산 지갑주소 관리장치 및 이를 이용한 고위험 지갑주소 조회 서비스 제공방법
CN117952619B (zh) * 2024-03-26 2024-06-07 南京赛融信息技术有限公司 基于数字人民币钱包账户关联性的风险行为分析方法、系统及计算机可读介质

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20130096565A (ko) * 2012-02-22 2013-08-30 주식회사 더존정보보호서비스 활성 포렌식 기술을 이용한 연관성 분석 기반 악성코드 탐지 시스템
KR101852107B1 (ko) * 2017-11-22 2018-04-25 (주)유니스소프트 다크웹 범죄정보 분석 시스템 및 그 방법
KR20180055170A (ko) * 2016-11-16 2018-05-25 (주)아이와즈 기계학습을 활용한 osp 사이트 생애주기 감지 인공지능 시스템
US20180240107A1 (en) * 2015-03-27 2018-08-23 Black Gold Coin, Inc. Systems and methods for personal identification and verification
KR101966366B1 (ko) * 2018-10-22 2019-08-13 (주)유니스소프트 토르 네트워크에서의 악의적 사용자 탐지 시스템 및 그 방법
KR102058683B1 (ko) * 2019-09-05 2019-12-23 (주)에스투더블유랩 암호화폐 거래 분석 방법 및 장치

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB0029229D0 (en) * 2000-11-30 2001-01-17 Unisys Corp Counter measures for irregularities in financial transactions
US20200311790A1 (en) * 2013-04-11 2020-10-01 Brandshield Ltd. System, Device, and Method of Protected Electronic Commerce and Electronic Financial Transactions
US9552615B2 (en) * 2013-12-20 2017-01-24 Palantir Technologies Inc. Automated database analysis to detect malfeasance
US9672499B2 (en) * 2014-04-02 2017-06-06 Modernity Financial Holdings, Ltd. Data analytic and security mechanism for implementing a hot wallet service
US20180365696A1 (en) * 2017-06-19 2018-12-20 Nec Laboratories America, Inc. Financial fraud detection using user group behavior analysis
US20200160344A1 (en) * 2018-11-20 2020-05-21 CipherTrace, Inc. Blockchain Transaction Analysis and Anti-Money Laundering Compliance Systems and Methods
US20200184479A1 (en) * 2018-12-05 2020-06-11 Capital One Services, Llc Systems for managing cryptocurrency transactions
KR102478132B1 (ko) * 2019-01-18 2022-12-15 웁살라 프라이비트 리미티드 컴퍼니 사이버보안 장치 및 방법
US11809896B2 (en) * 2019-05-24 2023-11-07 International Business Machines Corporation Anomalous transaction commitment prevention for database
US11481499B2 (en) * 2019-08-05 2022-10-25 Visa International Service Association Blockchain security system

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20130096565A (ko) * 2012-02-22 2013-08-30 주식회사 더존정보보호서비스 활성 포렌식 기술을 이용한 연관성 분석 기반 악성코드 탐지 시스템
US20180240107A1 (en) * 2015-03-27 2018-08-23 Black Gold Coin, Inc. Systems and methods for personal identification and verification
KR20180055170A (ko) * 2016-11-16 2018-05-25 (주)아이와즈 기계학습을 활용한 osp 사이트 생애주기 감지 인공지능 시스템
KR101852107B1 (ko) * 2017-11-22 2018-04-25 (주)유니스소프트 다크웹 범죄정보 분석 시스템 및 그 방법
KR101966366B1 (ko) * 2018-10-22 2019-08-13 (주)유니스소프트 토르 네트워크에서의 악의적 사용자 탐지 시스템 및 그 방법
KR102058683B1 (ko) * 2019-09-05 2019-12-23 (주)에스투더블유랩 암호화폐 거래 분석 방법 및 장치

Also Published As

Publication number Publication date
JP2022546952A (ja) 2022-11-10
US20220343330A1 (en) 2022-10-27
CN114365169A (zh) 2022-04-15
KR102058683B1 (ko) 2019-12-23
JP7309242B2 (ja) 2023-07-18

Similar Documents

Publication Publication Date Title
WO2021045331A1 (ko) 암호화폐 거래 분석 방법 및 장치
WO2021045332A1 (ko) 암호화폐 거래를 분석하기 위한 데이터 획득 방법 및 장치
WO2021162195A1 (ko) 딥러닝 기반의 신분증 진위판단장치 및 신분증 진위판단방법
WO2018074902A2 (en) System and method for mobile wallet remittance
CN106846564A (zh) 一种智能门禁系统及控制方法
WO2016108472A1 (ko) 이미지 분석 방법, 장치 및 컴퓨터로 판독가능한 장치
WO2017183830A1 (ko) 홍채템플릿 분산 저장 및 매칭을 이용한 홍채인식 보안 강화 방법 및 장치
WO2020045848A1 (ko) 세그멘테이션을 수행하는 뉴럴 네트워크를 이용한 질병 진단 시스템 및 방법
WO2023106572A1 (ko) 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법, 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법 및 이들을 수행하는 장치 및 컴퓨터 프로그램
WO2019235828A1 (ko) 투 페이스 질병 진단 시스템 및 그 방법
CN109064168A (zh) 基于区块链的权限控制方法、装置及计算机可读存储介质
WO2021010671A9 (ko) 뉴럴 네트워크 및 비국소적 블록을 이용하여 세그멘테이션을 수행하는 질병 진단 시스템 및 방법
WO2022059886A1 (ko) 기계학습을 이용한 유전자 변이의 병원성 예측 시스템
WO2023090864A1 (ko) 악성 이벤트로그 자동분석 장치 및 방법
CN105659250A (zh) 世界驱动访问控制
WO2023163286A1 (ko) 블록체인 기반의 nft를 이용하는 플랫폼의 서버에서 수행되는 nft에 대한 위변조를 감지하는 위변조 감지 방법
WO2022146050A1 (ko) 우울증 진단을 위한 인공지능 연합학습 방법 및 시스템
WO2020032468A1 (ko) 에이전시 매칭방법, 장치 및 프로그램
WO2023191129A1 (ko) 법안 및 법규정에 대한 모니터링 방법 및 이를 위한 프로그램
WO2020085745A1 (ko) 의료 데이터 관리 시스템 및 그 방법
WO2020130331A1 (ko) 블록체인에서 노드들간 블록 및 전자 문서를 공유 및 검증하는 방법
EP4088238A1 (en) Electronic device for sending cryptocurrency to blockchain account and method for operating the same
CN109784918A (zh) 基于区块链的信息监督方法、装置、设备和存储介质
WO2024005368A1 (ko) 검침 서비스 시스템 및 방법
EP4036847A1 (en) Information processing device, terminal device, information processing system, information processing method, and recording medium

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20860629

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022512810

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20860629

Country of ref document: EP

Kind code of ref document: A1