Normalisation and Initialisation Strategies for Graph Neural Networks in Blockchain Anomaly Detection

이 논문은 엘립틱 비트코인 데이터셋을 기반으로 GCN, GAT, GraphSAGE 등 다양한 그래프 신경망 아키텍처에 따른 초기화 및 정규화 전략의 영향을 체계적으로 분석하여, 블록체인 이상 탐지 시스템 배포를 위한 아키텍처별 최적의 실용적 가이드라인을 제시합니다.

핵심

이 논문은 블록체인 (비트코인) 거래 네트워크에서 사기 (세금 탈루, 자금 세탁 등) 를 찾아내는 인공지능을 더 잘 훈련시키는 방법에 대한 연구입니다.

비유하자면, 이 연구는 **"수사관 (AI) 이 복잡한 범죄 조직의 관계도를 보고 범인을 잡을 때, 어떤 '교육 방식'과 '준비 도구'를 써야 가장 잘 잡을 수 있는지"**를 실험으로 증명했습니다.

핵심 내용을 일상적인 언어와 비유로 풀어서 설명해 드릴게요.

---

1. 배경: 왜 이 연구가 필요한가요?

비트코인 거래는 혼자 하는 게 아니라 서로 연결된 '그물망'처럼 되어 있습니다. 사기꾼들은 보통 혼자 행동하지 않고, 복잡한 관계망을 통해 자금을 이동시킵니다.

• 기존 방식: 과거에는 각 거래를 개별적으로 분석하는 방식 (예: "이 사람은 의심스러워") 을 썼습니다. 하지만 사기꾼의 관계망 전체를 보지 못하면 놓치는 경우가 많았습니다.
• 새로운 방식 (GNN): 이제 '그래프 신경망 (GNN)'이라는 AI 를 쓰면, 거래 내역뿐만 아니라 **"누구와 누구를 연결했는지"**라는 관계까지 함께 학습할 수 있습니다.
• 문제점: 그런데 이 AI 를 훈련시킬 때, **"초기 설정 (초기화)"**과 "데이터 정리 (정규화)" 방법을 어떻게 하느냐에 따라 성능이 천차만별인데, 이에 대한 연구가 부족했습니다. 마치 같은 차를 몰더라도 **엔진 오일 (초기화)**과 **타이어 공기압 (정규화)**을 어떻게 맞추느냐에 따라 속도가 달라지는 것과 같습니다.

2. 실험 내용: 세 가지 '수사관'과 두 가지 '훈련법'

연구진은 세 가지 다른 AI 모델 (수사관) 과 두 가지 훈련 기법을 섞어서 실험했습니다.

🕵️‍♂️ 세 가지 수사관 (AI 모델)

1. GCN: 모든 이웃을 똑같이 중요하게 여기는 '평균주의자'.
2. GAT: 중요한 이웃은 더 크게, 덜 중요한 이웃은 작게 보는 '집중형'. (주목도 메커니즘 사용)
3. GraphSAGE: 새로운 사람도 만나면 바로 적응할 수 있는 '유연한 적응형'.

🛠️ 두 가지 훈련 도구

1. 초기화 (Initialisation): AI 가 처음 공부를 시작할 때 지식을 어떻게 채울지 정하는 것. (예: 'Xavier' 방식은 공평하게, 'Kaiming' 방식은 특정 성향으로)
2. 정규화 (Normalisation): 학습 중 데이터가 너무 튀거나 무너지지 않게 조절하는 것. (예: 'GraphNorm'은 전체 관계망을 고려해서 조절)

3. 놀라운 결과: "무조건 좋은 것은 없다!"

가장 중요한 발견은 **"어떤 수사관 (모델) 을 쓰느냐에 따라 최적의 훈련법이 다르다"**는 것입니다.

수사관 (모델)	최고의 훈련 조합	비유적 설명
GraphSAGE	Xavier 초기화만 사용	"유연한 적응형"은 너무 많은 간섭 (정규화) 없이, 초기에 공평하게만 시작하면 스스로 잘 배웁니다.
GAT	GraphNorm + Xavier	"집중형"은 주변 소음 (데이터의 불균형) 을 잘 걸러내야 하므로, **전체 관계를 고려한 조절 (GraphNorm)**이 꼭 필요합니다.
GCN	기본 설정 (Baseline)	"평균주의자"는 기존 방식이 이미 잘 되어 있어서, 새로운 도구를 추가하면 오히려 혼란이 생길 수 있습니다.

4. 왜 이런 결과가 나왔을까요? (핵심 통찰)

• 데이터의 특성: 비트코인 거래 데이터는 '불균형'이 심합니다. (정상 거래 98%, 사기 거래 2%). 또한, 거래 횟수가 많은 '하드코어' 노드와 적은 노드가 섞여 있습니다.
• GAT 의 경우: 중요한 거래를 집중해서 보는데, 데이터가 너무 불균형하면 AI 가 헷갈립니다. GraphNorm이 이 불균형을 잡아주니 성능이 급상승했습니다.
• GraphSAGE 의 경우: 이미 이웃을 샘플링해서 학습하는 방식이라, 추가적인 조절 (GraphNorm) 이 오히려 방해가 될 수 있었습니다.

5. 결론 및 시사점

이 연구는 **"하나의 만능 비법"**이 없다는 것을 증명했습니다.

• 실무적 조언: 만약 블록체인 사기 탐지 시스템을 만든다면, 무조건 최신 기법을 다 적용하는 게 아니라 어떤 AI 모델을 쓰느냐에 따라 초기 설정과 데이터 정리 방법을 맞춤형으로 바꿔야 합니다.
• 성공 사례: 이 연구에서 GraphSAGE + Xavier 초기화 조합이 가장 좋은 성능 (사기 탐지 정확도) 을 보였습니다.

📝 한 줄 요약

"블록체인 사기 탐지 AI 를 훈련시킬 때, 모델의 성격 (수사관) 에 따라 초기 설정과 데이터 정리법을 다르게 적용해야 가장 정확한 범인 잡기를 할 수 있다."

이 연구는 앞으로 금융 사기 탐지 시스템을 개발할 때, 단순히 모델을 바꾸는 것보다 **어떻게 훈련시키느냐 (초기화/정규화)**를 더 중요하게 생각해야 함을 알려줍니다.

기술 요약

논문 요약: 블록체인 이상 탐지를 위한 그래프 신경망 (GNN) 의 정규화 및 초기화 전략

1. 문제 정의 (Problem)

블록체인 거래 데이터는 노드 (거래) 와 엣지 (송금 흐름) 로 구성된 그래프 구조를 가지며, 자금세탁 (AML) 및 사기 탐지는 고립된 레코드보다는 이러한 관계적 패턴에서 나타나는 경우가 많습니다. 기존 연구는 주로 GNN 아키텍처 (GCN, GAT, GraphSAGE 등) 의 설계나 확장성에 집중해 왔으나, 실제 AML 벤치마크에서의 성능을 결정짓는 중요한 요소인 '가중치 초기화 (Weight Initialisation)'와 '정규화 (Normalisation)' 전략은 충분히 탐구되지 않았습니다.

특히 Elliptic 비트코인 데이터셋과 같은 실제 금융 데이터는 다음과 같은 도전 과제를 가집니다:

• 심각한 클래스 불균형: 불법 거래 (Illicit) 는 전체의 약 2% 에 불과합니다.
• 이질성 (Heterophily) 및 차수 편향 (Degree Skew): 거래 네트워크의 구조적 특성이 복잡합니다.
• 시간적 드리프트 (Temporal Drift): 거래 패턴이 시간에 따라 변화합니다.

이러한 환경에서 GNN 의 최적화 안정성, 수렴 속도, 그리고 과적합 (Over-smoothing) 문제를 해결하기 위해 어떤 초기화 및 정규화 기법이 효과적인지에 대한 체계적인 분석이 필요했습니다.

2. 방법론 (Methodology)

2.1 데이터셋 및 전처리

• 데이터셋: Elliptic 비트코인 데이터셋 (203,769 개의 거래 노드, 234,355 개의 엣지) 사용.
• 그래프 구성: 방향성 있는 거래 네트워크를 대칭적인 무방향 그래프로 변환 (자기 루프 및 중복 제거).
• 시간적 분할 (Temporal Split): 정보 누출 (Leakage) 을 방지하기 위해 무작위 분할 대신 엄격한 시간 순서 분할 적용 (학습: 29 단계, 검증: 10 단계, 테스트: 10 단계).
• 평가 지표: 클래스 불균형으로 인해 정확도나 AUC-ROC 보다 AUPRC (Average Precision-Recall Curve) 를 주요 지표로 사용.

2.2 실험 설계

• 대상 아키텍처: GCN, GAT (Graph Attention Network), GraphSAGE.
• 초기화 전략 비교: 기본 설정 (Default) vs. Xavier 초기화 vs. Kaiming 초기화 (주요 비교는 Xavier).
• 정규화 전략 비교: 배치 정규화 (BatchNorm) 기반 vs. GraphNorm (그래프 수준의 통계를 사용하여 노드 표현의 분산을 보존하고 과소화를 방지).
• 하이퍼파라미터 최적화: Optuna 를 사용하여 학습률, 은닉 차원, 드롭아웃 비율 등을 100 회 이상의 트라이얼로 자동 최적화.
• 훈련 방식: 전체 그래프 학습 (Full-graph learning) 을 사용하여 다-hop 구조적 의존성을 보존.

3. 주요 기여 (Key Contributions)

1. AML 그래프에 대한 체계적인 분석: Elliptic 데이터셋에서 GCN, GAT, GraphSAGE 에 대해 Xavier 초기화와 GraphNorm 의 영향을 체계적으로 제거 (Ablation) 분석했습니다.
2. 아키텍처 의존적 통찰 (Architecture-dependent Insights): 초기화와 정규화의 효과가 모델 아키텍처에 따라 완전히 다르다는 것을 발견했습니다.
   • 모든 GNN 에 대해 하나의 보편적인 전략이 존재하지 않음을 증명했습니다.
3. 재현 가능한 프레임워크 제공: 시간적 분할, 시드 고정, AUPRC 중심 평가, 부트스트래핑 (Repeated subsampling) 을 포함한 재현 가능한 실험 환경을 공개했습니다.

4. 실험 결과 (Results)

실험 결과는 각 아키텍처마다 최적의 조합이 다르다는 것을 명확히 보여줍니다 (Table 2 참조):

• GraphSAGE:
  • 최고 성능: Xavier 초기화만 적용했을 때 가장 좋은 성능을 보임 (AUPRC 0.6678, AUC 0.8826).
  • GraphNorm 을 추가하면 오히려 성능이 미세하게 감소했습니다. 이는 GraphSAGE 의 이웃 집계 메커니즘이 GraphNorm 과 상충될 수 있음을 시사합니다.
• GAT (Graph Attention Network):
  • 최고 성능: GraphNorm + Xavier 초기화를 결합했을 때 가장 큰 향상을 보임 (AUPRC 0.6568, AUC 0.8700).
  • 기존 베이스라인 대비 AUPRC 가 0.055 포인트 상승했습니다. 그래프 수준의 정규화가 주의 (Attention) 기반 집계를 안정화하는 데 효과적입니다.
• GCN:
  • 최고 성능: **기본 설정 (Baseline)**이 가장 좋은 성능을 보임 (AUPRC 0.5993).
  • Xavier 초기화나 GraphNorm 추가는 성능 향상을 가져오지 못하거나 오히려 감소시켰습니다.

성능 비교:

• 제안된 방법 (GraphSAGE + Xavier) 은 기존 벤치마크 (Deprez et al. 의 0.6392) 보다 높은 AUPRC (0.6678) 를 기록했습니다.
• GAT + GraphNorm + Xavier 조합도 0.6568 로 기존 기록을 상회했습니다.

5. 의의 및 결론 (Significance & Conclusion)

• 실무적 가이드라인 제공: AML 파이프라인에 GNN 을 배포할 때, "어떤 정규화나 초기화 기법이 모든 모델에 좋은가?"라는 질문에 대한 답은 **"아키텍처에 따라 다르다"**는 것입니다.
  • GraphSAGE를 사용한다면 Xavier 초기화만 신중하게 적용하는 것이 좋습니다.
  • GAT를 사용한다면 GraphNorm 과 Xavier 초기화를 결합해야 합니다.
  • GCN은 복잡한 수정 없이 기본 설정이 가장 안정적입니다.
• 학습 전략의 중요성: 아키텍처 혁신만큼이나 초기화 및 정규화 같은 훈련 관행 (Training Practices) 의 선택이 모델 성능에 결정적인 영향을 미칩니다.
• 한계 및 향후 과제: 현재 연구는 GCN, GAT, GraphSAGE 로 제한되었으며, Elliptic 데이터셋의 단순화된 특성 (이종 엣지 부재 등) 을 고려해야 합니다. 향후 Graph Transformer, Temporal GNN 및 Elliptic2 데이터셋으로의 확장이 필요합니다.

이 논문은 블록체인 기반 금융 사기 탐지 시스템에서 모델 아키텍처에 맞는 맞춤형 훈련 전략의 중요성을 강조하며, 불균형한 거래 데이터 환경에서 GNN 의 안정적이고 신뢰할 수 있는 배포를 위한 실용적인 지침을 제시합니다.