WO2023106572A1 - 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법, 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법 및 이들을 수행하는 장치 및 컴퓨터 프로그램 - Google Patents

가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법, 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법 및 이들을 수행하는 장치 및 컴퓨터 프로그램 Download PDF

Info

Publication number
WO2023106572A1
WO2023106572A1 PCT/KR2022/013886 KR2022013886W WO2023106572A1 WO 2023106572 A1 WO2023106572 A1 WO 2023106572A1 KR 2022013886 W KR2022013886 W KR 2022013886W WO 2023106572 A1 WO2023106572 A1 WO 2023106572A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
transaction
wallet address
detection model
detection
Prior art date
Application number
PCT/KR2022/013886
Other languages
English (en)
French (fr)
Inventor
신용희
배근우
장대일
지승구
Original Assignee
한국인터넷진흥원
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 한국인터넷진흥원 filed Critical 한국인터넷진흥원
Publication of WO2023106572A1 publication Critical patent/WO2023106572A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/04—Payment circuits
    • G06Q20/06—Private payment circuits, e.g. involving electronic currency used among participants of a common payment scheme
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/36—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols

Definitions

  • the present invention relates to a method for learning a detection model for detecting fraudulent transactions in virtual assets, a method for detecting fraudulent transactions in virtual assets using the detection model, and a device and computer program for performing the same, and more particularly, to detect fraudulent transactions in virtual assets. It relates to methods, devices and computer programs for doing so.
  • a method for learning a detection model for detecting fraudulent transactions in virtual assets includes a memory storing one or more programs for learning a detection model for detecting fraudulent transactions in virtual assets. and one or more processors that perform an operation for learning the detection model according to the one or more programs stored in the memory, wherein the processor comprises information about all blocks of virtual assets and negation of virtual assets.
  • the learning data acquisition step comprises: Based on the virtual asset type of the fraudulent transaction wallet address, total transaction information corresponding to the fraudulent transaction wallet address is obtained from the total block information of the virtual assets, and the total transaction information is obtained based on predetermined characteristics for each virtual asset type among all characteristics.
  • the detection model learning step is based on the learning data obtained for each virtual asset type , It may consist of learning the detection model for each virtual asset type.
  • the acquiring learning data may include acquiring the learning data including feature information corresponding to the fraudulent transaction wallet address and fraudulent transaction type information corresponding to the fraudulent transaction wallet address.
  • the detection model learning step may include learning the detection model for outputting the fraudulent transaction prediction information including the fraudulent transaction prediction value and the predicted fraudulent transaction type based on the learning data.
  • the feature information includes information on the number of transactions in which the feature extraction target wallet address is used, transaction volume information of the feature extraction target wallet address, exposure number information indicating the number of uses of the feature extraction target wallet address in all transactions, and the feature Transaction period information representing the period between the first transaction and the last transaction of the extraction target wallet address, wallet address type information of the feature extraction target wallet address, transaction fee information of the feature extraction target wallet address, and transaction of the feature extraction target wallet address It may include first characteristic information including at least one of wallet address number information indicating the number of counterparty wallet addresses.
  • the characteristic information is a statistical value obtained based on the first characteristic information and including at least one of a maximum value, a minimum value, a median value, an average value, a variance value, a skewness value, a kurtosis value, and a standard deviation value It may further include second characteristic information indicating.
  • the characteristic information corresponding to the normal transaction wallet address is acquired from the entire block information of the virtual asset based on the normal transaction wallet address, and the characteristic information corresponding to the fraudulent transaction wallet address and It may consist of acquiring the learning data including the characteristic information corresponding to the normal transaction wallet address.
  • An apparatus for learning a detection model for detecting fraudulent transactions in virtual assets is an apparatus for learning a detection model for detecting fraudulent transactions in virtual assets.
  • a memory storing one or more programs for learning; and one or more processors that perform an operation for learning the detection model according to the one or more programs stored in the memory, wherein the processor includes information on all blocks of virtual assets and fraudulent transaction wallets identified as fraudulent transactions of virtual assets.
  • the processor Based on machine learning that acquires learning data including feature information corresponding to the fraudulent transaction wallet address obtained based on the address, and based on the learning data, takes the feature information as an input and fraudulent transaction prediction information as an output learning the detection model of , wherein the processor obtains entire transaction information corresponding to the fraudulent transaction wallet address from the total block information of the virtual asset based on the virtual asset type of the fraudulent transaction wallet address; Based on a predetermined feature for each asset type, the characteristic information corresponding to the fraudulent transaction wallet address is obtained from the entire transaction information, the learning data is obtained for each virtual asset type, and the learning data obtained for each virtual asset type is Based on this, the detection model is learned for each virtual asset type.
  • the feature information includes information on the number of transactions in which the feature extraction target wallet address is used, transaction volume information of the feature extraction target wallet address, exposure number information indicating the number of uses of the feature extraction target wallet address in all transactions, and the feature Transaction period information representing the period between the first transaction and the last transaction of the extraction target wallet address, wallet address type information of the feature extraction target wallet address, transaction fee information of the feature extraction target wallet address, and transaction of the feature extraction target wallet address It may include first characteristic information including at least one of wallet address number information indicating the number of counterparty wallet addresses.
  • the characteristic information is a statistical value obtained based on the first characteristic information and including at least one of a maximum value, a minimum value, a median value, an average value, a variance value, a skewness value, a kurtosis value, and a standard deviation value It may further include second characteristic information indicating.
  • a method for detecting fraudulent transactions in virtual assets using a detection model for achieving the above technical problem includes a memory for storing one or more programs for detecting fraudulent transactions in virtual assets using a detection model; and A detection method performed by a device including one or more processors that perform an operation for detecting an illegal transaction of a virtual asset using the detection model according to the one or more programs stored in the memory, wherein the processor performs a detection target wallet obtaining an address; obtaining, by the processor, input data including feature information corresponding to the detection target wallet address obtained based on total block information of virtual assets and the detection target wallet address; and obtaining, by the processor, fraudulent transaction detection information corresponding to the detection target wallet address based on the input data, using the detection model built in advance, wherein the detection model comprises the It is a machine learning-based model that takes input data as an input and fraudulent transaction prediction information as an output, and in the step of obtaining the input data, the entire transaction information corresponding to the detection target wallet address is obtained from the entire block information of the
  • the obtaining of the fraudulent transaction detection information may include acquiring the fraudulent transaction detection information based on the fraudulent transaction prediction information including the fraudulent transaction prediction value and the predicted fraudulent transaction type.
  • the feature information includes information on the number of transactions in which the feature extraction target wallet address is used, transaction volume information of the feature extraction target wallet address, exposure number information indicating the number of uses of the feature extraction target wallet address in all transactions, and the feature Transaction period information representing the period between the first transaction and the last transaction of the extraction target wallet address, wallet address type information of the feature extraction target wallet address, transaction fee information of the feature extraction target wallet address, and transaction of the feature extraction target wallet address It may include first characteristic information including at least one of wallet address number information indicating the number of counterparty wallet addresses.
  • the characteristic information is a statistical value obtained based on the first characteristic information and including at least one of a maximum value, a minimum value, a median value, an average value, a variance value, a skewness value, a kurtosis value, and a standard deviation value It may further include second characteristic information indicating.
  • An apparatus for detecting illegal transactions of virtual assets using a detection model for achieving the above technical problem is an apparatus for detecting illegal transactions of virtual assets using a detection model.
  • a memory for storing one or more programs for detecting fraudulent trading of virtual assets by using; and one or more processors performing an operation for detecting an illegal transaction of a virtual asset using the detection model according to the one or more programs stored in the memory, wherein the processor obtains a wallet address to be detected, and Obtains input data including feature information corresponding to the detection target wallet address acquired based on the entire asset block information and the detection target wallet address, and uses the detection model built and learned in advance to detect the input data Based on this, fraudulent transaction detection information corresponding to the detection target wallet address is obtained, and the detection model is a machine learning-based model that takes the input data as an input and fraudulent transaction prediction information as an output.
  • Full transaction information corresponding to the detection target wallet address is obtained from the entire block information of the virtual asset, and the characteristic information corresponding to the detection target wallet address is obtained from the entire transaction information based on characteristics predetermined for each virtual asset type among all characteristics.
  • the feature information includes information on the number of transactions in which the feature extraction target wallet address is used, transaction volume information of the feature extraction target wallet address, exposure number information indicating the number of uses of the feature extraction target wallet address in all transactions, and the feature Transaction period information representing the period between the first transaction and the last transaction of the extraction target wallet address, wallet address type information of the feature extraction target wallet address, transaction fee information of the feature extraction target wallet address, and transaction of the feature extraction target wallet address It may include first characteristic information including at least one of wallet address number information indicating the number of counterparty wallet addresses.
  • the characteristic information is a statistical value obtained based on the first characteristic information and including at least one of a maximum value, a minimum value, a median value, an average value, a variance value, a skewness value, a kurtosis value, and a standard deviation value It may further include second characteristic information indicating.
  • a method for learning a detection model for detecting fraudulent transactions in virtual assets a method for detecting fraudulent transactions in virtual assets using the detection model, and a device and computer program for performing them, according to a preferred embodiment of the present invention.
  • FIG. 1 is a block diagram illustrating an apparatus for detecting fraudulent transactions of virtual assets according to a preferred embodiment of the present invention.
  • FIG. 2 is a flowchart illustrating a method of learning a detection model for detecting fraudulent transactions of virtual assets according to a preferred embodiment of the present invention.
  • FIG. 3 is a diagram for explaining the learning data acquisition step shown in FIG. 2 .
  • FIG. 4 is a diagram for explaining a process of acquiring feature information shown in FIG. 3 .
  • FIG. 5 is a diagram for explaining the detection model learning step shown in FIG. 2 .
  • FIG. 6 is a diagram for explaining an example of the detection model shown in FIG. 5 .
  • FIG. 7 is a diagram for explaining a first embodiment of a method for learning a detection model for detecting fraudulent transactions of virtual assets according to a preferred embodiment of the present invention, and shows a learning data acquisition process.
  • FIG. 8 is a diagram for explaining a first embodiment of a method for learning a detection model for detecting fraudulent transactions of virtual assets according to a preferred embodiment of the present invention, and shows a detection model learning process.
  • FIG. 9 is a diagram for explaining a second embodiment of a method for learning a detection model for detecting fraudulent transactions of virtual assets according to a preferred embodiment of the present invention, and shows a process of obtaining feature information.
  • FIG. 10 is a diagram for explaining a second embodiment of a method for learning a detection model for detecting fraudulent transactions of virtual assets according to a preferred embodiment of the present invention, and shows a learning data acquisition process.
  • FIG. 11 is a diagram for explaining a second embodiment of a method for learning a detection model for detecting illegal transaction of virtual assets according to a preferred embodiment of the present invention, and shows a detection model learning process.
  • FIG. 12 is a diagram for explaining a third embodiment of a method for learning a detection model for detecting fraudulent transactions of virtual assets according to a preferred embodiment of the present invention, and shows a learning data acquisition process.
  • FIG. 13 is a diagram for explaining a third embodiment of a method for learning a detection model for detecting fraudulent transactions of virtual assets according to a preferred embodiment of the present invention, and shows a detection model learning process.
  • FIG. 14 is a diagram for explaining a fourth embodiment of a method for learning a detection model for detecting fraudulent transactions of virtual assets according to a preferred embodiment of the present invention, and shows a learning data acquisition process.
  • 15 is a diagram for explaining a fourth embodiment of a method for learning a detection model for detecting fraudulent transactions of virtual assets according to a preferred embodiment of the present invention, and shows a detection model learning process.
  • 16 is a flowchart for explaining a method for detecting fraudulent virtual asset transactions using a detection model according to a preferred embodiment of the present invention.
  • FIG. 17 is a diagram for explaining the step of acquiring input data shown in FIG. 16 .
  • FIG. 18 is a diagram for explaining a process of acquiring feature information shown in FIG. 17 .
  • FIG. 19 is a diagram for explaining the fraudulent transaction detection information acquisition step shown in FIG. 16 .
  • FIG. 20 is a diagram for explaining a first embodiment of a method for detecting fraudulent virtual asset transactions using a detection model according to a preferred embodiment of the present invention, and shows a process of obtaining input data.
  • 21 is a diagram for explaining a first embodiment of a method for detecting fraudulent transactions in virtual assets using a detection model according to a preferred embodiment of the present invention, and shows a process of obtaining fraudulent transaction detection information.
  • FIG. 22 is a diagram for explaining a second embodiment of a method for detecting fraudulent transaction of virtual assets using a detection model according to a preferred embodiment of the present invention, and shows a process of obtaining fraudulent transaction detection information.
  • 23 is a diagram for explaining a third embodiment of a method for detecting illegal transaction of virtual assets using a detection model according to a preferred embodiment of the present invention, and shows a process of acquiring input data.
  • 24 is a diagram for explaining a third embodiment of a method for detecting fraudulent transaction of virtual assets using a detection model according to a preferred embodiment of the present invention, and shows a process of obtaining fraudulent transaction detection information.
  • first and second are used to distinguish one component from another, and the scope of rights should not be limited by these terms.
  • a first component may be referred to as a second component, and similarly, the second component may also be referred to as a first component.
  • identification codes e.g., a, b, c, etc.
  • identification codes do not describe the order of each step, and each step is clearly a specific order in context. Unless specified, it may occur in a different order from the specified order. That is, each step may occur in the same order as specified, may be performed substantially simultaneously, or may be performed in the reverse order.
  • expressions such as “has”, “can have”, “includes” or “can include” indicate the existence of a corresponding feature (eg, numerical value, function, operation, or component such as a part). indicated, and does not preclude the presence of additional features.
  • FIG. 1 an apparatus for detecting fraudulent virtual asset transactions according to a preferred embodiment of the present invention will be described.
  • FIG. 1 is a block diagram illustrating an apparatus for detecting fraudulent transactions of virtual assets according to a preferred embodiment of the present invention.
  • the device 100 for detecting fraudulent transactions of virtual assets may learn a machine learning-based detection model for detecting fraudulent transactions of virtual assets.
  • the device 100 may detect fraudulent virtual asset transactions using the learned and built detection model.
  • the present invention can prevent damage to fraud and financing of terrorism using virtual assets by detecting whether a corresponding virtual asset wallet address is used for fraudulent transactions and types of fraudulent transactions prior to remittance of virtual assets.
  • the device 100 may include one or more processors 110 , a computer readable storage medium 130 and a communication bus 150 .
  • the processor 110 may control the device 100 to operate.
  • the processor 110 may execute one or more programs 131 stored in the computer readable storage medium 130 .
  • the one or more programs 131 may include one or more computer executable instructions, which, when executed by the processor 110, cause the device 100 to learn a detection model for detecting fraudulent transactions of virtual assets. and perform an operation for detecting fraudulent trading of virtual assets using the learned and built detection model.
  • the computer-readable storage medium 130 learns a detection model for detecting fraudulent transactions of virtual assets, and uses the learned and built detection model to detect fraudulent transactions of virtual assets through computer-executable instructions, program codes, program data, and and/or configured to store information in another suitable form.
  • the program 131 stored in the computer readable storage medium 130 includes a set of instructions executable by the processor 110 .
  • computer readable storage medium 130 may include memory (volatile memory such as random access memory, non-volatile memory, or a suitable combination thereof), one or more magnetic disk storage devices, optical disk storage devices, flash memory devices, other forms of storage media that can be accessed by device 100 and store desired information, or suitable combinations thereof.
  • Communication bus 150 interconnects various other components of device 100, including processor 110 and computer readable storage medium 130.
  • Device 100 may also include one or more input/output interfaces 170 and one or more communication interfaces 190 that provide interfaces for one or more input/output devices.
  • the input/output interface 170 and the communication interface 190 are connected to the communication bus 150 .
  • An input/output device (not shown) may be coupled to other components of device 100 via input/output interface 170 .
  • FIG. 2 is a flowchart for explaining a method of learning a detection model for detecting fraudulent transactions of virtual assets according to a preferred embodiment of the present invention
  • FIG. 3 is a diagram for explaining the learning data acquisition step shown in FIG. 2.
  • 4 is a diagram for explaining the acquisition process of the feature information shown in FIG. 3
  • FIG. 5 is a diagram for explaining the detection model learning step shown in FIG. 2
  • FIG. 6 is an example of the detection model shown in FIG. It is a drawing for explaining.
  • the processor 110 of the device 100 includes characteristic information corresponding to the fraudulent transaction wallet address obtained based on the total block information of the virtual asset and the fraudulent transaction wallet address identified as the virtual asset fraudulent transaction.
  • Learning data may be acquired (S110).
  • the entire block information of virtual assets refers to all information related to transactions of virtual assets (Bitcoin, Ethereum, etc.) stored based on a block chain.
  • a block in the blockchain consists of data such as "magic number”, “block size”, “block header”, “total transaction history count”, and “transaction history”. is included. Blocks are connected in the form of a chain from the genesis block to the current block, so it is called a block chain.
  • the processor 110 may collect information on all blocks of virtual assets from a trading network of virtual assets (Bitcoin, Ethereum, etc.), and may store the collected information on all blocks of virtual assets classified by virtual asset type.
  • a trading network of virtual assets (Bitcoin, Ethereum, etc.)
  • the processor 110 may obtain characteristic information for each of a plurality of fraudulent transaction wallet addresses identified as fraudulent virtual asset transactions and pre-stored.
  • the feature information is a feature related to a feature extraction target wallet address, which is a virtual asset wallet address from which feature information is to be extracted, and refers to information extracted from the entire block information of virtual assets.
  • the feature information includes information on the number of transactions in which the feature extraction target wallet address was used, transaction volume information of the feature extraction target wallet address, exposure number information indicating the number of feature extraction target wallet addresses used in all transactions, and feature extraction target wallet address information.
  • Transaction period information indicating the period between the first transaction and the last transaction, wallet address type information of the feature extraction target wallet address, transaction fee information of the feature extraction target wallet address, and the number of transaction counterparty wallet addresses of the feature extraction target wallet address
  • It may include first characteristic information including at least one of wallet address number information.
  • the first feature information may include features such as [Table 1].
  • the first characteristic information may include all or part of detailed characteristics corresponding to each characteristic type of the first characteristic information.
  • Characteristic types of the first characteristic information Detailed features
  • Transaction count information The number of transactions in which the feature extraction target wallet address was used as the sending address - The number of transactions where the feature extraction target wallet address was used as the destination address - The number of transactions in which the feature extraction target wallet address was used as a sending or receiving address trading volume information - The amount of virtual assets traded when the feature extraction target wallet address is the sending address - Total sum of virtual assets traded when the feature extraction target wallet address is the sending address - The amount of virtual assets transacted when the feature extraction target wallet address is the receiving address - Total sum of virtual assets traded when the feature extraction target wallet address is the receiving address - Total sum of virtual assets traded when the feature extraction target wallet address is the sending or receiving address Impression count information - The number of times used in transactions when the wallet address for feature extraction is the sending address - The number of times used in transactions when the wallet address for feature extraction is the destination address - The number of times used in transactions when the feature extraction target wallet address is the sending or receiving address Trade Term Information - Transaction time when the feature
  • the feature information is obtained based on the first feature information, and includes a MAX value, a MIN value, a MEDIAN value, a MEAN value, a VARIANCE value, and skewness.
  • Second characteristic information indicating a statistical value including at least one of a SKEWNESS value, a kurtosis value, and a standard deviation value may be further included.
  • the second feature information may be composed of features such as [Table 2].
  • the second characteristic information may include all or part of detailed characteristics corresponding to each characteristic type of the second characteristic information.
  • Characteristic type of the second characteristic information Detailed features max value - Maximum value of transaction number information - Maximum value of trading volume information - Maximum value of exposure count information - Maximum value of trading period information - Maximum value of transaction fee information - Maximum value of wallet address number information minimum - Minimum value of transaction count information - Minimum value of trading volume information - Minimum value of impression count information - Minimum value of trading period information - Minimum value of transaction fee information - Minimum value of wallet address number information median - Median value of transaction count information - Median value of trading volume information - Median value of impression count information - Median value of trading period information - Median value of transaction fee information - Median value of wallet address number information medium - Average value of transaction number information - Average value of trading volume information - Average value of impression count information - Average value of trading period information - Average value of transaction fee information - Average value of wallet address number information variance value - Variance value of transaction number information - Variance value of trading volume information - Variance value of impression number information - Variance value of trading
  • the processor 110 obtains characteristic information (characteristic information 1 to characteristic information n) from each of a plurality of fraudulent transaction wallet addresses (illegal transaction wallet address 1 to fraudulent transaction wallet address n). can At this time, the processor 110 may obtain entire transaction information corresponding to the fraudulent transaction wallet address from the entire block information of the virtual asset, and acquire feature information corresponding to the fraudulent transaction wallet address based on the entire transaction information. For example, as shown in FIG. 4, the processor 110 obtains entire transaction information consisting of transaction information related to the fraudulent transaction wallet address from the entire block information of virtual assets, and based on the obtained total transaction information, the fraudulent transaction wallet. Characteristic information corresponding to the address may be obtained.
  • the processor 110 may obtain learning data including characteristic information obtained from each of a plurality of fraudulent transaction wallet addresses and corresponding fraudulent transaction information.
  • the fraudulent transaction existence information refers to information indicating whether the corresponding virtual asset wallet address has been used for fraudulent transactions.
  • the fraudulent transaction existence information may have a value of '1' if the corresponding virtual asset wallet address is used for fraudulent transactions, and may have a value of '0' if the corresponding virtual asset wallet address is not used for fraudulent transactions.
  • the processor 110 includes characteristic information (characteristic information 1 to characteristic information n) obtained from each of a plurality of fraudulent transaction wallet addresses (illegal transaction wallet address 1 to fraudulent transaction wallet address n). Learning data including fraudulent transaction presence/absence information corresponding thereto (false transaction presence information 1 to fraudulent transaction presence information n) may be obtained.
  • the processor 110 may learn a machine learning-based detection model having feature information as an input and fraudulent transaction prediction information as an output based on the learning data (S120).
  • the processor 110 sets the characteristic information of the learning data as an input of the detection model and the fraudulent transaction information of the learning data as the correct answer label of the detection model. Based on this, it is possible to build a detection model by repeatedly learning the detection model.
  • the detection model may output fraudulent transaction prediction information including fraudulent transaction prediction values.
  • the fraudulent transaction prediction value is a value indicating the probability that the corresponding virtual asset wallet address will be used for fraudulent transactions, and may have a value between 0 and 1. The closer the fraudulent transaction prediction value is to 1, the higher the possibility of being used for fraudulent transactions, and the closer the fraudulent transaction prediction value is to 0, the lower the likelihood of fraudulent transactions.
  • the detection model may be a random forest-based model composed of a plurality of trees. That is, the detection model obtains prediction values from each of a plurality of trees based on input feature information, obtains a prediction value of fraudulent transactions by averaging a plurality of prediction values obtained from a plurality of trees, and predicts fraudulent transactions including the prediction values of fraudulent transactions. information can be printed.
  • FIG. 7 is a diagram for explaining a first embodiment of a method for learning a detection model for detecting fraudulent transaction of virtual assets according to a preferred embodiment of the present invention, showing a learning data acquisition process
  • FIG. 8 is a preferred embodiment of the present invention.
  • the processor 110 of the device 100 obtains learning data using not only the fraudulent transaction wallet address identified as a virtual asset fraudulent transaction, but also the normal transaction wallet address identified as a normal transaction. can
  • the processor 110 may acquire characteristic information for each of a plurality of normal transaction wallet addresses identified as normal transactions of virtual assets and stored in advance.
  • the processor 110 may obtain learning data including feature information corresponding to the fraudulent transaction wallet address and feature information corresponding to the normal transaction wallet address.
  • the fraudulent transaction status information corresponding to the fraudulent transaction wallet address may have a value of '1'
  • the fraudulent transaction status information corresponding to the normal transaction wallet address may have a value of '0'.
  • the processor 110 includes characteristic information (characteristic information 1 to characteristic information n) obtained from each of a plurality of fraudulent transaction wallet addresses (illegal transaction wallet address 1 to fraudulent transaction wallet address n). Corresponding fraudulent transaction information (false transaction information 1 ⁇ fraudulent transaction information n), as well as characteristic information obtained from each of a plurality of normal transaction wallet addresses (normal transaction wallet address 1 ⁇ normal transaction wallet address n) (characteristic It is possible to obtain learning data including information 1 to characteristic information n) and corresponding fraudulent transaction existence information (false transaction existence information 1 to fraudulent transaction existence information n).
  • the processor 110 uses the characteristic information of the fraudulent transaction wallet address and the characteristic information of the normal transaction wallet address included in the training data as inputs to the detection model, and A detection model can be learned by using information on whether or not there is an illegal transaction with respect to the transaction wallet address and information whether or not there is an illegal transaction with respect to the normal transaction wallet address as an answer label of the detection model.
  • FIG. 9 is a diagram for explaining a second embodiment of a method for learning a detection model for detecting fraudulent transaction of virtual assets according to a preferred embodiment of the present invention, showing a process of obtaining feature information
  • FIG. 10 is a preferred embodiment of the present invention.
  • the processor 110 of the device 100 determines the fraudulent transaction wallet address based on the virtual asset type of the fraudulent transaction wallet address in the total block information of virtual assets in which total block information is divided by virtual asset type. All transaction information corresponding to the address can be obtained.
  • the virtual asset type refers to the type of virtual asset such as Bitcoin and Ethereum.
  • the processor 110 may obtain feature information corresponding to the fraudulent transaction wallet address from the entire transaction information corresponding to the fraudulent transaction wallet address, based on a predetermined characteristic for each virtual asset type among all characteristics.
  • the processor 110 uses preset feature extraction criterion information such as [Table 3] and [Table 4] among all features according to the first feature information of [Table 1] and the second feature information of [Table 2]. Accordingly, it is possible to obtain characteristic information corresponding to the fraudulent transaction wallet address based on the virtual asset type of the fraudulent transaction wallet address.
  • [Table 3] shows examples of features used when the virtual asset type is "Bitcoin”
  • [Table 4] shows examples of features used when the virtual asset type is "Ethereum”.
  • Second feature information Transaction count information - The number of transactions in which the feature extraction target wallet address was used as the sending address - The number of transactions where the feature extraction target wallet address was used as the destination address - The number of transactions in which the feature extraction target wallet address was used as a sending or receiving address trading volume information - The amount of virtual assets traded when the feature extraction target wallet address is the sending address - Total sum of virtual assets traded when the feature extraction target wallet address is the sending address - The amount of virtual assets transacted when the feature extraction target wallet address is the receiving address - Total sum of virtual assets traded when the feature extraction target wallet address is the receiving address - Total sum of virtual assets traded when the feature extraction target wallet address is the sending or receiving address Impression count information - The number of times used in transactions when the wallet address for feature extraction is the sending address - The number of times used in transactions when the wallet address for feature extraction is the destination address - The number of times used in transactions when the feature extraction target wallet address is the sending or receiving address Trade Term Information - The number of times used in transactions when the wallet address for feature
  • Second feature information Transaction count information - The number of transactions in which the feature extraction target wallet address was used as the sending address - The number of transactions where the feature extraction target wallet address was used as the destination address - The number of transactions in which the feature extraction target wallet address was used as a sending or receiving address trading volume information - The amount of virtual assets traded when the feature extraction target wallet address is the sending address - Total sum of virtual assets traded when the feature extraction target wallet address is the sending address - The amount of virtual assets transacted when the feature extraction target wallet address is the receiving address - Total sum of virtual assets traded when the feature extraction target wallet address is the receiving address - Total sum of virtual assets traded when the feature extraction target wallet address is the sending or receiving address
  • Transaction fee information - Transaction fee of feature extraction target wallet address Trade Term Information - Transaction time when the feature extraction target wallet address is the sending address - The period between the transaction when the feature extraction target wallet address is the first sending address and the last sending address - Transaction time when the feature extraction target wallet address is the receiving address - The
  • the processor 110 may acquire learning data for each virtual asset type, as shown in FIG. 10 , by performing a process of acquiring feature information corresponding to such fraudulent transaction wallet addresses for each virtual asset type. Also, the processor 110 may learn a detection model for each virtual asset type based on the learning data acquired for each virtual asset type. For example, as shown in FIG. 11 , the processor 110 learns the detection model 1 for virtual asset type 1 based on the training data 1 for virtual asset type 1, and the learning data n for virtual asset type n. Based on this, detection model n for virtual asset type n can be learned.
  • FIG. 12 is a diagram for explaining a third embodiment of a method for learning a detection model for detecting fraudulent transaction of virtual assets according to a preferred embodiment of the present invention, showing a learning data acquisition process
  • FIG. 13 is a preferred embodiment of the present invention.
  • the processor 110 of the device 100 provides characteristic information corresponding to the fraudulent transaction wallet address and corresponding fraudulent transaction information, as well as fraudulent transaction type information corresponding to the fraudulent transaction wallet address. It is possible to obtain learning data including.
  • the fraudulent transaction type information refers to information indicating the type of fraudulent transaction when the corresponding virtual asset wallet address is used for fraudulent transaction.
  • Types of fraudulent transactions include investment fraud, malicious code, illegal transactions, money laundering, and exchange hacking.
  • the processor 110 takes the characteristic information of the learning data as an input of the detection model, and sets the fraudulent transaction presence information and fraudulent transaction type information of the learning data as the correct answer label of the detection model to learn the detection model. there is.
  • the detection model may output fraudulent transaction prediction information including a fraudulent transaction prediction value and a predicted fraudulent transaction type.
  • the fraudulent transaction type may indicate a type of fraudulent transaction that is highly likely to belong to when the corresponding virtual asset wallet address is used for fraudulent transactions.
  • the fraudulent transaction type may indicate the type of fraudulent transaction to which the fraudulent transaction of the corresponding virtual asset wallet address is most likely to belong among various types of fraudulent transaction.
  • FIG. 14 is a diagram for explaining a fourth embodiment of a method for learning a detection model for detecting fraudulent transaction of virtual assets according to a preferred embodiment of the present invention, showing a learning data acquisition process
  • FIG. 15 is a preferred embodiment of the present invention.
  • the processor 110 of the device 100 divides characteristic information corresponding to fraudulent transaction wallet addresses into common characteristic information and dedicated characteristic information based on characteristics predetermined for each virtual asset type among all characteristics. can be obtained separately.
  • the feature extraction criterion information may include information on common features that are commonly used regardless of virtual asset types among all features and information on exclusive features for each virtual asset type representing features used only in a specific virtual asset. for example,
  • the processor 110 uses the preset feature extraction reference information as shown in [Table 5] among all features according to the first feature information of [Table 1] and the second feature information of [Table 2] to address fraudulent transaction wallets. Based on the virtual asset type of , it is possible to obtain common characteristic information and exclusive characteristic information corresponding to the fraudulent transaction wallet address.
  • the processor 110 obtains common learning data including all of the common characteristic information obtained based on the fraudulent transaction wallet address regardless of the virtual asset type, and based on the fraudulent transaction wallet address.
  • a plurality of dedicated learning data may be obtained by classifying the acquired exclusive feature information by virtual asset type.
  • the processor 110 learns a common detection model that can be used regardless of the virtual asset type based on the common learning data included in the learning data, and the common learning data included in the learning data and the virtual asset included in the learning data.
  • a dedicated detection model for each virtual asset type can be learned based on dedicated training data for each type. For example, as shown in FIG.
  • the processor 110 learns a common detection model using common training data, and uses the common training data and dedicated training data 1 to generate a dedicated detection model 1 for virtual asset type 1.
  • a dedicated detection model n for virtual asset type n may be learned using the common training data and the dedicated training data n.
  • the method for learning a detection model for detecting fraudulent transaction of virtual assets includes the first embodiment (see FIGS. 7 and 8), the second embodiment (see FIGS. 9 to 11), and the third embodiment described above. Examples (see FIGS. 12 and 13) and the fourth embodiment (see FIGS. 14 and 15), or a learning method according to one embodiment, or a plurality of embodiments among the first to fourth embodiments. It can also be done with a combined learning method.
  • FIG. 16 is a flowchart for explaining a method for detecting fraudulent virtual asset transactions using a detection model according to a preferred embodiment of the present invention
  • FIG. 17 is a diagram for explaining the input data acquisition step shown in FIG. 16
  • FIG. 18 is a diagram for explaining the acquisition process of characteristic information shown in FIG. 17,
  • FIG. 19 is a diagram for explaining the fraudulent transaction detection information acquisition step shown in FIG.
  • the processor 110 of the device 100 may acquire a wallet address to be detected (S210).
  • the detection target wallet address may be a virtual asset wallet address provided from a user terminal (not shown).
  • the user uses the device 100 according to the present invention to detect fraudulent transactions by using the other party's wallet address as the detection target wallet address in order to check whether the other party's wallet address is fraudulently transacted before trading his/her virtual assets with the other party.
  • the detection target wallet address may be a newly opened virtual asset wallet address for trading virtual assets.
  • the detection target wallet address may be a newly opened wallet address, and may be provided through a virtual asset exchange or the like.
  • the processor 110 may obtain input data including characteristic information corresponding to the detection target wallet address obtained based on the total block information of the virtual asset and the detection target wallet address (S220).
  • the processor 110 obtains characteristic information corresponding to the detection target wallet address from the entire virtual asset block information, and based on the entire transaction information, the characteristic information corresponding to the detection target wallet address Characteristic information can be obtained.
  • the processor 110 may obtain entire transaction information corresponding to the detection target wallet address from the entire virtual asset block information, and acquire feature information corresponding to the detection target wallet address based on the entire transaction information. For example, as shown in FIG. 18, the processor 110 obtains entire transaction information consisting of transaction information related to the wallet address to be detected from all block information of virtual assets, and the wallet to be detected based on the entire acquired transaction information. Characteristic information corresponding to the address may be obtained.
  • the processor 110 may obtain input data including feature information corresponding to the detection target wallet address.
  • the processor 110 may obtain fraudulent transaction detection information corresponding to the detection target wallet address based on the input data using the previously learned and built detection model (S230).
  • the detection model may be a machine learning-based model that takes input data, that is, feature information, as an input and fraudulent transaction prediction information including a fraudulent transaction prediction value as an output.
  • the processor 110 may input input data to a detection model and obtain fraudulent transaction detection information based on fraudulent transaction prediction information that is an output of the detection model.
  • the processor 110 may obtain fraudulent transaction detection information based on the fraudulent transaction prediction information corresponding to the detection target wallet address, that is, the fraudulent transaction prediction value and the preset fraudulent transaction reference value. For example, when the fraudulent transaction reference value is set to "0.7", the processor 110 obtains fraudulent transaction detection information of "high probability of fraudulent transaction” when the fraudulent transaction prediction value corresponding to the detection target wallet address is greater than or equal to "0.7", , If the fraudulent transaction prediction value is lower than “0.7”, fraudulent transaction detection information of “low probability of fraudulent transaction” may be obtained.
  • the processor 110 may obtain one grade according to the fraudulent transaction prediction value corresponding to the detection target wallet address among a plurality of grades according to the fraudulent transaction prediction value, and acquire the acquired grade as fraudulent transaction detection information. For example, if the predicted value of fraudulent transaction is "0 ⁇ 0.3", the rating is "low probability of fraudulent transaction”, if the predicted value of fraudulent transaction is "0.3 ⁇ 0.7”, the rating is "normal probability of fraudulent transaction”, and if the predicted value of fraudulent transaction is "0.7” ⁇ 1", if the level is set to "high probability of fraudulent transaction", the processor 110 checks the corresponding level based on the fraudulent transaction prediction value corresponding to the detection target wallet address, and obtains the checked level as fraudulent transaction detection information.
  • the processor 110 checks the corresponding level based on the fraudulent transaction prediction value corresponding to the detection target wallet address, and obtains the checked level as fraudulent transaction detection information.
  • the processor 110 may acquire fraudulent transaction detection information by expressing the fraudulent transaction prediction information corresponding to the detection target wallet address, that is, the fraudulent transaction prediction value itself as a percentile. For example, if the fraudulent transaction prediction value corresponding to the detection target wallet address is “0.78”, the processor 110 may obtain “78%” as the fraudulent transaction detection information of the detection target wallet address.
  • the processor 110 may provide fraudulent transaction detection information corresponding to the detection target wallet address (S240).
  • the processor 110 may provide fraudulent transaction detection information corresponding to the detection target wallet address to the corresponding user terminal. Then, the corresponding user can determine whether or not to continue trading with the counterparty based on fraudulent transaction detection information before transacting his/her virtual assets with the counterparty.
  • FIG. 20 is a diagram for explaining a first embodiment of a method for detecting fraudulent virtual asset transactions using a detection model according to a preferred embodiment of the present invention, showing a process of acquiring input data
  • FIG. 21 is a preferred embodiment of the present invention.
  • the processor 110 of the device 100 detects the target wallet based on the virtual asset type of the detection target wallet address in the entire block information of virtual assets in which the entire block information is divided for each virtual asset type. All transaction information corresponding to the address can be obtained.
  • the processor 110 may obtain feature information corresponding to the detection target wallet address from the entire transaction information corresponding to the detection target wallet address based on a predetermined feature for each virtual asset type among all characteristics.
  • the processor 110 uses preset feature extraction criterion information such as [Table 3] and [Table 4] among all features according to the first feature information of [Table 1] and the second feature information of [Table 2]. Accordingly, it is possible to obtain characteristic information corresponding to the detection target wallet address based on the virtual asset type of the detection target wallet address.
  • the processor 110 may select a detection model corresponding to the detection target wallet address based on the virtual asset type of the detection target wallet address from the detection models built for each virtual asset type.
  • the processor 110 may input input data to the selected detection model and obtain fraudulent transaction detection information based on fraudulent transaction prediction information that is an output of the selected detection model.
  • FIG. 22 is a diagram for explaining a second embodiment of a method for detecting fraudulent transaction of virtual assets using a detection model according to a preferred embodiment of the present invention, and shows a process of obtaining fraudulent transaction detection information.
  • the processor 110 of the device 100 may input input data of a detection target wallet address into a detection model and obtain fraudulent transaction detection information based on fraudulent transaction prediction information output of the detection model. there is.
  • the fraudulent transaction prediction information may include an fraudulent transaction prediction value and a predicted fraudulent transaction type.
  • the processor 110 not only detects fraudulent transaction detection information obtained based on the fraudulent transaction prediction value corresponding to the target wallet address, but also provides information about the type of fraudulent transaction that is likely to belong when the target wallet address is used for fraudulent transactions. Fraudulent transaction detection information further including information may be obtained.
  • the processor 110 may obtain fraudulent transaction detection information including the predicted fraudulent transaction type only when the probability of fraudulent transaction obtained based on the fraudulent transaction prediction value corresponding to the detection target wallet address is equal to or greater than a preset standard.
  • the processor 110 outputs the detection model when the fraudulent transaction prediction value corresponding to the detection target wallet address is greater than the fraudulent transaction reference value of “0.7” or the rating according to the fraudulent transaction prediction value is “high probability of fraudulent transaction”.
  • Fraudulent transaction detection information further including information on the type of fraudulent transaction predicted based on the “expected fraudulent transaction type” may be obtained.
  • FIG. 23 is a diagram for explaining a third embodiment of a method for detecting fraudulent virtual asset transactions using a detection model according to a preferred embodiment of the present invention, showing a process of acquiring input data
  • FIG. 24 is a preferred embodiment of the present invention.
  • the processor 110 of the device 100 obtains feature information corresponding to the detection target wallet address by dividing it into common feature information and dedicated feature information based on preset feature extraction criterion information. can do.
  • the feature extraction criterion information may include information on common features that are commonly used regardless of virtual asset types among all features and information on exclusive features for each virtual asset type representing features used only in a specific virtual asset.
  • the processor 110 uses the preset feature extraction criterion information as shown in [Table 5] among all features according to the first feature information of [Table 1] and the second feature information of [Table 2] to detect the wallet address to be detected.
  • Common characteristic information and dedicated characteristic information corresponding to the wallet address to be detected can be obtained based on the virtual asset type of .
  • the processor 110 may select a dedicated detection model corresponding to the detection target wallet address based on the virtual asset type of the detection target wallet address from the dedicated detection models built for each virtual asset type.
  • the processor 110 may input common feature information of the input data to a pre-built common detection model and obtain fraudulent transaction prediction information as an output of the common detection model.
  • the processor 110 may input common feature information and dedicated feature information of the input data to the selected dedicated detection model, and obtain fraudulent transaction prediction information as an output of the selected dedicated detection model.
  • the processor 110 may obtain fraudulent transaction detection information for the detection target wallet address based on fraudulent transaction prediction information, which is an output of the common detection model, and fraudulent transaction prediction information, which is an output of the selected dedicated detection model.
  • the processor 110 obtains an average of the fraudulent transaction prediction value, which is the output of the common detection model, and the fraudulent transaction prediction value, which is the output of the selected dedicated detection model, as the final fraudulent transaction prediction value corresponding to the wallet address to be detected, and obtains the final fraudulent transaction prediction value.
  • Fraudulent transaction detection information may be obtained based on the fraudulent transaction prediction value.
  • the processor 110 may obtain a value obtained by weighting the fraudulent transaction prediction value, which is the output of the common detection model, and the fraudulent transaction prediction value, which is the output of the selected dedicated detection model, as the final fraudulent transaction prediction value corresponding to the detection target wallet address.
  • Operations according to the present embodiments may be implemented in the form of program instructions that can be executed through various computer means and recorded in a computer readable storage medium.
  • a computer readable storage medium refers to any medium that participates in providing instructions to a processor for execution.
  • a computer readable storage medium may include program instructions, data files, data structures, or combinations thereof. For example, there may be a magnetic medium, an optical recording medium, a memory, and the like.
  • the computer program may be distributed over networked computer systems so that computer readable codes are stored and executed in a distributed manner. Functional programs, codes, and code segments for implementing this embodiment may be easily inferred by programmers in the art to which this embodiment belongs.

Landscapes

  • Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Business, Economics & Management (AREA)
  • Strategic Management (AREA)
  • Finance (AREA)
  • Software Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Security & Cryptography (AREA)
  • Artificial Intelligence (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Mathematical Physics (AREA)
  • Signal Processing (AREA)
  • Medical Informatics (AREA)
  • Evolutionary Computation (AREA)
  • Data Mining & Analysis (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)

Abstract

본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법, 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법 및 이들을 수행하는 장치 및 컴퓨터 프로그램은, 가상 자산 부정 거래 탐지를 위한 머신 러닝 기반의 탐지 모델을 학습하고, 학습되어 구축된 탐지 모델을 이용하여 가상 자산 부정 거래를 탐지함으로써, 가상 자산 송금 이전에 해당 가상 자산 지갑 주소의 부정 거래 사용 여부 및 부정 거래 유형을 탐지하여 가상 자산을 이용한 사기 피해, 테러 자금 조달 등을 예방할 수 있다.

Description

가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법, 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법 및 이들을 수행하는 장치 및 컴퓨터 프로그램
본 발명은 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법, 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법 및 이들을 수행하는 장치 및 컴퓨터 프로그램에 관한 것으로서, 더욱 상세하게는 가상 자산의 부정 거래를 탐지하는, 방법, 장치 및 컴퓨터 프로그램에 관한 것이다.
본 연구는 2020년~2023년도 과학기술정보통신부의 재원으로 정보통신기획평가원의 지원을 받아 한국인터넷진흥원 주관으로 수행된 "가상자산 부정거래 등 사이버범죄 활동 정보 추적 기술(No. 1711117111)"과 관련된다.
기존 가상 자산 부정 거래 탐지 시스템은 단순히 기존에 부정 거래 지갑 주소로 식별된 지갑 주소와 직간접적으로 연관이 있는 지갑 주소를 부정 거래 지갑 주소로 탐지하고 있다.
본 발명이 이루고자 하는 목적은, 가상 자산 부정 거래 탐지를 위한 머신 러닝 기반의 탐지 모델을 학습하고, 학습되어 구축된 탐지 모델을 이용하여 가상 자산 부정 거래를 탐지하는, 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법, 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법 및 이들을 수행하는 장치 및 컴퓨터 프로그램을 제공하는 데 있다.
본 발명의 명시되지 않은 또 다른 목적들은 하기의 상세한 설명 및 그 효과로부터 용이하게 추론할 수 있는 범위 내에서 추가적으로 고려될 수 있다.
상기의 기술적 과제를 달성하기 위한 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법은, 가상 자산 부정 거래 탐지를 위한 탐지 모델을 학습하기 위한 하나 이상의 프로그램을 저장하는 메모리 및 상기 메모리에 저장된 상기 하나 이상의 프로그램에 따라 상기 탐지 모델을 학습하기 위한 동작을 수행하는 하나 이상의 프로세서를 포함하는 장치에 의해 수행되는 학습 방법으로서, 상기 프로세서가, 가상 자산 전체 블록 정보 및 가상 자산 부정 거래로 식별된 부정 거래 지갑 주소를 기반으로 획득한 상기 부정 거래 지갑 주소에 대응되는 특징 정보를 포함하는 학습 데이터를 획득하는 단계; 및 상기 프로세서가, 상기 학습 데이터를 기반으로, 상기 특징 정보를 입력으로 하고 부정 거래 예측 정보를 출력으로 하는 머신 러닝 기반의 상기 탐지 모델을 학습하는 단계;를 포함하며, 상기 학습 데이터 획득 단계는, 상기 부정 거래 지갑 주소의 가상 자산 유형을 기반으로 상기 가상 자산 전체 블록 정보에서 상기 부정 거래 지갑 주소에 대응되는 전체 트랜잭션 정보를 획득하고, 전체 특징 중에서 가상 자산 유형별로 미리 결정된 특징을 기반으로 상기 전체 트랜잭션 정보에서 상기 부정 거래 지갑 주소에 대응되는 상기 특징 정보를 획득하며, 가상 자산 유형별로 상기 학습 데이터를 획득하는 것으로 이루어지고, 상기 탐지 모델 학습 단계는, 가상 자산 유형별로 획득한 상기 학습 데이터를 기반으로, 가상 자산 유형별로 상기 탐지 모델을 학습하는 것으로 이루어질 수 있다.
여기서, 상기 학습 데이터 획득 단계는, 상기 부정 거래 지갑 주소에 대응되는 특징 정보 및 상기 부정 거래 지갑 주소에 대응되는 부정 거래 유형 정보를 포함하는 상기 학습 데이터를 획득하는 것으로 이루어질 수 있다.
여기서, 상기 탐지 모델 학습 단계는, 상기 학습 데이터를 기반으로, 부정 거래 예측값 및 예측되는 부정 거래 유형을 포함하는 상기 부정 거래 예측 정보를 출력하는 상기 탐지 모델을 학습하는 것으로 이루어질 수 있다.
여기서, 상기 특징 정보는, 특징 추출 대상 지갑 주소가 사용된 트랜잭션 개수 정보, 상기 특징 추출 대상 지갑 주소의 거래량 정보, 전체 트랜잭션에서 상기 특징 추출 대상 지갑 주소가 사용된 개수를 나타내는 노출 개수 정보, 상기 특징 추출 대상 지갑 주소의 첫 거래와 마지막 거래 사이의 기간을 나타내는 거래 기간 정보, 상기 특징 추출 대상 지갑 주소의 지갑 주소 타입 정보, 상기 특징 추출 대상 지갑 주소의 트랜잭션 수수료 정보 및 상기 특징 추출 대상 지갑 주소의 거래 상대방인 지갑 주소의 개수를 나타내는 지갑 주소 개수 정보 중 적어도 하나를 포함하는 제1 특징 정보를 포함할 수 있다.
여기서, 상기 특징 정보는, 상기 제1 특징 정보를 기반으로 획득되고, 최대값, 최소값, 중간값, 평균값, 분산값, 왜도값, 첨도값 및 표준편차값 중 적어도 하나를 포함하는 통계값을 나타내는 제2 특징 정보를 더 포함할 수 있다.
여기서, 상기 학습 데이터 획득 단계는, 정상 거래 지갑 주소를 기반으로 상기 가상 자산 전체 블록 정보에서 상기 정상 거래 지갑 주소에 대응되는 상기 특징 정보를 획득하고, 상기 부정 거래 지갑 주소에 대응되는 상기 특징 정보 및 상기 정상 거래 지갑 주소에 대응되는 상기 특징 정보를 포함하는 상기 학습 데이터를 획득하는 것으로 이루어질 수 있다.
상기의 기술적 과제를 달성하기 위한 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델을 학습하는 장치는, 가상 자산 부정 거래 탐지를 위한 탐지 모델을 학습하는 장치로서, 상기 탐지 모델을 학습하기 위한 하나 이상의 프로그램을 저장하는 메모리; 및 상기 메모리에 저장된 상기 하나 이상의 프로그램에 따라 상기 탐지 모델을 학습하기 위한 동작을 수행하는 하나 이상의 프로세서;를 포함하며, 상기 프로세서는, 가상 자산 전체 블록 정보 및 가상 자산 부정 거래로 식별된 부정 거래 지갑 주소를 기반으로 획득한 상기 부정 거래 지갑 주소에 대응되는 특징 정보를 포함하는 학습 데이터를 획득하고, 상기 학습 데이터를 기반으로, 상기 특징 정보를 입력으로 하고 부정 거래 예측 정보를 출력으로 하는 머신 러닝 기반의 상기 탐지 모델을 학습하며, 상기 프로세서는, 상기 부정 거래 지갑 주소의 가상 자산 유형을 기반으로 상기 가상 자산 전체 블록 정보에서 상기 부정 거래 지갑 주소에 대응되는 전체 트랜잭션 정보를 획득하고, 전체 특징 중에서 가상 자산 유형별로 미리 결정된 특징을 기반으로 상기 전체 트랜잭션 정보에서 상기 부정 거래 지갑 주소에 대응되는 상기 특징 정보를 획득하며, 가상 자산 유형별로 상기 학습 데이터를 획득하고, 가상 자산 유형별로 획득한 상기 학습 데이터를 기반으로, 가상 자산 유형별로 상기 탐지 모델을 학습한다.
여기서, 상기 특징 정보는, 특징 추출 대상 지갑 주소가 사용된 트랜잭션 개수 정보, 상기 특징 추출 대상 지갑 주소의 거래량 정보, 전체 트랜잭션에서 상기 특징 추출 대상 지갑 주소가 사용된 개수를 나타내는 노출 개수 정보, 상기 특징 추출 대상 지갑 주소의 첫 거래와 마지막 거래 사이의 기간을 나타내는 거래 기간 정보, 상기 특징 추출 대상 지갑 주소의 지갑 주소 타입 정보, 상기 특징 추출 대상 지갑 주소의 트랜잭션 수수료 정보 및 상기 특징 추출 대상 지갑 주소의 거래 상대방인 지갑 주소의 개수를 나타내는 지갑 주소 개수 정보 중 적어도 하나를 포함하는 제1 특징 정보를 포함할 수 있다.
여기서, 상기 특징 정보는, 상기 제1 특징 정보를 기반으로 획득되고, 최대값, 최소값, 중간값, 평균값, 분산값, 왜도값, 첨도값 및 표준편차값 중 적어도 하나를 포함하는 통계값을 나타내는 제2 특징 정보를 더 포함할 수 있다.
상기의 기술적 과제를 달성하기 위한 본 발명의 바람직한 실시예에 따른 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법은, 탐지 모델을 이용하여 가상 자산 부정 거래를 탐지하기 위한 하나 이상의 프로그램을 저장하는 메모리 및 상기 메모리에 저장된 상기 하나 이상의 프로그램에 따라 상기 탐지 모델을 이용하여 가상 자산 부정 거래를 탐지하기 위한 동작을 수행하는 하나 이상의 프로세서를 포함하는 장치에 의해 수행되는 탐지 방법으로서, 상기 프로세서가, 탐지 대상 지갑 주소를 획득하는 단계; 상기 프로세서가, 가상 자산 전체 블록 정보 및 상기 탐지 대상 지갑 주소를 기반으로 획득한 상기 탐지 대상 지갑 주소에 대응되는 특징 정보를 포함하는 입력 데이터를 획득하는 단계; 및 상기 프로세서가, 미리 학습되어 구축된 상기 탐지 모델을 이용하여, 상기 입력 데이터를 기반으로 상기 탐지 대상 지갑 주소에 대응되는 부정 거래 탐지 정보를 획득하는 단계;를 포함하며, 상기 탐지 모델은, 상기 입력 데이터를 입력으로 하고 부정 거래 예측 정보를 출력으로 하는 머신 러닝 기반의 모델이고, 상기 입력 데이터 획득 단계는, 상기 탐지 대상 지갑 주소에 대응되는 전체 트랜잭션 정보를 상기 가상 자산 전체 블록 정보에서 획득하고, 전체 특징 중에서 가상 자산 유형별로 미리 결정된 특징을 기반으로 상기 전체 트랜잭션 정보에서 상기 탐지 대상 지갑 주소에 대응되는 상기 특징 정보를 획득하는 것으로 이루어지며, 상기 부정 거래 탐지 정보 획득 단계는, 가상 자산 유형별로 구축된 상기 탐지 모델 중에서 상기 탐지 대상 지갑 주소의 가상 자산 유형을 기반으로 선택된 상기 탐지 모델에 상기 입력 데이터를 입력하고, 상기 탐지 모델의 출력인 상기 부정 거래 예측 정보를 기반으로 상기 부정 거래 탐지 정보를 획득하는 것으로 이루어질 수 있다.
여기서, 상기 부정 거래 탐지 정보 획득 단계는, 부정 거래 예측값 및 예측되는 부정 거래 유형을 포함하는 상기 부정 거래 예측 정보를 기반으로 상기 부정 거래 탐지 정보를 획득하는 것으로 이루어질 수 있다.
여기서, 상기 특징 정보는, 특징 추출 대상 지갑 주소가 사용된 트랜잭션 개수 정보, 상기 특징 추출 대상 지갑 주소의 거래량 정보, 전체 트랜잭션에서 상기 특징 추출 대상 지갑 주소가 사용된 개수를 나타내는 노출 개수 정보, 상기 특징 추출 대상 지갑 주소의 첫 거래와 마지막 거래 사이의 기간을 나타내는 거래 기간 정보, 상기 특징 추출 대상 지갑 주소의 지갑 주소 타입 정보, 상기 특징 추출 대상 지갑 주소의 트랜잭션 수수료 정보 및 상기 특징 추출 대상 지갑 주소의 거래 상대방인 지갑 주소의 개수를 나타내는 지갑 주소 개수 정보 중 적어도 하나를 포함하는 제1 특징 정보를 포함할 수 있다.
여기서, 상기 특징 정보는, 상기 제1 특징 정보를 기반으로 획득되고, 최대값, 최소값, 중간값, 평균값, 분산값, 왜도값, 첨도값 및 표준편차값 중 적어도 하나를 포함하는 통계값을 나타내는 제2 특징 정보를 더 포함할 수 있다.
상기의 기술적 과제를 달성하기 위한 본 발명의 바람직한 실시예에 따른 탐지 모델을 이용하여 가상 자산 부정 거래를 탐지하는 장치는, 탐지 모델을 이용하여 가상 자산 부정 거래를 탐지하는 장치로서, 상기 탐지 모델을 이용하여 가상 자산 부정 거래를 탐지하기 위한 하나 이상의 프로그램을 저장하는 메모리; 및 상기 메모리에 저장된 상기 하나 이상의 프로그램에 따라 상기 탐지 모델을 이용하여 가상 자산 부정 거래를 탐지하기 위한 동작을 수행하는 하나 이상의 프로세서;를 포함하며, 상기 프로세서는, 탐지 대상 지갑 주소를 획득하고, 가상 자산 전체 블록 정보 및 상기 탐지 대상 지갑 주소를 기반으로 획득한 상기 탐지 대상 지갑 주소에 대응되는 특징 정보를 포함하는 입력 데이터를 획득하며, 미리 학습되어 구축된 상기 탐지 모델을 이용하여, 상기 입력 데이터를 기반으로 상기 탐지 대상 지갑 주소에 대응되는 부정 거래 탐지 정보를 획득하며, 상기 탐지 모델은, 상기 입력 데이터를 입력으로 하고 부정 거래 예측 정보를 출력으로 하는 머신 러닝 기반의 모델이고, 상기 프로세서는, 상기 탐지 대상 지갑 주소에 대응되는 전체 트랜잭션 정보를 상기 가상 자산 전체 블록 정보에서 획득하고, 전체 특징 중에서 가상 자산 유형별로 미리 결정된 특징을 기반으로 상기 전체 트랜잭션 정보에서 상기 탐지 대상 지갑 주소에 대응되는 상기 특징 정보를 획득하며, 가상 자산 유형별로 구축된 상기 탐지 모델 중에서 상기 탐지 대상 지갑 주소의 가상 자산 유형을 기반으로 선택된 상기 탐지 모델에 상기 입력 데이터를 입력하고, 상기 탐지 모델의 출력인 상기 부정 거래 예측 정보를 기반으로 상기 부정 거래 탐지 정보를 획득한다.
여기서, 상기 특징 정보는, 특징 추출 대상 지갑 주소가 사용된 트랜잭션 개수 정보, 상기 특징 추출 대상 지갑 주소의 거래량 정보, 전체 트랜잭션에서 상기 특징 추출 대상 지갑 주소가 사용된 개수를 나타내는 노출 개수 정보, 상기 특징 추출 대상 지갑 주소의 첫 거래와 마지막 거래 사이의 기간을 나타내는 거래 기간 정보, 상기 특징 추출 대상 지갑 주소의 지갑 주소 타입 정보, 상기 특징 추출 대상 지갑 주소의 트랜잭션 수수료 정보 및 상기 특징 추출 대상 지갑 주소의 거래 상대방인 지갑 주소의 개수를 나타내는 지갑 주소 개수 정보 중 적어도 하나를 포함하는 제1 특징 정보를 포함할 수 있다.
여기서, 상기 특징 정보는, 상기 제1 특징 정보를 기반으로 획득되고, 최대값, 최소값, 중간값, 평균값, 분산값, 왜도값, 첨도값 및 표준편차값 중 적어도 하나를 포함하는 통계값을 나타내는 제2 특징 정보를 더 포함할 수 있다.
본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법, 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법 및 이들을 수행하는 장치 및 컴퓨터 프로그램에 의하면, 가상 자산 부정 거래 탐지를 위한 머신 러닝 기반의 탐지 모델을 학습하고, 학습되어 구축된 탐지 모델을 이용하여 가상 자산 부정 거래를 탐지함으로써, 가상 자산 송금 이전에 해당 가상 자산 지갑 주소의 부정 거래 사용 여부 및 부정 거래 유형을 탐지하여 가상 자산을 이용한 사기 피해, 테러 자금 조달 등을 예방할 수 있다.
본 발명의 효과들은 이상에서 언급한 효과들로 제한되지 않으며, 언급되지 않은 또 다른 효과들은 아래의 기재로부터 통상의 기술자에게 명확하게 이해될 수 있을 것이다.
도 1은 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 장치를 설명하기 위한 블록도이다.
도 2는 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법을 설명하기 위한 흐름도이다.
도 3은 도 2에 도시한 학습 데이터 획득 단계를 설명하기 위한 도면이다.
도 4는 도 3에 도시한 특징 정보의 획득 과정을 설명하기 위한 도면이다.
도 5는 도 2에 도시한 탐지 모델 학습 단계를 설명하기 위한 도면이다.
도 6은 도 5에 도시한 탐지 모델의 일례를 설명하기 위한 도면이다.
도 7은 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법의 제1 실시예를 설명하기 위한 도면으로, 학습 데이터 획득 과정을 나타낸다.
도 8은 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법의 제1 실시예를 설명하기 위한 도면으로, 탐지 모델 학습 과정을 나타낸다.
도 9는 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법의 제2 실시예를 설명하기 위한 도면으로, 특징 정보 획득 과정을 나타낸다.
도 10은 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법의 제2 실시예를 설명하기 위한 도면으로, 학습 데이터 획득 과정을 나타낸다.
도 11은 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법의 제2 실시예를 설명하기 위한 도면으로, 탐지 모델 학습 과정을 나타낸다.
도 12는 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법의 제3 실시예를 설명하기 위한 도면으로, 학습 데이터 획득 과정을 나타낸다.
도 13은 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법의 제3 실시예를 설명하기 위한 도면으로, 탐지 모델 학습 과정을 나타낸다.
도 14는 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법의 제4 실시예를 설명하기 위한 도면으로, 학습 데이터 획득 과정을 나타낸다.
도 15는 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법의 제4 실시예를 설명하기 위한 도면으로, 탐지 모델 학습 과정을 나타낸다.
도 16은 본 발명의 바람직한 실시예에 따른 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법을 설명하기 위한 흐름도이다.
도 17은 도 16에 도시한 입력 데이터 획득 단계를 설명하기 위한 도면이다.
도 18은 도 17에 도시한 특징 정보의 획득 과정을 설명하기 위한 도면이다.
도 19는 도 16에 도시한 부정 거래 탐지 정보 획득 단계를 설명하기 위한 도면이다.
도 20은 본 발명의 바람직한 실시예에 따른 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법의 제1 실시예를 설명하기 위한 도면으로, 입력 데이터 획득 과정을 나타낸다.
도 21은 본 발명의 바람직한 실시예에 따른 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법의 제1 실시예를 설명하기 위한 도면으로, 부정 거래 탐지 정보 획득 과정을 나타낸다.
도 22는 본 발명의 바람직한 실시예에 따른 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법의 제2 실시예를 설명하기 위한 도면으로, 부정 거래 탐지 정보 획득 과정을 나타낸다.
도 23은 본 발명의 바람직한 실시예에 따른 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법의 제3 실시예를 설명하기 위한 도면으로, 입력 데이터 획득 과정을 나타낸다.
도 24는 본 발명의 바람직한 실시예에 따른 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법의 제3 실시예를 설명하기 위한 도면으로, 부정 거래 탐지 정보 획득 과정을 나타낸다.
이하, 첨부된 도면을 참조하여 본 발명의 실시예를 상세히 설명한다. 본 발명의 이점 및 특징, 그리고 그것들을 달성하는 방법은 첨부되는 도면과 함께 상세하게 후술되어 있는 실시예들을 참조하면 명확해질 것이다. 그러나, 본 발명은 이하에서 게시되는 실시예들에 한정되는 것이 아니라 서로 다른 다양한 형태로 구현될 수 있으며, 단지 본 실시예들은 본 발명의 게시가 완전하도록 하고, 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에게 발명의 범주를 완전하게 알려주기 위해 제공되는 것이며, 본 발명은 청구항의 범주에 의해 정의될 뿐이다. 명세서 전체에 걸쳐 동일 참조 부호는 동일 구성 요소를 지칭한다.
다른 정의가 없다면, 본 명세서에서 사용되는 모든 용어(기술 및 과학적 용어를 포함)는 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에게 공통적으로 이해될 수 있는 의미로 사용될 수 있을 것이다. 또한, 일반적으로 사용되는 사전에 정의되어 있는 용어들은 명백하게 특별히 정의되어 있지 않는 한 이상적으로 또는 과도하게 해석되지 않는다.
본 명세서에서 "제1", "제2" 등의 용어는 하나의 구성 요소를 다른 구성 요소로부터 구별하기 위한 것으로, 이들 용어들에 의해 권리범위가 한정되어서는 아니 된다. 예컨대, 제1 구성 요소는 제2 구성 요소로 명명될 수 있고, 유사하게 제2 구성 요소도 제1 구성 요소로 명명될 수 있다.
본 명세서에서 각 단계들에 있어 식별부호(예컨대, a, b, c 등)는 설명의 편의를 위하여 사용되는 것으로 식별부호는 각 단계들의 순서를 설명하는 것이 아니며, 각 단계들은 문맥상 명백하게 특정 순서를 기재하지 않는 이상 명기된 순서와 다르게 일어날 수 있다. 즉, 각 단계들은 명기된 순서와 동일하게 일어날 수도 있고 실질적으로 동시에 수행될 수도 있으며 반대의 순서대로 수행될 수도 있다.
본 명세서에서, "가진다", "가질 수 있다", "포함한다" 또는 "포함할 수 있다" 등의 표현은 해당 특징(예컨대, 수치, 기능, 동작, 또는 부품 등의 구성 요소)의 존재를 가리키며, 추가적인 특징의 존재를 배제하지 않는다.
이하에서 첨부한 도면을 참조하여 본 발명에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법, 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법 및 이들을 수행하는 장치 및 컴퓨터 프로그램의 바람직한 실시예에 대해 상세하게 설명한다.
먼저, 도 1을 참조하여 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 장치에 대하여 설명한다.
도 1은 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 장치를 설명하기 위한 블록도이다.
도 1을 참조하면, 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 장치(100)는 가상 자산 부정 거래 탐지를 위한 머신 러닝 기반의 탐지 모델을 학습할 수 있다. 그리고, 장치(100)는 학습되어 구축된 탐지 모델을 이용하여 가상 자산 부정 거래를 탐지할 수 있다.
이에 따라, 본 발명은 가상 자산 송금 이전에 해당 가상 자산 지갑 주소의 부정 거래 사용 여부 및 부정 거래 유형을 탐지하여 가상 자산을 이용한 사기 피해, 테러 자금 조달 등을 예방할 수 있다.
이를 위해, 장치(100)는 하나 이상의 프로세서(110), 컴퓨터 판독 가능한 저장 매체(130) 및 통신 버스(150)를 포함할 수 있다.
프로세서(110)는 장치(100)가 동작하도록 제어할 수 있다. 예컨대, 프로세서(110)는 컴퓨터 판독 가능한 저장 매체(130)에 저장된 하나 이상의 프로그램(131)을 실행할 수 있다. 하나 이상의 프로그램(131)은 하나 이상의 컴퓨터 실행 가능 명령어를 포함할 수 있으며, 컴퓨터 실행 가능 명령어는 프로세서(110)에 의해 실행되는 경우 장치(100)로 하여금 가상 자산 부정 거래 탐지를 위한 탐지 모델을 학습하고, 학습되어 구축된 탐지 모델을 이용하여 가상 자산 부정 거래를 탐지하기 위한 동작을 수행하도록 구성될 수 있다.
컴퓨터 판독 가능한 저장 매체(130)는 가상 자산 부정 거래 탐지를 위한 탐지 모델을 학습하고, 학습되어 구축된 탐지 모델을 이용하여 가상 자산 부정 거래를 탐지하기 위한 컴퓨터 실행 가능 명령어 내지 프로그램 코드, 프로그램 데이터 및/또는 다른 적합한 형태의 정보를 저장하도록 구성된다. 컴퓨터 판독 가능한 저장 매체(130)에 저장된 프로그램(131)은 프로세서(110)에 의해 실행 가능한 명령어의 집합을 포함한다. 일 실시예에서, 컴퓨터 판독 가능한 저장 매체(130)는 메모리(랜덤 액세스 메모리와 같은 휘발성 메모리, 비휘발성 메모리, 또는 이들의 적절한 조합), 하나 이상의 자기 디스크 저장 디바이스들, 광학 디스크 저장 디바이스들, 플래시 메모리 디바이스들, 그 밖에 장치(100)에 의해 액세스되고 원하는 정보를 저장할 수 있는 다른 형태의 저장 매체, 또는 이들의 적합한 조합일 수 있다.
통신 버스(150)는 프로세서(110), 컴퓨터 판독 가능한 저장 매체(130)를 포함하여 장치(100)의 다른 다양한 컴포넌트들을 상호 연결한다.
장치(100)는 또한 하나 이상의 입출력 장치를 위한 인터페이스를 제공하는 하나 이상의 입출력 인터페이스(170) 및 하나 이상의 통신 인터페이스(190)를 포함할 수 있다. 입출력 인터페이스(170) 및 통신 인터페이스(190)는 통신 버스(150)에 연결된다. 입출력 장치(도시하지 않음)는 입출력 인터페이스(170)를 통해 장치(100)의 다른 컴포넌트들에 연결될 수 있다.
그러면, 도 2 내지 도 15를 참조하여 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법에 대하여 설명한다.
탐지 모델의 학습 방법
도 2는 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법을 설명하기 위한 흐름도이고, 도 3은 도 2에 도시한 학습 데이터 획득 단계를 설명하기 위한 도면이며, 도 4는 도 3에 도시한 특징 정보의 획득 과정을 설명하기 위한 도면이고, 도 5는 도 2에 도시한 탐지 모델 학습 단계를 설명하기 위한 도면이며, 도 6은 도 5에 도시한 탐지 모델의 일례를 설명하기 위한 도면이다.
도 2를 참조하면, 장치(100)의 프로세서(110)는 가상 자산 전체 블록 정보 및 가상 자산 부정 거래로 식별된 부정 거래 지갑 주소를 기반으로 획득한 부정 거래 지갑 주소에 대응되는 특징 정보를 포함하는 학습 데이터를 획득할 수 있다(S110).
여기서, 가상 자산 전체 블록 정보는 블록 체인(block chain)을 기반으로 저장되는 가상 자산(비트코인, 이더리움 등)의 거래 등에 관련된 전체 정보를 말한다. 블록 체인의 한 블록은 "매직 넘버", "블록 크기", "블록 헤더", "전체 거래 내역 개수", "거래 내역" 등의 데이터로 구성되어 있으며, "거래 내역"에는 고유의 트랜잭션들이 복수개가 포함되어 있다. 블록들이 체인 형태로 제네시스(genesis) 블록부터 현재 블록까지 현재까지 연결되어 있어 블록 체인이라 불리우고 있다.
이때, 프로세서(110)는 가상 자산(비트코인, 이더리움 등)의 거래망으로부터 가상 자산 전체 블록 정보를 수집할 수 있으며, 수집한 가상 자산 전체 블록 정보를 가상 자산 유형별로 구분되게 저장할 수 있다.
보다 자세히 설명하면, 프로세서(110)는 가상 자산 부정 거래로 식별되어 기 저장되어 있는 복수개의 부정 거래 지갑 주소 각각에 대하여 특징 정보를 획득할 수 있다.
여기서, 특징 정보는 특징 정보를 추출하고자 하는 가상 자산 지갑 주소인 특징 추출 대상 지갑 주소에 관련된 특징으로, 가상 자산 전체 블록 정보에서 추출된 정보를 말한다.
즉, 특징 정보는 특징 추출 대상 지갑 주소가 사용된 트랜잭션 개수 정보, 특징 추출 대상 지갑 주소의 거래량 정보, 전체 트랜잭션에서 특징 추출 대상 지갑 주소가 사용된 개수를 나타내는 노출 개수 정보, 특징 추출 대상 지갑 주소의 첫 거래와 마지막 거래 사이의 기간을 나타내는 거래 기간 정보, 특징 추출 대상 지갑 주소의 지갑 주소 타입 정보, 특징 추출 대상 지갑 주소의 트랜잭션 수수료 정보 및 특징 추출 대상 지갑 주소의 거래 상대방인 지갑 주소의 개수를 나타내는 지갑 주소 개수 정보 중 적어도 하나를 포함하는 제1 특징 정보를 포함할 수 있다. 예컨대, 제1 특징 정보는 [표 1]과 같은 특징들로 이루어질 수 있다. 그리고, 제1 특징 정보는 제1 특징 정보의 특징 종류별로 이에 대응되는 전부 또는 일부의 상세 특징을 포함할 수 있다.
제1 특징 정보의 특징 종류 상세 특징
트랜잭션 개수 정보 - 특징 추출 대상 지갑 주소가 송신 주소로 사용된 트랜잭션의 개수
- 특징 추출 대상 지갑 주소가 수신 주소로 사용된 트랜잭션의 개수
- 특징 추출 대상 지갑 주소가 송신 주소나 수신 주소로 사용된 트랜잭션의 개수
거래량 정보 - 특징 추출 대상 지갑 주소가 송신 주소일 때 거래한 가상 자산의 양
- 특징 추출 대상 지갑 주소가 송신 주소일 때 거래한 가상 자산의 총 합
- 특징 추출 대상 지갑 주소가 수신 주소일 때 거래한 가상 자산의 양
- 특징 추출 대상 지갑 주소가 수신 주소일 때 거래한 가상 자산의 총 합
- 특징 추출 대상 지갑 주소가 송신 주소나 수신 주소일 때 거래한 가상 자산의 총 합
노출 개수 정보 - 특징 추출 대상 지갑 주소가 송신 주소일 때 트랜잭션에 사용된 횟수
- 특징 추출 대상 지갑 주소가 수신 주소일 때 트랜잭션에 사용된 횟수
- 특징 추출 대상 지갑 주소가 송신 주소나 수신 주소일 때 트랜잭션에 사용된 횟수
거래 기간 정보 - 특징 추출 대상 지갑 주소가 송신 주소일 때의 거래 시간
- 특징 추출 대상 지갑 주소가 첫 송신 주소일 때의 거래와 마지막 송신 주소일 때의 거래 사이의 기간
- 특징 추출 대상 지갑 주소가 수신 주소일 대의 거래 시간
- 특징 추출 대상 지갑 주소가 첫 수신 주소일 때의 거래와 마지막 수신 주소일 때의 거래 사이의 기간
- 특징 추출 대상 지갑 주소의 첫 거래와 마지막 거래 사이의 기간
지갑 주소 타입 정보 - 특징 추출 대상 지갑 주소의 첫 문자가 "1"로 시작하는 타입
- 특징 추출 대상 지갑 주소의 첫 문자가 "3"으로 시작하는 타입
- 특징 추출 대상 지갑 주소의 첫 문자가 "bc1"로 시작하는 타입
트랜잭션 수수료 정보 - 특징 추출 대상 지갑 주소의 트랜잭션 수수료
지갑 주소 개수 정보 - 특징 추출 대상 지갑 주소에게 가상 자산을 송신한 지갑 주소의 총 개수
- 특징 추출 대상 지갑 주소로부터 가상 자산을 수신한 지갑 주소의 총 개수
또한, 특징 정보는 제1 특징 정보를 기반으로 획득되고, 최대값(MAX value), 최소값(MIN value), 중간값(MEDIAN value), 평균값(MEAN value), 분산값(VARIANCE value), 왜도값(SKEWNESS value), 첨도값(KURTOSIS value) 및 표준편차값(STANDARD DEVIATION value) 중 적어도 하나를 포함하는 통계값을 나타내는 제2 특징 정보를 더 포함할 수 있다. 예컨대, 제2 특징 정보는 [표 2]와 같은 특징들로 이루어질 수 있다. 그리고, 제2 특징 정보는 제2 특징 정보의 특징 종류별로 이에 대응되는 전부 또는 일부의 상세 특징을 포함할 수 있다.
제2 특징 정보의 특징 종류 상세 특징
최대값 - 트랜잭션 개수 정보의 최대값
- 거래량 정보의 최대값
- 노출 개수 정보의 최대값
- 거래 기간 정보의 최대값
- 트랜잭션 수수료 정보의 최대값
- 지갑 주소 개수 정보의 최대값
최소값 - 트랜잭션 개수 정보의 최소값
- 거래량 정보의 최소값
- 노출 개수 정보의 최소값
- 거래 기간 정보의 최소값
- 트랜잭션 수수료 정보의 최소값
- 지갑 주소 개수 정보의 최소값
중간값 - 트랜잭션 개수 정보의 중간값
- 거래량 정보의 중간값
- 노출 개수 정보의 중간값
- 거래 기간 정보의 중간값
- 트랜잭션 수수료 정보의 중간값
- 지갑 주소 개수 정보의 중간값
평균값 - 트랜잭션 개수 정보의 평균값
- 거래량 정보의 평균값
- 노출 개수 정보의 평균값
- 거래 기간 정보의 평균값
- 트랜잭션 수수료 정보의 평균값
- 지갑 주소 개수 정보의 평균값
분산값 - 트랜잭션 개수 정보의 분산값
- 거래량 정보의 분산값
- 노출 개수 정보의 분산값
- 거래 기간 정보의 분산값
- 트랜잭션 수수료 정보의 분산값
- 지갑 주소 개수 정보의 분산값
왜도값 - 트랜잭션 개수 정보의 왜도값
- 거래량 정보의 왜도값
- 노출 개수 정보의 왜도값
- 거래 기간 정보의 왜도값
- 트랜잭션 수수료 정보의 왜도값
- 지갑 주소 개수 정보의 왜도값
첨도값 - 트랜잭션 개수 정보의 첨도값
- 거래량 정보의 첨도값
- 노출 개수 정보의 첨도값
- 거래 기간 정보의 첨도값
- 트랜잭션 수수료 정보의 첨도값
- 지갑 주소 개수 정보의 첨도값
표준편차값 - 트랜잭션 개수 정보의 표준편차값
- 거래량 정보의 표준편차값
- 노출 개수 정보의 표준편차값
- 거래 기간 정보의 표준편차값
- 트랜잭션 수수료 정보의 표준편차값
- 지갑 주소 개수 정보의 표준편차값
예컨대, 프로세서(110)는 도 3에 도시된 바와 같이, 복수개의 부정 거래 지갑 주소(부정 거래 지갑 주소 1 ~ 부정 거래 지갑 주소 n) 각각에서 특징 정보(특징 정보 1 ~ 특징 정보 n)를 획득할 수 있다. 이때, 프로세서(110)는 부정 거래 지갑 주소에 대응되는 전체 트랜잭션 정보를 가상 자산 전체 블록 정보에서 획득하고, 전체 트랜잭션 정보를 기반으로 부정 거래 지갑 주소에 대응되는 특징 정보를 획득할 수 있다. 예컨대, 프로세서(110)는 도 4에 도시된 바와 같이, 가상 자산 전체 블록 정보에서 부정 거래 지갑 주소와 관련된 트랜잭션 정보들로 이루어지는 전체 트랜잭션 정보를 획득하고, 획득한 전체 트랜잭션 정보를 기반으로 부정 거래 지갑 주소에 대응되는 특징 정보를 획득할 수 있다.
그리고, 프로세서(110)는 복수개의 부정 거래 지갑 주소 각각에서 획득한 특징 정보와 이에 대응되는 부정 거래 유무 정보를 포함하는 학습 데이터를 획득할 수 있다.
여기서, 부정 거래 유무 정보는 해당 가상 자산 지갑 주소가 부정 거래에 이용되었는지를 나타내는 정보를 말한다. 예컨대, 부정 거래 유무 정보는 해당 가상 자산 지갑 주소가 부정 거래에 이용되었으면 '1'의 값을 가지고, 해당 가상 자산 지갑 주소가 부정 거래에 이용되지 않았으면 '0'의 값을 가질 수 있다.
예컨대, 프로세서(110)는 도 3에 도시된 바와 같이, 복수개의 부정 거래 지갑 주소(부정 거래 지갑 주소 1 ~ 부정 거래 지갑 주소 n) 각각에서 획득한 특징 정보(특징 정보 1 ~ 특징 정보 n)와 이에 대응되는 부정 거래 유무 정보(부정 거래 유무 정보 1 ~ 부정 거래 유무 정보 n)를 포함하는 학습 데이터를 획득할 수 있다.
그런 다음, 프로세서(110)는 학습 데이터를 기반으로, 특징 정보를 입력으로 하고 부정 거래 예측 정보를 출력으로 하는 머신 러닝 기반의 탐지 모델을 학습할 수 있다(S120).
즉, 프로세서(110)는 도 5에 도시된 바와 같이, 학습 데이터의 특징 정보를 탐지 모델의 입력으로 하고, 학습 데이터의 부정 거래 유무 정보를 탐지 모델의 정답 레이블(label)로 하여, 학습 데이터를 기반으로 탐지 모델을 반복적으로 학습하여 탐지 모델을 구축할 수 있다.
여기서, 탐지 모델은 부정 거래 예측값을 포함하는 부정 거래 예측 정보를 출력할 수 있다. 부정 거래 예측값은 해당 가상 자산 지갑 주소가 부정 거래에 이용될 확률을 나타내는 값으로, 0 ~ 1 사이의 값을 가질 수 있다. 부정 거래 예측값이 1에 가까울수록 부정 거래에 이용될 가능성이 높다는 것을 나타내고, 부정 거래 예측값이 0에 가까울수록 부정 거래에 이용될 가능성이 낮다는 것을 나타낼 수 있다.
그리고, 탐지 모델은 도 6에 도시된 바와 같이, 복수개의 트리(tree)로 이루어지는 랜덤 포레스트(random forest) 기반 모델일 수 있다. 즉, 탐지 모델은 입력되는 특징 정보를 기반으로 복수개의 트리 각각에서 예측값을 획득하고, 복수개의 트리에서 획득한 복수개의 예측값을 평균하여 부정 거래 예측값을 획득하며, 부정 거래 예측값을 포함하는 부정 거래 예측 정보를 출력할 수 있다.
탐지 모델의 학습 방법 : 제1 실시예
도 7은 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법의 제1 실시예를 설명하기 위한 도면으로, 학습 데이터 획득 과정을 나타내고, 도 8은 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법의 제1 실시예를 설명하기 위한 도면으로, 탐지 모델 학습 과정을 나타낸다.
도 7 및 도 8을 참조하면, 장치(100)의 프로세서(110)는 가상 자산 부정 거래로 식별된 부정 거래 지갑 주소뿐만 아니라, 정상적인 거래로 식별된 정상 거래 지갑 주소도 이용하여 학습 데이터를 획득할 수 있다.
즉, 프로세서(110)는 가상 자산 정상 거래로 식별되어 기 저장되어 있는 복수개의 정상 거래 지갑 주소 각각에 대하여 특징 정보를 획득할 수 있다.
그리고, 프로세서(110)는 부정 거래 지갑 주소에 대응되는 특징 정보 및 정상 거래 지갑 주소에 대응되는 특징 정보를 포함하는 학습 데이터를 획득할 수 있다.
여기서, 부정 거래 지갑 주소에 대응되는 부정 거래 유무 정보는 '1'의 값을 가지고, 정상 거래 지갑 주소에 대응되는 부정 거래 유무 정보는 '0'의 값을 가질 수 있다.
예컨대, 프로세서(110)는 도 7에 도시된 바와 같이, 복수개의 부정 거래 지갑 주소(부정 거래 지갑 주소 1 ~ 부정 거래 지갑 주소 n) 각각에서 획득한 특징 정보(특징 정보 1 ~ 특징 정보 n)와 이에 대응되는 부정 거래 유무 정보(부정 거래 유무 정보 1 ~ 부정 거래 유무 정보 n)뿐만 아니라, 복수개의 정상 거래 지갑 주소(정상 거래 지갑 주소 1 ~ 정상 거래 지갑 주소 n) 각각에서 획득한 특징 정보(특징 정보 1 ~ 특징 정보 n)와 이에 대응되는 부정 거래 유무 정보(부정 거래 유무 정보 1 ~ 부정 거래 유무 정보 n)를 포함하는 학습 데이터를 획득할 수 있다.
그리고, 프로세서(110)는 도 8에 도시된 바와 같이, 학습 데이터에 포함된 부정 거래 지갑 주소의 특징 정보 및 정상 거래 지갑 주소에 대한 특징 정보를 탐지 모델의 입력으로 하고, 학습 데이터에 포함된 부정 거래 지갑 주소에 대한 부정 거래 유무 정보 및 정상 거래 지갑 주소에 대한 부정 거래 유무 정보를 탐지 모델의 정답 레이블(label)로 하여, 탐지 모델을 학습할 수 있다.
탐지 모델의 학습 방법 : 제2 실시예
도 9는 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법의 제2 실시예를 설명하기 위한 도면으로, 특징 정보 획득 과정을 나타내고, 도 10은 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법의 제2 실시예를 설명하기 위한 도면으로, 학습 데이터 획득 과정을 나타내며, 도 11은 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법의 제2 실시예를 설명하기 위한 도면으로, 탐지 모델 학습 과정을 나타낸다.
도 9 내지 도 11을 참조하면, 장치(100)의 프로세서(110)는 가상 자산 유형별로 전체 블록 정보가 구분되어 있는 가상 자산 전체 블록 정보에서 부정 거래 지갑 주소의 가상 자산 유형을 기반으로 부정 거래 지갑 주소에 대응되는 전체 트랜잭션 정보를 획득할 수 있다.
여기서, 가상 자산 유형은 비트코인, 이더리움 등과 같이 가장 자산의 종류를 말한다.
그리고, 프로세서(110)는 전체 특징 중에서 가상 자산 유형별로 미리 결정된 특징을 기반으로, 부정 거래 지갑 주소에 대응되는 전체 트랜잭션 정보에서 부정 거래 지갑 주소에 대응되는 특징 정보를 획득할 수 있다.
예컨대, 프로세서(110)는 [표 1]의 제1 특징 정보와 [표 2]의 제2 특징 정보에 따른 전체 특징 중에서 [표 3] 및 [표 4]와 같이 미리 설정된 특징 추출 기준 정보를 이용하여 부정 거래 지갑 주소의 가상 자산 유형을 기반으로 부정 거래 지갑 주소에 대응되는 특징 정보를 획득할 수 있다. [표 3]은 가상 자산 유형이 "비트코인"인 경우에 이용되는 특징의 예시를 나타내고, [표 4] 가상 자산 유형이 "이더리움"인 경우에 이용되는 특징의 예시를 나타낸다.
"비트코인"의 특징 상세 특징
제1 특징 정보 트랜잭션 개수 정보 - 특징 추출 대상 지갑 주소가 송신 주소로 사용된 트랜잭션의 개수
- 특징 추출 대상 지갑 주소가 수신 주소로 사용된 트랜잭션의 개수
- 특징 추출 대상 지갑 주소가 송신 주소나 수신 주소로 사용된 트랜잭션의 개수
거래량 정보 - 특징 추출 대상 지갑 주소가 송신 주소일 때 거래한 가상 자산의 양
- 특징 추출 대상 지갑 주소가 송신 주소일 때 거래한 가상 자산의 총 합
- 특징 추출 대상 지갑 주소가 수신 주소일 때 거래한 가상 자산의 양
- 특징 추출 대상 지갑 주소가 수신 주소일 때 거래한 가상 자산의 총 합
- 특징 추출 대상 지갑 주소가 송신 주소나 수신 주소일 때 거래한 가상 자산의 총 합
노출 개수 정보 - 특징 추출 대상 지갑 주소가 송신 주소일 때 트랜잭션에 사용된 횟수
- 특징 추출 대상 지갑 주소가 수신 주소일 때 트랜잭션에 사용된 횟수
- 특징 추출 대상 지갑 주소가 송신 주소나 수신 주소일 때 트랜잭션에 사용된 횟수
거래 기간 정보 - 특징 추출 대상 지갑 주소가 첫 송신 주소일 때의 거래와 마지막 송신 주소일 때의 거래 사이의 기간
- 특징 추출 대상 지갑 주소가 첫 수신 주소일 때의 거래와 마지막 수신 주소일 때의 거래 사이의 기간
- 특징 추출 대상 지갑 주소의 첫 거래와 마지막 거래 사이의 기간
지갑 주소 타입 정보 - 특징 추출 대상 지갑 주소의 첫 문자가 "1"로 시작하는 타입
- 특징 추출 대상 지갑 주소의 첫 문자가 "3"으로 시작하는 타입
- 특징 추출 대상 지갑 주소의 첫 문자가 "bc1"로 시작하는 타입
제2 특징 정보 최대값 - 거래량 정보의 최대값
최소값 - 거래량 정보의 최소값
중간값 - 거래량 정보의 중간값
- 노출 개수 정보의 중간값
평균값 - 거래량 정보의 평균값
- 노출 개수 정보의 평균값
분산값 - 거래량 정보의 분산값
- 노출 개수 정보의 분산값
왜도값 - 거래량 정보의 왜도값
- 노출 개수 정보의 왜도값
첨도값 - 거래량 정보의 첨도값
- 노출 개수 정보의 첨도값
"이더리움"의 특징 상세 특징
제1 특징 정보 트랜잭션 개수 정보 - 특징 추출 대상 지갑 주소가 송신 주소로 사용된 트랜잭션의 개수
- 특징 추출 대상 지갑 주소가 수신 주소로 사용된 트랜잭션의 개수
- 특징 추출 대상 지갑 주소가 송신 주소나 수신 주소로 사용된 트랜잭션의 개수
거래량 정보 - 특징 추출 대상 지갑 주소가 송신 주소일 때 거래한 가상 자산의 양
- 특징 추출 대상 지갑 주소가 송신 주소일 때 거래한 가상 자산의 총 합
- 특징 추출 대상 지갑 주소가 수신 주소일 때 거래한 가상 자산의 양
- 특징 추출 대상 지갑 주소가 수신 주소일 때 거래한 가상 자산의 총 합
- 특징 추출 대상 지갑 주소가 송신 주소나 수신 주소일 때 거래한 가상 자산의 총 합
트랜잭션 수수료 정보 - 특징 추출 대상 지갑 주소의 트랜잭션 수수료
거래 기간 정보 - 특징 추출 대상 지갑 주소가 송신 주소일 때의 거래 시간
- 특징 추출 대상 지갑 주소가 첫 송신 주소일 때의 거래와 마지막 송신 주소일 때의 거래 사이의 기간
- 특징 추출 대상 지갑 주소가 수신 주소일 대의 거래 시간
- 특징 추출 대상 지갑 주소가 첫 수신 주소일 때의 거래와 마지막 수신 주소일 때의 거래 사이의 기간
- 특징 추출 대상 지갑 주소의 첫 거래와 마지막 거래 사이의 기간
지갑 주소 개수 정보 - 특징 추출 대상 지갑 주소에게 가상 자산을 송신한 지갑 주소의 총 개수
- 특징 추출 대상 지갑 주소로부터 가상 자산을 수신한 지갑 주소의 총 개수
제2 특징 정보 최대값 - 거래량 정보의 최대값
- 트랜잭션 수수료 정보의 최대값
- 거래 기간 정보의 최대값
최소값 - 거래량 정보의 최소값
- 트랜잭션 수수료 정보의 최소값
- 거래 기간 정보의 최소값
평균값 - 거래량 정보의 평균값
- 트랜잭션 수수료 정보의 평균값
- 거래 기간 정보의 평균값
표준편차값 - 거래량 정보의 표준편차값
- 트랜잭션 수수료 정보의 표준편차값
- 거래 기간 정보의 표준편차값
프로세서(110)는 이와 같은 부정 거래 지갑 주소에 대응되는 특징 정보를 획득하는 과정을 가상 자산 유형별로 수행하여, 도 10에 도시된 바와 같이, 가상 자산 유형별로 학습 데이터를 획득할 수 있다. 그리고, 프로세서(110)는 가상 자산 유형별로 획득한 학습 데이터를 기반으로, 가상 자산 유형별로 탐지 모델을 학습할 수 있다. 예컨대, 프로세서(110)는 도 11에 도시된 바와 같이, 가상 자산 유형 1에 대한 학습 데이터 1을 기반으로 가상 자산 유형 1에 대한 탐지 모델 1을 학습하고, 가상 자산 유형 n에 대한 학습 데이터 n을 기반으로 가상 자산 유형 n에 대한 탐지 모델 n을 학습할 수 있다.
탐지 모델의 학습 방법 : 제3 실시예
도 12는 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법의 제3 실시예를 설명하기 위한 도면으로, 학습 데이터 획득 과정을 나타내고, 도 13은 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법의 제3 실시예를 설명하기 위한 도면으로, 탐지 모델 학습 과정을 나타낸다.
도 12 및 도 13을 참조하면, 장치(100)의 프로세서(110)는 부정 거래 지갑 주소에 대응되는 특징 정보 및 이에 대응되는 부정 거래 유무 정보뿐만 아니라, 부정 거래 지갑 주소에 대응되는 부정 거래 유형 정보를 포함하는 학습 데이터를 획득할 수 있다.
여기서, 부정 거래 유형 정보는 해당 가상 자산 지갑 주소가 부정 거래에 이용된 경우, 부정 거래의 종류를 나타내는 정보를 말한다. 부정 거래의 종류에는 투자 사기, 악성 코드, 불법 거래, 자금 세탁, 거래소 해킹 등이 있다.
그리고, 프로세서(110)는 학습 데이터의 특징 정보를 탐지 모델의 입력으로 하고, 학습 데이터의 부정 거래 유무 정보와 부정 거래 유형 정보를 탐지 모델의 정답 레이블(label)로 하여, 탐지 모델을 학습할 수 있다.
여기서, 탐지 모델은 부정 거래 예측값 및 예측되는 부정 거래 유형을 포함하는 부정 거래 예측 정보를 출력할 수 있다. 부정 거래 유형은 해당 가상 자산 지갑 주소가 부정 거래에 이용되는 경우 속할 가능성이 높은 부정 거래의 종류를 나타낼 수 있다. 부정 거래 유형은 다양한 부정 거래의 종류 중에서 해당 가상 자산 지갑 주소의 부정 거래가 속할 가능성이 가장 높은 부정 거래의 종류를 나타낼 수 있다.
탐지 모델의 학습 방법 : 제4 실시예
도 14는 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법의 제4 실시예를 설명하기 위한 도면으로, 학습 데이터 획득 과정을 나타내고, 도 15는 본 발명의 바람직한 실시예에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법의 제4 실시예를 설명하기 위한 도면으로, 탐지 모델 학습 과정을 나타낸다.
도 14 및 도 15를 참조하면, 장치(100)의 프로세서(110)는 전체 특징 중에서 가상 자산 유형별로 미리 결정된 특징을 기반으로, 부정 거래 지갑 주소에 대응되는 특징 정보를 공통 특징 정보와 전용 특징 정보로 구분하여 획득할 수 있다.
여기서, 특징 추출 기준 정보는 전체 특징 중에서 가상 자산 유형에 상관없이 공통으로 이용되는 공통 특징에 대한 정보와 특정 가상 자산에서만 이용되는 특징을 나타내는 가상 자산 유형별 전용 특징에 대한 정보를 포함할 수 있다. 예컨대,
예컨대, 프로세서(110)는 [표 1]의 제1 특징 정보와 [표 2]의 제2 특징 정보에 따른 전체 특징 중에서 [표 5]와 같이 미리 설정된 특징 추출 기준 정보를 이용하여 부정 거래 지갑 주소의 가상 자산 유형을 기반으로 부정 거래 지갑 주소에 대응되는 공통 특징 정보와 전용 특징 정보를 획득할 수 있다.
특징 구분 상세 특징
공통 특징 - 공통 특징 1
- 공통 특징 2
…
- 공통 특징 n
전용 특징 가상 자산 유형 1 - 유형 1-전용 특징 1
- 유형 1-전용 특징 2
…
- 유형 1-전용 특징 n
…
가상 자산 유형 n - 유형 n-전용 특징 1
- 유형 n-전용 특징 2
…
- 유형 n-전용 특징 n
그리고, 프로세서(110)는 도 14에 도시된 바와 같이, 가상 자산 유형에 상관없이 부정 거래 지갑 주소를 기반으로 획득한 공통 특징 정보 전부를 포함하는 공통 학습 데이터를 획득하고, 부정 거래 지갑 주소를 기반으로 획득한 전용 특징 정보를 가상 자산 유형별로 구분하여 복수개의 전용 학습 데이터를 획득할 수 있다. 그리고, 프로세서(110)는 학습 데이터에 포함된 공통 학습 데이터를 기반으로 가상 자산 유형에 상관없이 이용할 수 있는 공통 탐지 모델을 학습하고, 학습 데이터에 포함된 공통 학습 데이터 및 학습 데이터에 포함된 가상 자산 유형별 전용 학습 데이터를 기반으로 가상 자산 유형별로 전용 탐지 모델을 학습할 수 있다. 예컨대, 프로세서(110)는 도 15에 도시된 바와 같이, 공통 학습 데이터를 이용하여 공통 탐지 모델을 학습하고, 공통 학습 데이터와 전용 학습 데이터 1을 이용하여 가상 자산 유형 1에 대한 전용 탐지 모델 1을 학습하며, 공통 학습 데이터와 전용 학습 데이터 n을 이용하여 가상 자산 유형 n에 대한 전용 탐지 모델 n을 학습할 수 있다.
한편, 본 발명에 따른 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법은 위에서 설명한 제1 실시예(도 7 및 도 8 참조), 제2 실시예(도 9 내지 도 11 참조), 제3 실시예(도 12 및 도 13 참조) 및 제4 실시예(도 14 및 도 15 참조) 중 하나의 실시예에 따른 학습 방법으로 이루어지거나, 제1 실시예 내지 제4 실시예 중 복수개의 실시예를 조합한 학습 방법으로 이루어질 수도 있다.
그러면, 도 16 내지 도 24를 참조하여 본 발명의 바람직한 실시예에 따른 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법에 대하여 설명한다.
탐지 모델을 이용한 탐지 방법
도 16은 본 발명의 바람직한 실시예에 따른 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법을 설명하기 위한 흐름도이고, 도 17은 도 16에 도시한 입력 데이터 획득 단계를 설명하기 위한 도면이며, 도 18은 도 17에 도시한 특징 정보의 획득 과정을 설명하기 위한 도면이고, 도 19는 도 16에 도시한 부정 거래 탐지 정보 획득 단계를 설명하기 위한 도면이다.
도 16을 참조하면, 장치(100)의 프로세서(110)는 탐지 대상 지갑 주소를 획득할 수 있다(S210).
여기서, 탐지 대상 지갑 주소는 사용자 단말(도시하지 않음)로부터 제공받은 가상 자산 지갑 주소일 수 있다. 예컨대, 사용자는 자신의 가상 자산을 상대방과 거래하기 전에 상대방의 지갑 주소의 부정 거래 여부를 확인하기 위해, 상대방의 지갑 주소를 탐지 대상 지갑 주소로 하여 본 발명에 따른 장치(100)에 부정 거래 탐지를 요청할 수 있다. 물론, 탐지 대상 지갑 주소는 가상 자산의 거래를 위해 신규로 개설된 가상 자산 지갑 주소일 수 있다. 이 경우, 탐지 대상 지갑 주소는 신규 개설된 지갑 주소일 수 있으며, 가상 자산의 거래소 등을 통해 제공받을 수 있다.
그런 다음, 프로세서(110)는 가상 자산 전체 블록 정보 및 탐지 대상 지갑 주소를 기반으로 획득한 탐지 대상 지갑 주소에 대응되는 특징 정보를 포함하는 입력 데이터를 획득할 수 있다(S220).
보다 자세히 설명하면, 프로세서(110)는 도 17에 도시된 바와 같이, 탐지 대상 지갑 주소에 대응되는 특징 정보를 가상 자산 전체 블록 정보에서 획득하고, 전체 트랜잭션 정보를 기반으로 탐지 대상 지갑 주소에 대응되는 특징 정보를 획득할 수 있다.
이때, 프로세서(110)는 탐지 대상 지갑 주소에 대응되는 전체 트랜잭션 정보를 가상 자산 전체 블록 정보에서 획득하고, 전체 트랜잭션 정보를 기반으로 탐지 대상 지갑 주소에 대응되는 특징 정보를 획득할 수 있다. 예컨대, 프로세서(110)는 도 18에 도시된 바와 같이, 가상 자산 전체 블록 정보에서 탐지 대상 지갑 주소와 관련된 트랜잭션 정보들로 이루어지는 전체 트랜잭션 정보를 획득하고, 획득한 전체 트랜잭션 정보를 기반으로 탐지 대상 지갑 주소에 대응되는 특징 정보를 획득할 수 있다.
그리고, 프로세서(110)는 도 17에 도시된 바와 같이, 탐지 대상 지갑 주소에 대응되는 특징 정보를 포함하는 입력 데이터를 획득할 수 있다.
그런 다음, 프로세서(110)는 미리 학습되어 구축된 탐지 모델을 이용하여, 입력 데이터를 기반으로 탐지 대상 지갑 주소에 대응되는 부정 거래 탐지 정보를 획득할 수 있다(S230).
여기서, 탐지 모델은 입력 데이터, 즉 특징 정보를 입력으로 하고 부정 거래 예측값을 포함하는 부정 거래 예측 정보를 출력으로 하는 머신 러닝 기반의 모델일 수 있다.
즉, 프로세서(110)는 도 19에 도시된 바와 같이, 입력 데이터를 탐지 모델에 입력하고, 탐지 모델의 출력인 부정 거래 예측 정보를 기반으로 부정 거래 탐지 정보를 획득할 수 있다.
이때, 프로세서(110)는 탐지 대상 지갑 주소에 대응되는 부정 거래 예측 정보, 즉 부정 거래 예측값과 미리 설정된 부정 거래 기준값을 토대로 부정 거래 탐지 정보를 획득할 수 있다. 예컨대, 부정 거래 기준값이 "0.7"로 설정된 경우, 프로세서(110)는 탐지 대상 지갑 주소에 대응되는 부정 거래 예측값이 "0.7"보다 크거나 같으면 "부정 거래 가능성 높음"이라는 부정 거래 탐지 정보를 획득하고, 부정 거래 예측값이 "0.7"보다 낮으면 "부정 거래 가능성 낮음"이라는 부정 거래 탐지 정보를 획득할 수 있다.
물론, 프로세서(110)는 부정 거래 예측값에 따른 복수개의 등급 중에서 탐지 대상 지갑 주소에 대응되는 부정 거래 예측값에 따른 하나의 등급을 획득하고, 획득한 등급을 부정 거래 탐지 정보로 획득할 수 있다. 예컨대, 부정 거래 예측값이 "0 < 0.3"인 경우에는 등급 "부정 거래 가능성 낮음"으로, 부정 거래 예측값이 "0.3 ≤ 0.7"인 경우에는 등급 "부정 거래 가능성 보통"으로, 부정 거래 예측값이 "0.7 ≤ 1"인 경우에는 등급 "부정 거래 가능성 높음"으로 설정된 경우, 프로세서(110)는 탐지 대상 지갑 주소에 대응되는 부정 거래 예측값을 토대로 해당 등급을 확인하고, 확인한 등급을 부정 거래 탐지 정보로 획득할 수 있다.
물론, 프로세서(110)는 탐지 대상 지갑 주소에 대응되는 부정 거래 예측 정보, 즉 부정 거래 예측값 자체를 백분위로 표현하여 부정 거래 탐지 정보로 획득할 수도 있다. 예컨대, 탐지 대상 지갑 주소에 대응되는 부정 거래 예측값이 "0.78"인 경우, 프로세서(110)는 "78%"을 해당 탐지 대상 지갑 주소의 부정 거래 탐지 정보로 획득할 수 있다.
그런 다음, 프로세서(110)는 탐지 대상 지갑 주소에 대응되는 부정 거래 탐지 정보를 제공할 수 있다(S240).
예컨대, 탐지 대상 지갑 주소가 사용자 단말로부터 제공된 경우, 프로세서(110)는 탐지 대상 지갑 주소에 대응되는 부정 거래 탐지 정보를 해당 사용자 단말에 제공할 수 있다. 그러면, 해당 사용자는 자신의 가상 자산을 상대방과 거래하기에 앞서, 부정 거래 탐지 정보를 기반으로 상대방과의 거래 지속 여부를 판단할 수 있다.
탐지 모델을 이용한 탐지 방법 : 제1 실시예
도 20은 본 발명의 바람직한 실시예에 따른 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법의 제1 실시예를 설명하기 위한 도면으로, 입력 데이터 획득 과정을 나타내고, 도 21은 본 발명의 바람직한 실시예에 따른 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법의 제1 실시예를 설명하기 위한 도면으로, 부정 거래 탐지 정보 획득 과정을 나타낸다.
도 20 및 도 21을 참조하면, 장치(100)의 프로세서(110)는 가상 자산 유형별로 전체 블록 정보가 구분되어 있는 가상 자산 전체 블록 정보에서 탐지 대상 지갑 주소의 가상 자산 유형을 기반으로 탐지 대상 지갑 주소에 대응되는 전체 트랜잭션 정보를 획득할 수 있다.
그리고, 프로세서(110)는 전체 특징 중에서 가상 자산 유형별로 미리 결정된 특징을 기반으로, 탐지 대상 지갑 주소에 대응되는 전체 트랜잭션 정보에서 탐지 대상 지갑 주소에 대응되는 특징 정보를 획득할 수 있다.
예컨대, 프로세서(110)는 [표 1]의 제1 특징 정보와 [표 2]의 제2 특징 정보에 따른 전체 특징 중에서 [표 3] 및 [표 4]와 같이 미리 설정된 특징 추출 기준 정보를 이용하여 탐지 대상 지갑 주소의 가상 자산 유형을 기반으로 탐지 대상 지갑 주소에 대응되는 특징 정보를 획득할 수 있다.
그리고, 프로세서(110)는 도 21에 도시된 바와 같이, 가상 자산 유형별로 구축된 탐지 모델에서 탐지 대상 지갑 주소의 가상 자산 유형을 기반으로 탐지 대상 지갑 주소에 대응되는 탐지 모델을 선택할 수 있다.
그리고, 프로세서(110)는 도 21에 도시된 바와 같이, 입력 데이터를 선택된 탐지 모델에 입력하고, 선택된 탐지 모델의 출력인 부정 거래 예측 정보를 기반으로 부정 거래 탐지 정보를 획득할 수 있다.
탐지 모델을 이용한 탐지 방법 : 제2 실시예
도 22는 본 발명의 바람직한 실시예에 따른 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법의 제2 실시예를 설명하기 위한 도면으로, 부정 거래 탐지 정보 획득 과정을 나타낸다.
도 22를 참조하면, 장치(100)의 프로세서(110)는 탐지 대상 지갑 주소의 입력 데이터를 탐지 모델에 입력하고, 탐지 모델의 출력인 부정 거래 예측 정보를 기반으로 부정 거래 탐지 정보를 획득할 수 있다.
여기서, 부정 거래 예측 정보는 부정 거래 예측값 및 예측되는 부정 거래 유형을 포함할 수 있다.
즉, 프로세서(110)는 탐지 대상 지갑 주소에 대응되는 부정 거래 예측값을 기반으로 획득한 부정 거래 탐지 정보뿐만 아니라, 탐지 대상 지갑 주소가 부정 거래에 이용되는 경우 속할 가능성이 높은 부정 거래의 종류에 대한 정보를 더 포함하는 부정 거래 탐지 정보를 획득할 수 있다.
이때, 프로세서(110)는 탐지 대상 지갑 주소에 대응되는 부정 거래 예측값을 토대로 획득한 부정 거래 가능성이 미리 설정된 기준 이상인 경우에만 예측되는 부정 거래 유형을 포함하는 부정 거래 탐지 정보를 획득할 수 있다.
예컨대, 프로세서(110)는 탐지 대상 지갑 주소에 대응되는 부정 거래 예측값이 부정 거래 기준값인 "0.7"보다 크거나, 부정 거래 예측값에 따른 등급이 "부정 거래 가능성 높음"인 경우에, 탐지 모델의 출력인 "예측되는 부정 거래 유형"을 토대로 예측되는 부정 거래의 종류에 대한 정보를 더 포함하는 부정 거래 탐지 정보를 획득할 수 있다.
탐지 모델을 이용한 탐지 방법 : 제3 실시예
도 23은 본 발명의 바람직한 실시예에 따른 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법의 제3 실시예를 설명하기 위한 도면으로, 입력 데이터 획득 과정을 나타내고, 도 24는 본 발명의 바람직한 실시예에 따른 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법의 제3 실시예를 설명하기 위한 도면으로, 부정 거래 탐지 정보 획득 과정을 나타낸다.
도 23 및 도 24를 참조하면, 장치(100)의 프로세서(110)는 미리 설정된 특징 추출 기준 정보를 기반으로, 탐지 대상 지갑 주소에 대응되는 특징 정보를 공통 특징 정보와 전용 특징 정보로 구분하여 획득할 수 있다.
여기서, 특징 추출 기준 정보는 전체 특징 중에서 가상 자산 유형에 상관없이 공통으로 이용되는 공통 특징에 대한 정보와 특정 가상 자산에서만 이용되는 특징을 나타내는 가상 자산 유형별 전용 특징에 대한 정보를 포함할 수 있다.
예컨대, 프로세서(110)는 [표 1]의 제1 특징 정보와 [표 2]의 제2 특징 정보에 따른 전체 특징 중에서 [표 5]와 같이 미리 설정된 특징 추출 기준 정보를 이용하여 탐지 대상 지갑 주소의 가상 자산 유형을 기반으로 탐지 대상 지갑 주소에 대응되는 공통 특징 정보와 전용 특징 정보를 획득할 수 있다.
그리고, 프로세서(110)는 가상 자산 유형별로 구축된 전용 탐지 모델에서 탐지 대상 지갑 주소의 가상 자산 유형을 기반으로 탐지 대상 지갑 주소에 대응되는 전용 탐지 모델을 선택할 수 있다.
그리고, 프로세서(110)는 입력 데이터의 공통 특징 정보를 기 구축된 공통 탐지 모델에 입력하고, 공통 탐지 모델의 출력인 부정 거래 예측 정보를 획득할 수 있다.
또한, 프로세서(110)는 입력 데이터의 공통 특징 정보와 전용 특징 정보를 선택된 전용 탐지 모델에 입력하고, 선택된 전용 탐지 모델의 출력인 부정 거래 예측 정보를 획득할 수 있다.
그리고, 프로세서(110)는 공통 탐지 모델의 출력인 부정 거래 예측 정보 및 선택된 전용 탐지 모델의 출력인 부정 거래 예측 정보를 기반으로 탐지 대상 지갑 주소에 대한 부정 거래 탐지 정보를 획득할 수 있다.
이때, 프로세서(110)는 공통 탐지 모델의 출력인 부정 거래 예측값과 선택된 전용 탐지 모델의 출력인 부정 거래 예측값을 평균한 값을 탐지 대상 지갑 주소에 대응되는 최종 부정 거래 예측값으로 획득하고, 획득한 최종 부정 거래 예측값을 기반으로 부정 거래 탐지 정보를 획득할 수 있다.
물론, 프로세서(110)는 공통 탐지 모델의 출력인 부정 거래 예측값과 선택된 전용 탐지 모델의 출력인 부정 거래 예측값을 가중합하여 획득한 값을 탐지 대상 지갑 주소에 대응되는 최종 부정 거래 예측값으로 획득할 수도 있다.
본 실시예들에 따른 동작은 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능한 저장 매체에 기록될 수 있다. 컴퓨터 판독 가능한 저장 매체는 실행을 위해 프로세서에 명령어를 제공하는데 참여한 임의의 매체를 나타낸다. 컴퓨터 판독 가능한 저장 매체는 프로그램 명령, 데이터 파일, 데이터 구조 또는 이들의 조합을 포함할 수 있다. 예컨대, 자기 매체, 광기록 매체, 메모리 등이 있을 수 있다. 컴퓨터 프로그램은 네트워크로 연결된 컴퓨터 시스템 상에 분산되어 분산 방식으로 컴퓨터가 읽을 수 있는 코드가 저장되고 실행될 수도 있다. 본 실시예를 구현하기 위한 기능적인(Functional) 프로그램, 코드, 및 코드 세그먼트들은 본 실시예가 속하는 기술 분야의 프로그래머들에 의해 용이하게 추론될 수 있을 것이다.
본 실시예들은 본 실시예의 기술 사상을 설명하기 위한 것이고, 이러한 실시예에 의하여 본 실시예의 기술 사상의 범위가 한정되는 것은 아니다. 본 실시예의 보호 범위는 아래의 청구범위에 의하여 해석되어야 하며, 그와 동등한 범위 내에 있는 모든 기술 사상은 본 실시예의 권리범위에 포함되는 것으로 해석되어야 할 것이다.
< 부호의 설명 >
100 : 장치,
110 : 프로세서,
130 : 컴퓨터 판독 가능한 저장 매체,
131 : 프로그램,
150 : 통신 버스,
170 : 입출력 인터페이스,
190 : 통신 인터페이스

Claims (16)

  1. 가상 자산 부정 거래 탐지를 위한 탐지 모델을 학습하기 위한 하나 이상의 프로그램을 저장하는 메모리 및 상기 메모리에 저장된 상기 하나 이상의 프로그램에 따라 상기 탐지 모델을 학습하기 위한 동작을 수행하는 하나 이상의 프로세서를 포함하는 장치에 의해 수행되는 학습 방법으로서,
    상기 프로세서가, 가상 자산 전체 블록 정보 및 가상 자산 부정 거래로 식별된 부정 거래 지갑 주소를 기반으로 획득한 상기 부정 거래 지갑 주소에 대응되는 특징 정보를 포함하는 학습 데이터를 획득하는 단계; 및
    상기 프로세서가, 상기 학습 데이터를 기반으로, 상기 특징 정보를 입력으로 하고 부정 거래 예측 정보를 출력으로 하는 머신 러닝 기반의 상기 탐지 모델을 학습하는 단계;
    를 포함하며,
    상기 학습 데이터 획득 단계는, 상기 부정 거래 지갑 주소의 가상 자산 유형을 기반으로 상기 가상 자산 전체 블록 정보에서 상기 부정 거래 지갑 주소에 대응되는 전체 트랜잭션 정보를 획득하고, 전체 특징 중에서 가상 자산 유형별로 미리 결정된 특징을 기반으로 상기 전체 트랜잭션 정보에서 상기 부정 거래 지갑 주소에 대응되는 상기 특징 정보를 획득하며, 가상 자산 유형별로 상기 학습 데이터를 획득하는 것으로 이루어지고,
    상기 탐지 모델 학습 단계는, 가상 자산 유형별로 획득한 상기 학습 데이터를 기반으로, 가상 자산 유형별로 상기 탐지 모델을 학습하는 것으로 이루어지는,
    가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법.
  2. 제1항에서,
    상기 학습 데이터 획득 단계는,
    상기 부정 거래 지갑 주소에 대응되는 특징 정보 및 상기 부정 거래 지갑 주소에 대응되는 부정 거래 유형 정보를 포함하는 상기 학습 데이터를 획득하는 것으로 이루어지는,
    가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법.
  3. 제2항에서,
    상기 탐지 모델 학습 단계는,
    상기 학습 데이터를 기반으로, 부정 거래 예측값 및 예측되는 부정 거래 유형을 포함하는 상기 부정 거래 예측 정보를 출력하는 상기 탐지 모델을 학습하는 것으로 이루어지는,
    가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법.
  4. 제1항에서,
    상기 특징 정보는,
    특징 추출 대상 지갑 주소가 사용된 트랜잭션 개수 정보, 상기 특징 추출 대상 지갑 주소의 거래량 정보, 전체 트랜잭션에서 상기 특징 추출 대상 지갑 주소가 사용된 개수를 나타내는 노출 개수 정보, 상기 특징 추출 대상 지갑 주소의 첫 거래와 마지막 거래 사이의 기간을 나타내는 거래 기간 정보, 상기 특징 추출 대상 지갑 주소의 지갑 주소 타입 정보, 상기 특징 추출 대상 지갑 주소의 트랜잭션 수수료 정보 및 상기 특징 추출 대상 지갑 주소의 거래 상대방인 지갑 주소의 개수를 나타내는 지갑 주소 개수 정보 중 적어도 하나를 포함하는 제1 특징 정보를 포함하는,
    가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법.
  5. 제4항에서,
    상기 특징 정보는,
    상기 제1 특징 정보를 기반으로 획득되고, 최대값, 최소값, 중간값, 평균값, 분산값, 왜도값, 첨도값 및 표준편차값 중 적어도 하나를 포함하는 통계값을 나타내는 제2 특징 정보를 더 포함하는,
    가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법.
  6. 제1항에서,
    상기 학습 데이터 획득 단계는,
    정상 거래 지갑 주소를 기반으로 상기 가상 자산 전체 블록 정보에서 상기 정상 거래 지갑 주소에 대응되는 상기 특징 정보를 획득하고, 상기 부정 거래 지갑 주소에 대응되는 상기 특징 정보 및 상기 정상 거래 지갑 주소에 대응되는 상기 특징 정보를 포함하는 상기 학습 데이터를 획득하는 것으로 이루어지는,
    가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법.
  7. 가상 자산 부정 거래 탐지를 위한 탐지 모델을 학습하는 장치로서,
    상기 탐지 모델을 학습하기 위한 하나 이상의 프로그램을 저장하는 메모리; 및
    상기 메모리에 저장된 상기 하나 이상의 프로그램에 따라 상기 탐지 모델을 학습하기 위한 동작을 수행하는 하나 이상의 프로세서;
    를 포함하며,
    상기 프로세서는,
    가상 자산 전체 블록 정보 및 가상 자산 부정 거래로 식별된 부정 거래 지갑 주소를 기반으로 획득한 상기 부정 거래 지갑 주소에 대응되는 특징 정보를 포함하는 학습 데이터를 획득하고,
    상기 학습 데이터를 기반으로, 상기 특징 정보를 입력으로 하고 부정 거래 예측 정보를 출력으로 하는 머신 러닝 기반의 상기 탐지 모델을 학습하며,
    상기 프로세서는,
    상기 부정 거래 지갑 주소의 가상 자산 유형을 기반으로 상기 가상 자산 전체 블록 정보에서 상기 부정 거래 지갑 주소에 대응되는 전체 트랜잭션 정보를 획득하고, 전체 특징 중에서 가상 자산 유형별로 미리 결정된 특징을 기반으로 상기 전체 트랜잭션 정보에서 상기 부정 거래 지갑 주소에 대응되는 상기 특징 정보를 획득하며, 가상 자산 유형별로 상기 학습 데이터를 획득하고,
    가상 자산 유형별로 획득한 상기 학습 데이터를 기반으로, 가상 자산 유형별로 상기 탐지 모델을 학습하는,
    장치.
  8. 제7항에서,
    상기 특징 정보는,
    특징 추출 대상 지갑 주소가 사용된 트랜잭션 개수 정보, 상기 특징 추출 대상 지갑 주소의 거래량 정보, 전체 트랜잭션에서 상기 특징 추출 대상 지갑 주소가 사용된 개수를 나타내는 노출 개수 정보, 상기 특징 추출 대상 지갑 주소의 첫 거래와 마지막 거래 사이의 기간을 나타내는 거래 기간 정보, 상기 특징 추출 대상 지갑 주소의 지갑 주소 타입 정보, 상기 특징 추출 대상 지갑 주소의 트랜잭션 수수료 정보 및 상기 특징 추출 대상 지갑 주소의 거래 상대방인 지갑 주소의 개수를 나타내는 지갑 주소 개수 정보 중 적어도 하나를 포함하는 제1 특징 정보를 포함하는,
    장치.
  9. 제8항에서,
    상기 특징 정보는,
    상기 제1 특징 정보를 기반으로 획득되고, 최대값, 최소값, 중간값, 평균값, 분산값, 왜도값, 첨도값 및 표준편차값 중 적어도 하나를 포함하는 통계값을 나타내는 제2 특징 정보를 더 포함하는,
    장치.
  10. 탐지 모델을 이용하여 가상 자산 부정 거래를 탐지하기 위한 하나 이상의 프로그램을 저장하는 메모리 및 상기 메모리에 저장된 상기 하나 이상의 프로그램에 따라 상기 탐지 모델을 이용하여 가상 자산 부정 거래를 탐지하기 위한 동작을 수행하는 하나 이상의 프로세서를 포함하는 장치에 의해 수행되는 탐지 방법으로서,
    상기 프로세서가, 탐지 대상 지갑 주소를 획득하는 단계;
    상기 프로세서가, 가상 자산 전체 블록 정보 및 상기 탐지 대상 지갑 주소를 기반으로 획득한 상기 탐지 대상 지갑 주소에 대응되는 특징 정보를 포함하는 입력 데이터를 획득하는 단계; 및
    상기 프로세서가, 미리 학습되어 구축된 상기 탐지 모델을 이용하여, 상기 입력 데이터를 기반으로 상기 탐지 대상 지갑 주소에 대응되는 부정 거래 탐지 정보를 획득하는 단계;
    를 포함하며,
    상기 탐지 모델은,
    상기 입력 데이터를 입력으로 하고 부정 거래 예측 정보를 출력으로 하는 머신 러닝 기반의 모델이고,
    상기 입력 데이터 획득 단계는, 상기 탐지 대상 지갑 주소에 대응되는 전체 트랜잭션 정보를 상기 가상 자산 전체 블록 정보에서 획득하고, 전체 특징 중에서 가상 자산 유형별로 미리 결정된 특징을 기반으로 상기 전체 트랜잭션 정보에서 상기 탐지 대상 지갑 주소에 대응되는 상기 특징 정보를 획득하는 것으로 이루어지며,
    상기 부정 거래 탐지 정보 획득 단계는, 가상 자산 유형별로 구축된 상기 탐지 모델 중에서 상기 탐지 대상 지갑 주소의 가상 자산 유형을 기반으로 선택된 상기 탐지 모델에 상기 입력 데이터를 입력하고, 상기 탐지 모델의 출력인 상기 부정 거래 예측 정보를 기반으로 상기 부정 거래 탐지 정보를 획득하는 것으로 이루어지는,
    탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법.
  11. 제10항에서,
    상기 부정 거래 탐지 정보 획득 단계는,
    부정 거래 예측값 및 예측되는 부정 거래 유형을 포함하는 상기 부정 거래 예측 정보를 기반으로 상기 부정 거래 탐지 정보를 획득하는 것으로 이루어지는,
    탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법.
  12. 제10항에서,
    상기 특징 정보는,
    특징 추출 대상 지갑 주소가 사용된 트랜잭션 개수 정보, 상기 특징 추출 대상 지갑 주소의 거래량 정보, 전체 트랜잭션에서 상기 특징 추출 대상 지갑 주소가 사용된 개수를 나타내는 노출 개수 정보, 상기 특징 추출 대상 지갑 주소의 첫 거래와 마지막 거래 사이의 기간을 나타내는 거래 기간 정보, 상기 특징 추출 대상 지갑 주소의 지갑 주소 타입 정보, 상기 특징 추출 대상 지갑 주소의 트랜잭션 수수료 정보 및 상기 특징 추출 대상 지갑 주소의 거래 상대방인 지갑 주소의 개수를 나타내는 지갑 주소 개수 정보 중 적어도 하나를 포함하는 제1 특징 정보를 포함하는,
    탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법.
  13. 제12항에서,
    상기 특징 정보는,
    상기 제1 특징 정보를 기반으로 획득되고, 최대값, 최소값, 중간값, 평균값, 분산값, 왜도값, 첨도값 및 표준편차값 중 적어도 하나를 포함하는 통계값을 나타내는 제2 특징 정보를 더 포함하는,
    탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법.
  14. 탐지 모델을 이용하여 가상 자산 부정 거래를 탐지하는 장치로서,
    상기 탐지 모델을 이용하여 가상 자산 부정 거래를 탐지하기 위한 하나 이상의 프로그램을 저장하는 메모리; 및
    상기 메모리에 저장된 상기 하나 이상의 프로그램에 따라 상기 탐지 모델을 이용하여 가상 자산 부정 거래를 탐지하기 위한 동작을 수행하는 하나 이상의 프로세서;
    를 포함하며,
    상기 프로세서는,
    탐지 대상 지갑 주소를 획득하고,
    가상 자산 전체 블록 정보 및 상기 탐지 대상 지갑 주소를 기반으로 획득한 상기 탐지 대상 지갑 주소에 대응되는 특징 정보를 포함하는 입력 데이터를 획득하며,
    미리 학습되어 구축된 상기 탐지 모델을 이용하여, 상기 입력 데이터를 기반으로 상기 탐지 대상 지갑 주소에 대응되는 부정 거래 탐지 정보를 획득하며,
    상기 탐지 모델은,
    상기 입력 데이터를 입력으로 하고 부정 거래 예측 정보를 출력으로 하는 머신 러닝 기반의 모델이고,
    상기 프로세서는,
    상기 탐지 대상 지갑 주소에 대응되는 전체 트랜잭션 정보를 상기 가상 자산 전체 블록 정보에서 획득하고, 전체 특징 중에서 가상 자산 유형별로 미리 결정된 특징을 기반으로 상기 전체 트랜잭션 정보에서 상기 탐지 대상 지갑 주소에 대응되는 상기 특징 정보를 획득하며,
    가상 자산 유형별로 구축된 상기 탐지 모델 중에서 상기 탐지 대상 지갑 주소의 가상 자산 유형을 기반으로 선택된 상기 탐지 모델에 상기 입력 데이터를 입력하고, 상기 탐지 모델의 출력인 상기 부정 거래 예측 정보를 기반으로 상기 부정 거래 탐지 정보를 획득하는,
    장치.
  15. 제14항에서,
    상기 특징 정보는,
    특징 추출 대상 지갑 주소가 사용된 트랜잭션 개수 정보, 상기 특징 추출 대상 지갑 주소의 거래량 정보, 전체 트랜잭션에서 상기 특징 추출 대상 지갑 주소가 사용된 개수를 나타내는 노출 개수 정보, 상기 특징 추출 대상 지갑 주소의 첫 거래와 마지막 거래 사이의 기간을 나타내는 거래 기간 정보, 상기 특징 추출 대상 지갑 주소의 지갑 주소 타입 정보, 상기 특징 추출 대상 지갑 주소의 트랜잭션 수수료 정보 및 상기 특징 추출 대상 지갑 주소의 거래 상대방인 지갑 주소의 개수를 나타내는 지갑 주소 개수 정보 중 적어도 하나를 포함하는 제1 특징 정보를 포함하는,
    장치.
  16. 제15항에서,
    상기 특징 정보는,
    상기 제1 특징 정보를 기반으로 획득되고, 최대값, 최소값, 중간값, 평균값, 분산값, 왜도값, 첨도값 및 표준편차값 중 적어도 하나를 포함하는 통계값을 나타내는 제2 특징 정보를 더 포함하는,
    장치.
PCT/KR2022/013886 2021-12-09 2022-09-16 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법, 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법 및 이들을 수행하는 장치 및 컴퓨터 프로그램 WO2023106572A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2021-0175833 2021-12-09
KR1020210175833A KR102440878B1 (ko) 2021-12-09 2021-12-09 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법, 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법 및 이들을 수행하는 장치 및 컴퓨터 프로그램

Publications (1)

Publication Number Publication Date
WO2023106572A1 true WO2023106572A1 (ko) 2023-06-15

Family

ID=83279747

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2022/013886 WO2023106572A1 (ko) 2021-12-09 2022-09-16 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법, 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법 및 이들을 수행하는 장치 및 컴퓨터 프로그램

Country Status (2)

Country Link
KR (1) KR102440878B1 (ko)
WO (1) WO2023106572A1 (ko)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102440878B1 (ko) * 2021-12-09 2022-09-05 한국인터넷진흥원 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법, 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법 및 이들을 수행하는 장치 및 컴퓨터 프로그램
KR102640986B1 (ko) * 2023-09-07 2024-02-27 주식회사 보난자팩토리 블록체인 네트워크 상의 트랜잭션 정보에 기반한 가상자산 거래분석 데이터베이스 생성 시스템 및 방법

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005507106A (ja) * 2001-10-17 2005-03-10 エヌ・ピー・エックス テクノロジース リミテッド オンラインで受信する人物識別子の検証
KR102009310B1 (ko) * 2018-10-15 2019-10-21 주식회사 에이젠글로벌 이상행위 요인 분석 시스템 및 분석 방법
KR102058683B1 (ko) * 2019-09-05 2019-12-23 (주)에스투더블유랩 암호화폐 거래 분석 방법 및 장치
KR20210096364A (ko) * 2020-01-28 2021-08-05 (주)인프라케이 가상자산 부정 거래 탐지 시스템 및 방법
KR102440878B1 (ko) * 2021-12-09 2022-09-05 한국인터넷진흥원 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법, 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법 및 이들을 수행하는 장치 및 컴퓨터 프로그램

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005507106A (ja) * 2001-10-17 2005-03-10 エヌ・ピー・エックス テクノロジース リミテッド オンラインで受信する人物識別子の検証
KR102009310B1 (ko) * 2018-10-15 2019-10-21 주식회사 에이젠글로벌 이상행위 요인 분석 시스템 및 분석 방법
KR102058683B1 (ko) * 2019-09-05 2019-12-23 (주)에스투더블유랩 암호화폐 거래 분석 방법 및 장치
KR20210096364A (ko) * 2020-01-28 2021-08-05 (주)인프라케이 가상자산 부정 거래 탐지 시스템 및 방법
KR102440878B1 (ko) * 2021-12-09 2022-09-05 한국인터넷진흥원 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법, 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법 및 이들을 수행하는 장치 및 컴퓨터 프로그램

Also Published As

Publication number Publication date
KR102440878B1 (ko) 2022-09-05

Similar Documents

Publication Publication Date Title
WO2023106572A1 (ko) 가상 자산 부정 거래 탐지를 위한 탐지 모델의 학습 방법, 탐지 모델을 이용한 가상 자산 부정 거래의 탐지 방법 및 이들을 수행하는 장치 및 컴퓨터 프로그램
WO2021080102A1 (en) Method for training and testing adaption network corresponding to obfuscation network capable of processing data to be concealed for privacy, and training device and testing device using the same
WO2021045331A1 (ko) 암호화폐 거래 분석 방법 및 장치
WO2023038387A1 (ko) 데이터 플로우 기반 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2020107756A1 (zh) 信贷反欺诈方法、系统、设备及计算机可读存储介质
WO2017003051A1 (ko) 랜덤하면서 유일한 코드를 생성하는 전자 장치 및 방법
WO2019112326A1 (en) Security enhancement method and electronic device therefor
WO2018008881A1 (ko) 단말장치 및 서비스서버, 그 장치에 의해 수행되는 진단분석 서비스를 제공하기 위한 방법 및 프로그램과, 그 프로그램이 기록된 컴퓨터 판독 가능 기록매체
WO2014171680A1 (en) Mobile terminal, security server and payment method thereof
WO2018201638A1 (zh) 基于图像识别的信息采集方法、移动终端及存储介质
WO2020233076A1 (zh) 基于身份验证的物品入库方法、装置、设备及存储介质
WO2022114689A1 (ko) 이미지 기반 악성코드 탐지 방법 및 장치와 이를 이용하는 인공지능 기반 엔드포인트 위협탐지 및 대응 시스템
WO2020189993A1 (ko) 암호화폐 분실 방지 방법 및 시스템
WO2022108318A1 (ko) 스마트 컨트랙트 코드 취약점 분석 장치 및 방법
WO2020080590A1 (ko) 블록체인 기반의 기업투자 시스템 및 그 제어방법
WO2021177639A1 (ko) 거래에서 사용자 정보를 식별하는 방법 및 이러한 방법을 수행하는 장치
WO2023191129A1 (ko) 법안 및 법규정에 대한 모니터링 방법 및 이를 위한 프로그램
WO2021210918A1 (en) Electronic device for sending cryptocurrency to blockchain account and method for operating the same
WO2018236141A1 (ko) 크래시 리포트 그룹핑 방법, 서버 및 컴퓨터 프로그램
WO2011068315A4 (ko) 최대 개념강도 인지기법을 이용한 최적의 데이터베이스 선택장치 및 그 방법
WO2015026083A1 (ko) 휴대폰 본인인증 도용방지와 스미싱 방지를 위한 문자메시지 보안시스템 및 방법
EP3857414A1 (en) Electronic device and control method thereof
WO2023229094A1 (ko) 행동 예측 방법 및 장치
WO2020222448A1 (ko) 결제 기반 장치 이용 서비스를 제공하는 단말기 및 서비스 서버
WO2017071448A1 (zh) 一种移动网络注册方法及相关设备、系统

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 18000384

Country of ref document: US

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22904406

Country of ref document: EP

Kind code of ref document: A1