💻 computer science

Behavior–Transaction Relation Dual-Branch Hybrid Graph Neural Network for Joint Modeling of Address Behavior and Transaction Relations in Illicit Bitcoin Address Detection

Questo articolo propone la BTR-DHGNN (Behavior–Transaction Relation Dual-Branch Hybrid Graph Neural Network), un framework transduttivo che modella congiuntamente il comportamento dell'indirizzo e le relazioni esplicite delle transazioni con consapevolezza della direzione e fusione adattiva per rilevare efficacemente gli indirizzi Bitcoin illeciti nonostante lo squilibrio delle etichette e i limiti del modello UTXO.

Autori originali: Donghui Liu, Wendi Sun, Meiling Gao

Pubblicato 2026-09-28

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Donghui Liu, Wendi Sun, Meiling Gao

Articolo originale sotto licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Bitcoin opera su un registro pubblico, un record trasparente di ogni trasferimento di valore avvenuto finora sulla sua rete. Sebbene le identità dietro gli indirizzi digitali rimangano nascoste, il flusso di fondi è interamente visibile, creando un'opportunità unica per gli investigatori finanziari. Tuttavia, questa trasparenza è un'arma a doppio taglio. I criminali utilizzano tecniche complesse per oscurare le proprie tracce, come suddividere i fondi in molti indirizzi, combinare denaro proveniente da diverse fonti o spostarlo attraverso molteplici fasi per interrompere il collegamento tra l'origine e la destinazione. Rilevare queste attività illecite è difficile perché i dati sono vasti, le etichette che identificano i criminali sono rare e la struttura delle transazioni è intricata. I metodi tradizionali spesso analizzano un singolo indirizzo in isolamento, contando quante volte ha inviato o ricevuto denaro, ma questo approccio trascura il contesto cruciale di come i fondi si muovono effettivamente attraverso la rete.

Per risolvere questo problema, i ricercatori hanno sviluppato un nuovo sistema chiamato Behavior–Transaction Relation Dual-Branch Hybrid Graph Neural Network. Questo strumento tratta la rete Bitcoin non come una semplice lista di numeri, ma come una complessa ragnatela dove contano sia le abitudini di un indirizzo sia le sue specifiche connessioni con altri indirizzi. Il sistema funziona osservando simultaneamente due tipi distinti di prove. Primo, analizza il "comportamento" di un indirizzo, esaminando la sua storia personale: quanto denaro sposta, quanto spesso agisce, le commissioni che paga e da quanto tempo è attivo. Secondo, esamina le "relazioni", mappando il percorso specifico dei fondi attraverso la rete. Fondamentalmente, questo sistema rispetta il modo unico in cui funzionano le transazioni Bitcoin, distinguendo chiaramente tra il denaro che entra in una transazione e quello che ne esce, invece di confondere questi ruoli. Combinando queste due prospettive, il modello può individuare schemi che nessuno dei due punti di vista potrebbe identificare da solo.

I ricercatori hanno testato questo sistema su un enorme dataset storico di transazioni Bitcoin contenente oltre 800.000 indirizzi e più di 200.000 transazioni. In questo dataset, gli indirizzi illeciti erano una minuscola minoranza, rappresentando meno del sei per cento degli account etichettati, il che rendeva il compito di trovarli simile alla ricerca di pochi granelli di sabbia specifici in un grande mucchio. Il nuovo sistema ha superato tutti i metodi precedenti, inclusi gli strumenti statistici standard e altri modelli basati sui grafi. Ha raggiunto un tasso di successo in cui ha identificato correttamente il 94 percento degli indirizzi illeciti mantenendo al minimo i falsi allarmi. Questo alto livello di accuratezza è vitale perché, nelle investigazioni reali, troppi falsi allarmi sovraccaricano gli analisti umani, mentre mancare anche solo alcuni criminali può permettere ai fondi illeciti di sfuggire.

Una scoperta chiave dello studio è che il successo del sistema dipende dal delicato equilibrio tra l'osservazione della propria storia di un indirizzo e l'osservazione dei suoi vicini. I ricercatori hanno scoperto che, sebbene le connessioni con altri indirizzi forniscano il segnale più forte per il rilevamento, il comportamento del proprio indirizzo è essenziale per filtrare gli errori. Senza la branca comportamentale, il sistema segnalerebbe troppi indirizzi innocenti come sospetti. Senza la branca delle relazioni, perderebbe i flussi di denaro sottili e complessi che caratterizzano l'attività criminale. Il sistema ha anche imparato a gestire la rarità delle etichette criminali utilizzando un metodo di addestramento speciale che lo costringe a prestare particolare attenzione ai pochi attori malintenzionati noti, invece di ignorarli a favore della vasta quantità di utenti legittimi.

Lo studio ha inoltre rivelato che il modo in cui il sistema osserva la rete è fondamentale. Ha scoperto che semplicemente connettere gli indirizzi alle transazioni non è sufficiente; il sistema deve comprendere la direzione del denaro. Tratta l'input di una transazione (da dove proviene il denaro) e l'output (dove va il denaro) come ruoli distinti. Questa distinzione permette al modello di tracciare il flusso dei fondi in modo più accurato rispetto ai metodi che trattano tutte le connessioni come uguali. Inoltre, i ricercatori hanno introdotto una tecnica in cui il sistema si esercita su versioni leggermente alterate della rete durante l'addestramento. Ciò aiuta il modello a imparare la vera struttura della rete piuttosto che memorizzare connessioni accidentali o deboli che potrebbero apparire per caso.

Nell'analisi finale, questo lavoro dimostra che rilevare l'attività illecita di Bitcoin richiede un approccio duale che rispetti sia le abitudini individuali di un indirizzo sia la sua posizione all'interno del flusso più ampio di fondi. Il sistema non si affida a un singolo trucco o a una regola semplice, ma integra molteplici livelli di evidenza per prendere una decisione. Esso naviga con successo la sfida dell'estremo squilibrio, dove i criminali sono di gran lunga più numerosi degli utenti legittimi, e lo fa mantenendo un alto grado di precisione. I risultati suggeriscono che, per gli investigatori che lavorano con dati storici, questo approccio offre un modo potente per restringere l'elenco degli indirizzi sospetti, rendendo la successiva revisione manuale e la raccolta di prove più efficienti ed efficaci. Il metodo è progettato per l'analisi di cronologie di transazioni completate, fornendo uno strumento robusto per comprendere come i fondi si muovono attraverso la rete Bitcoin e identificare coloro che cercano di nascondersi in essa.

Sintesi Tecnica: BTR-DHGNN – Rete Neurale a Grafo Ibrida a Due Rami per la Relazione Comportamento-Transazione nella Rilevazione di Indirizzi Bitcoin Illeciti

Definizione del Problema

La rilevazione di indirizzi Bitcoin illeciti affronta tre sfide primarie:

Coordinamento Insufficiente: I metodi esistenti spesso non riescono a coordinare efficacemente le statistiche comportamentali a livello di indirizzo con le specifiche relazioni transazionali.
Attenuazione del Modello UTXO: Le rappresentazioni grafiche standard spesso oscurano i confini degli eventi Unspent Transaction Output (UTXO), confondendo i ruoli di pagatore e destinatario e perdendo la distinzione tra input e output della transazione.
Sbilanciamento delle Classi: Le etichette illecite verificate sono scarse rispetto a quelle lecite, portando l'addestramento a essere dominato dalla classe di maggioranza e a una scarsa rilevazione degli attori illeciti della minoranza.

I metodi basati sulle caratteristiche attuali comprimono la cronologia delle transazioni in vettori fissi, perdendo la topologia del flusso di fondi. Al contrario, i metodi basati sui grafi utilizzano spesso grafi omogenei o regole di propagazione generali che non rispettano la specifica semantica di input/output delle transazioni Bitcoin, introducendo potenzialmente vicini irrilevanti o falsi positivi.

Metodologia: BTR-DHGNN

Gli autori propongono la Behavior–Transaction Relation Dual-Branch Hybrid Graph Neural Network (BTR-DHGNN), un framework transduttivo progettato per un grafo di transazioni Bitcoin storiche fisso. L'architettura consiste in quattro fasi principali:

1. Architettura a Due Rami

Ramo del Comportamento (Behavior Branch): Questo ramo modella i pattern intrinseci dell'indirizzo target. Combina statistiche standard dell'indirizzo (55 caratteristiche) con deviazioni robuste calcolate rispetto alla popolazione di addestramento lecita. Le caratteristiche sono raggruppate in cinque categorie semantiche (Attività, Importi/Posizione, Commissioni, Tempistica, Controparti). Ogni gruppo è codificato da un Multi-Layer Perceptron (MLP) indipendente e poi elaborato da un Group Transformer tramite attenzione cross-group per catturare le interazioni tra diverse dimensioni comportamentali.
Ramo della Relazione (Relation Branch): Questo ramo modella esplicitamente il grafo eterogeneo indirizzo-transazione preservando la semantica UTXO.
- Tipi di Nodi: Mantiene sia i nodi indirizzo che quelli transazione.
- Propagazione Sensibile alla Direzione: Distingue tra ruoli di input (indirizzo $\to$ transazione) e ruoli di output (transazione $\to$ indirizzo). Il passaggio di messaggi aggrega le informazioni dei vicini utilizzando statistiche di Media, Max e Deviazione Standard.
- Apprendimento Multi-Hop: L'encoder impila due blocchi di propagazione per apprendere le relazioni di flusso di fondi dirette e di ordine superiore senza aggiungere connessioni residue che potrebbero duplicare le informazioni del ramo del comportamento.

2. Regolarizzazione Strutturale e Fusione

Viste Relazionali Stocastiche: Durante l'addestramento, vengono costruite due viste stocastiche del grafo tramite l'eliminazione indipendente degli archi (maschera di Bernoulli). Ciò riduce la dipendenza da connessioni locali incidentali. Il modello impone la coerenza tra queste due viste e allinea la rappresentazione comportamentale con la rappresentazione relazionale.
Predittore di Stabilità: Un predittore stima la stabilità della rappresentazione relazionale di un nodo in base all'accordo tra le due viste stocastiche.
Fusione Sensibile all'Affidabilità: Un meccanismo di gating pesa adattivamente i contributi dei rami comportamento e relazione per ogni nodo. Questo gate utilizza la rappresentazione di interazione (concatenazione di comportamento, relazione, loro differenza e prodotto) e il punteggio di stabilità predetto. Un modulo di classificazione di interazione fonde ulteriormente questi segnali per catturare accordi e discrepanze non lineari.

3. Funzione di Perdita
Per affrontare lo sbilanciamento delle classi, il modello utilizza la Class-Balanced Focal Loss (CBFL). Questa combina il pesatura del numero effettivo (per gestire lo sbilanciamento estremo senza pesi instabili) e la modulazione focale (per ridurre il peso degli esempi facili), garantendo che l'ottimizzazione si concentri sui casi difficili della classe minoritaria. La supervisione ausiliaria è applicata a entrambi i rami.

Contributi Chiave

Framework a Due Rami: Un'architettura innovativa che modella separatamente il comportamento dell'indirizzo e le relazioni transazionali sensibili alla direzione, permettendo loro di essere appresi congiuntamente senza compressione strutturale.
Encoder di Relazione Sensibile alla Direzione: Un meccanismo che preserva i confini degli eventi UTXO e distingue esplicitamente i ruoli di input/output, combinato con viste relazionali stocastiche per migliorare la robustezza strutturale.
Fusione Adattiva: Un meccanismo di gating a livello di nodo che bilancia dinamicamente le evidenze comportamentali e relazionali in base alla stabilità predetta e ai pattern di interazione.
Validazione Empirica: Esperimenti estesi sul dataset Elliptic++ che dimostrano prestazioni superiori rispetto sia ai baseline basati sulle caratteristiche che a quelli basati sui grafi.

Risultati

Valutato su una divisione transduttiva fissa al 70%/30% del dataset Elliptic++ (contenente circa 822k nodi indirizzo e circa 202k nodi transazione), BTR-DHGNN ha ottenuto:

F1 Score della classe Illecita: 0,9402
Precisione Media (AP): 0,9829
Precisione: 0,9428
Recall: 0,9377

Prestazioni Comparative:

Rispetto al miglior baseline basato sulle caratteristiche (Random Forest), BTR-DHGNN ha migliorato l'F1 score del 11,27%.
Rispetto al miglior baseline convenzionale di caratteristiche (XGBoost), ha migliorato l'AP del 6,88%.
A differenza dei modelli grafici generici (GCN, GAT, GraphSAGE) che hanno ottenuto un'alta recall ma una bassa precisione (portando ad alti tassi di falsi positivi), BTR-DHGNN mantiene un'alta precisione (>0,94) pur ottenendo un'alta recall (>0,93).

Risultati dell'Ablazione:

Le Relazioni Transazionali sono state identificate come la fonte di evidenza individuale più forte, ma il Ramo del Comportamento è stato cruciale per ridurre i falsi positivi e migliorare il ranking.
La modellazione sensibile alla direzione e il raggruppamento semantico sono stati critici; rimuoverli ha degradato significativamente le prestazioni.
Profondità di Propagazione: Due blocchi di propagazione hanno fornito il compromesso ottimale tra F1 e AP; una propagazione più profonda ha migliorato l'AP ma ha ridotto l'F1 al punto operativo fisso.
Viste Stocastiche: Una moderata perturbazione degli archi (tasso di eliminazione del 15%) ha agito come efficace regolarizzazione strutturale.

Significato e Rivendicazioni

L'articolo sostiene che BTR-DHGNN affronti i limiti dei lavori precedenti poiché:

Decoupling e Coordinamento delle Evidenze: Tratta il comportamento dell'indirizzo e la topologia delle transazioni come fonti di evidenza distinte ma complementari, fuse adattivamente anziché forzate in una singola rappresentazione.
Rispetto della Semantica UTXO: Mantenendo i nodi transazione e distinguendo i ruoli di input/output, il modello evita la "confusione" dei ruoli di pagatore/destinatario comune negli approcci a grafo omogeneo.
Utilità Operativa: Il modello è progettato per l'analisi post-hoc su grafi storici fissi. L'alta precisione e la recall aiutano a restringere i set di candidati per lo screening degli indirizzi illeciti, supportando la revisione manuale, l'espansione del flusso di fondi e il tracciamento retrospettivo nelle indagini sulle criptovalute.

Gli autori notano esplicitamente che le loro conclusioni sono limitate a un contesto transduttivo su un grafo storico fisso. Non rivendicano l'applicabilità immediata in contesti induttivi (nuovi nodi non visti) o l'estrapolazione temporale, identificandoli come necessari lavori futuri per un dispiegamento pratico in tempo reale. Il metodo dipende dalla disponibilità di un grafo di transazioni storiche ragionevolmente completo e di etichette verificate per l'addestramento.