Normalisation and Initialisation Strategies for Graph Neural Networks in Blockchain Anomaly Detection

Diese Studie analysiert systematisch den Einfluss von Initialisierungs- und Normalisierungsstrategien auf die Leistung verschiedener Graph Neural Network-Architekturen bei der Erkennung von Blockchain-Anomalien im Elliptic-Datensatz und liefert dabei architekturspezifische Empfehlungen für den Einsatz in Anti-Geldwäsche-Pipelines.

Das Wesentliche

🕵️‍♂️ Die große Jagd nach den Bitcoin-Betrügern

Stell dir vor, du hast einen riesigen, chaotischen Marktplatz (das ist die Blockchain). Dort tauschen Millionen von Leuten Geld aus. Die meisten sind ehrlich, aber ein paar versuchen, illegal Geld zu waschen oder zu stehlen.

Früher haben die Sicherheitsleute nur auf die einzelnen Personen geachtet („Der hat viel Geld, also ist er verdächtig"). Das funktionierte aber nicht gut, weil Betrüger oft in Gruppen arbeiten und sich gegenseitig helfen.

Heute nutzen die Sicherheitsleute Graph Neural Networks (GNNs). Das sind wie super-intelligente Detektive, die nicht nur die Person, sondern auch ihre Freunde und Bekannten beobachten. Wenn jemand mit einer ganzen Bande von Betrügern hängt, merken die Detektive das sofort.

🛠️ Das Problem: Der Werkzeugkasten war nicht perfekt

Die Forscher (Dang, Chien und ihre Kollegen) haben herausgefunden, dass diese super-Detektive zwar gut sind, aber oft falsch eingestellt werden. Es gibt zwei wichtige Dinge, die man beim „Einschalten" dieser Detektive beachten muss:

1. Der Startschuss (Initialisierung): Stell dir vor, du startest einen Rennwagen. Wenn du den Motor zu schwach oder zu stark anfeuert, läuft er nicht richtig. Bei den KI-Modellen heißt das: Wie werden die ersten Zahlen (Gewichte) zufällig gesetzt, bevor das Lernen beginnt?
2. Die Stabilisierung (Normalisierung): Stell dir vor, die Detektive laufen durch einen Sturm. Manche werden vom Wind (den Daten) so herumgewirbelt, dass sie den Weg verlieren. Eine „Normalisierung" ist wie ein Rucksack oder ein Anker, der sie stabil hält, damit sie nicht verrückt werden.

Die Forscher haben untersucht: Welche Kombination aus Startschuss und Stabilisierung funktioniert für welche Art von Detektiv am besten?

🔍 Die drei Detektive und ihre Geheimnisse

Die Forscher haben drei verschiedene Arten von KI-Detektiven getestet, die alle auf dem „Elliptic"-Datensatz (eine echte Datenbank von Bitcoin-Transaktionen) trainiert wurden. Hier ist, was sie herausfanden:

1. Der Klassiker: GCN (Graph Convolutional Network)

• Wer ist das? Der solide, bewährte Polizist. Er schaut sich alle Nachbarn gleichmäßig an.
• Das Ergebnis: Er ist sehr stabil. Er braucht keine speziellen Tricks. Ob man ihm einen neuen Rucksack (GraphNorm) gibt oder den Motor anders startet (Xavier), macht kaum einen Unterschied.
• Lektion: „Wenn es nicht kaputt ist, repariere es nicht." Der Standard-Einstellung reicht ihm völlig.

2. Der Aufpasser: GAT (Graph Attention Network)

• Wer ist das? Der schlaue Detektiv, der genau hinschaut. Er entscheidet selbst, welche Nachbarn wichtig sind und welche nicht (wie ein Lehrer, der den lauten Schülern mehr Beachtung schenkt).
• Das Ergebnis: Dieser Detektiv wird schnell verwirrt, wenn die Daten chaotisch sind. Aber! Wenn man ihm beides gibt – den perfekten Startschuss (Xavier) UND den stabilisierenden Rucksack (GraphNorm) – dann wird er zum Superhelden. Seine Leistung verbessert sich enorm.
• Lektion: „Ein scharfer Verstand braucht beides: einen klaren Start und Ruhe im Chaos."

3. Der Sammler: GraphSAGE

• Wer ist das? Der effiziente Sammler. Er holt sich Informationen von zufälligen Nachbarn, um schnell neue Fälle zu lösen (gut für riesige Netzwerke).
• Das Ergebnis: Er liebt den perfekten Startschuss (Xavier). Wenn man ihm aber den Rucksack (GraphNorm) aufbürdet, wird er sogar etwas langsamer und ungenauer. Er funktioniert am besten, wenn man ihn einfach nur gut startet und ihn dann machen lässt.
• Lektion: „Manchmal ist weniger mehr. Ein guter Start reicht, um ihn zum Gewinner zu machen."

💡 Was bedeutet das für die echte Welt?

Die wichtigste Botschaft der Studie ist: Es gibt keine „Eine-für-alles"-Lösung.

Früher dachten viele, man müsse einfach immer die neuesten Tricks (wie GraphNorm) auf alle Modelle anwenden. Die Forscher sagen jetzt: Halt! Das kommt auf den Detektiv an.

• Willst du den GAT-Detektiv nutzen? Gib ihm den Rucksack und den perfekten Start.
• Willst du GraphSAGE nutzen? Gib ihm nur den perfekten Start.
• Willst du GCN nutzen? Lass ihn so, wie er ist.

🚀 Warum ist das wichtig?

In der Welt des Geldwäsche-Bekämpfens (AML) ist es extrem wichtig, die wenigen Betrüger (die „Nadel im Heuhaufen") zu finden, ohne die ehrlichen Leute zu stören. Wenn die KI falsch eingestellt ist, übersieht sie Betrüger oder beschuldigt unschuldige Leute.

Diese Studie gibt den Banken und Sicherheitsbehörden eine Bauanleitung: Sie müssen nicht blindlings neue, komplizierte KI-Modelle bauen, sondern können bestehende Modelle viel besser machen, indem sie einfach die richtigen „Einstellungen" (Start und Stabilisierung) für den jeweiligen Typ wählen.

Kurz gesagt: Um Betrüger in der Blockchain zu fangen, muss man wissen, welcher Detektiv welche Ausrüstung braucht. Ein Maßanzug passt nicht jedem gleich gut!

Technische Zusammenfassung

Titel: Normalisierungs- und Initialisierungsstrategien für Graph Neural Networks in der Blockchain-Anomalieerkennung

Autoren: Dang Sy Duy, Nguyen Duy Chien, Kapil Dev und Jeff Nijsse (RMIT University & Vietnam National University).

---

1. Problemstellung

Graph Neural Networks (GNNs) gelten als vielversprechender Ansatz zur Erkennung von Finanzbetrug, da sie sowohl Knotenmerkmale als auch die Topologie von Transaktionsgraphen gemeinsam lernen können. Trotz ihres Potenzials hängt die Effektivität von GNNs in realen Anti-Geldwäsche-Szenarien (AML) kritisch von Trainingspraktiken ab, die bisher wenig erforscht wurden:

• Gewichtsinitialisierung: Wie beeinflussen Strategien wie Xavier oder Kaiming die Stabilität und Konvergenz?
• Normalisierung: Können graph-spezifische Normalisierungsmethoden (z. B. GraphNorm) besser mit Phänomenen wie Feature-Drift und Over-Smoothing umgehen als herkömmliche Methoden (BatchNorm, LayerNorm)?

Besonders herausfordernd sind die Eigenschaften von Transaktionsgraphen wie Heterophilie (Knoten mit unterschiedlichen Merkmalen sind verbunden), starke Grad-Verzerrungen (einige Knoten haben extrem viele Verbindungen) und zeitliche Drifts. Diese Faktoren können die Leistung von GNNs auf Benchmarks wie dem Elliptic Bitcoin-Datensatz beeinträchtigen.

2. Methodik

Die Studie führt eine systematische Ablationsstudie durch, um den Einfluss von Initialisierung und Normalisierung auf drei gängige GNN-Architekturen zu untersuchen: GCN (Graph Convolutional Network), GAT (Graph Attention Network) und GraphSAGE.

• Datensatz: Der Elliptic Bitcoin-Datensatz wird verwendet. Er enthält ca. 203.769 Knoten (Transaktionen) und 234.355 gerichtete Kanten. Die Daten sind stark unausgewogen (nur 2 % illegal, 21 % legal, 77 % unbekannt).
• Datenaufteilung: Um Informationslecks zu vermeiden, werden strikte zeitliche Splits verwendet (29 Zeitpunkte zum Training, 10 zur Validierung, 10 zum Testen). Dies simuliert realistische Einsatzszenarien, bei denen nur vergangene Daten zur Vorhersage zukünftiger Transaktionen genutzt werden.
• Modellarchitektur:
  • Eingabe: 166-dimensionale Feature-Vektoren pro Transaktion.
  • Schichten: 1–3 GNN-Schichten mit ReLU-Aktivierung, gefolgt von Dropout und einer Klassifizierungsschicht.
  • Variationen: Jede Architektur wird mit und ohne GraphNorm (graph-level Normalisierung) und mit unterschiedlichen Initialisierungen (Xavier vs. Standard/He) getestet.
• Hyperparameter-Optimierung: Es wird Optuna mit dem TPE-Algorithmus und ASHA verwendet, um über 100 Versuche hinweg optimale Hyperparameter (Lernrate, Dimensionen, Dropout-Rate) zu finden.
• Bewertungsmetriken: Aufgrund der starken Klassenungleichheit wird AUPRC (Area Under the Precision-Recall Curve) als primäre Metrik verwendet, ergänzt durch AUC-ROC. Zusätzlich wird eine robuste Bewertung durch 100-maliges Subsampling des Testsets durchgeführt.

3. Hauptbeiträge

1. Systematische Analyse: Eine kontrollierte Ablationsstudie von Xavier-Initialisierung und GraphNorm auf dem Elliptic-Datensatz für drei verschiedene GNN-Architekturen.
2. Architekturspezifische Erkenntnisse: Die Studie zeigt, dass die Auswirkungen von Initialisierung und Normalisierung nicht universell sind, sondern stark von der gewählten Architektur abhängen.
3. Reproduzierbares Framework: Bereitstellung eines vollständigen Experiments mit zeitlich korrekten Splits, geseedeten Runs und detaillierten Ablationsergebnissen, um die Vergleichbarkeit in der AML-Forschung zu verbessern.

4. Ergebnisse

Die Experimente offenbaren deutliche Unterschiede im Verhalten der Architekturen:

• GraphSAGE: Erzielt die beste Gesamtleistung allein durch Xavier-Initialisierung (AUPRC: 0,6678). Die zusätzliche Anwendung von GraphNorm führt hier zu leichten Leistungseinbußen, was darauf hindeutet, dass GraphNorm die Nachbarschaftsaggregation von GraphSAGE stören könnte.
• GAT (Graph Attention Network): Profitiert am meisten von der Kombination aus GraphNorm und Xavier-Initialisierung. Dies führt zu einer signifikanten Steigerung des AUPRC um +0,055 gegenüber dem Baseline-Modell (auf 0,6568). GraphNorm hilft hier, die gewichtete Aggregation durch den Attention-Mechanismus unter der stark verzerrten Gradverteilung zu stabilisieren.
• GCN: Zeigt eine geringe Sensitivität gegenüber diesen Modifikationen. Das Baseline-Modell (Standard-Initialisierung, keine GraphNorm) erzielt hier die besten Ergebnisse (AUPRC: 0,5993). Sowohl Xavier als auch GraphNorm führen zu keinen signifikanten Verbesserungen oder sogar zu Verschlechterungen.

Vergleich mit dem Stand der Technik:
Das beste Modell (GraphSAGE mit Xavier) übertrifft den bisherigen Benchmark von Deprez et al. (AUPRC 0,6392) mit einem Wert von 0,6678.

5. Bedeutung und Schlussfolgerung

Die Studie liefert wichtige praktische Leitlinien für den Einsatz von GNNs in AML-Pipelines:

• Keine "One-Size-Fits-All"-Lösung: Es gibt keine universell beste Strategie für Initialisierung und Normalisierung. Die Wahl muss an die spezifische Architektur angepasst werden (z. B. GraphNorm + Xavier für GAT, nur Xavier für GraphSAGE).
• Training vs. Architektur: Bei unausgewogenen Transaktionsgraphen spielen sorgfältige Initialisierung und architekturbewusste Optimierung eine konsistentere Rolle als die alleinige Anwendung von graph-spezifischer Normalisierung.
• Praktische Relevanz: Die Ergebnisse helfen, stabile Trainingsprozesse zu gewährleisten und die Zuverlässigkeit der Rangfolge von verdächtigen Transaktionen zu verbessern, was für die operative Geldwäschebekämpfung entscheidend ist.

Die Autoren weisen jedoch auf Limitationen hin, wie die Beschränkung auf drei Architekturen und die vereinfachte Natur des Elliptic-Datensatzes im Vergleich zu komplexen, realen Finanznetzwerken. Zukünftige Arbeiten sollten zeitliche GNNs und neuere Datensätze (Elliptic2) einbeziehen.