💻 computer science

Tracing the Shadows: Automatic Tracking and Analysis of Crypto Money Laundering via Transaction Semantic Analysis

이 논문은 정적 규칙 기반 분석과 검색 증강 LLM 추론을 활용하여 고차원의 트랜잭션 의도를 추론하고 단일 및 크로스 체인 DeFi 환경 전반에서 불법 자금 흐름을 정확하게 추적함으로써, 10억 달러 이상의 탈취된 자산에 대한 자금 세탁 토폴로지 재구성에서 탁월한 정밀도와 재현율을 달성하는 시맨틱 인식 프레임워크인 AMLGuard를 소개한다.

원저자: Hao Wu, Haijun Wang, Shangwang Li, Yin Wu, Ming Fan, Ting Liu, Xiapu Luo

게시일 2026-07-22

📖 5 분 읽기🧠 심층 분석

CC BY 4.0

원저자: Hao Wu, Haijun Wang, Shangwang Li, Yin Wu, Ming Fan, Ting Liu, Xiapu Luo

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

인터넷을 전 세계적인 거대한 놀이터라고 상상해 보세요. 이곳에서는 은행이나 지켜보는 선생님 없이도 사람들이 디지털 토큰을 거래할 수 있습니다. 이것이 바로 탈중앙화 금융, 즉 DeFi(디파이)의 세계입니다. 이는 잠들지 않는 거대하고 자동화된 자판기와 같아서, 누구나 디지털 코인을 다른 코인으로 바꾸거나, 이자를 받기 위해 코인을 빌려주거나, 코인을 담보로 대출을 받을 수 있게 해줍니다. 하지만 모두가 익명이고 기계가 대중에게 공개되어 있기 때문에, 나쁜 의도를 가진 사람들이 몰래 침입하기도 합니다. 해커들이 수십억 달러 상당의 디지털 토큰을 훔쳤을 때, 그들은 단순히 돈을 보관하는 데 그치지 않고 이를 '세탁'하려고 시도합니다. 돈 세탁을 하는 것은 마치 아주 더러운 신발을 새것처럼 보이게 하려고 닦는 것과 같습니다. 그들은 출처를 숨기기 위해 복잡한 디지털 스와프, 대출, 그리고 서로 다른 블록체인(마치 서로 다른 놀이터와 같은) 사이의 이동이라는 어지러운 미로 속으로 더러운 돈을 흘려보냅니다. 목표는 '더러운' 돈을 너무 깨끗하고 뒤섞이게 만들어 아무도 그것이 훔친 돈인지 알 수 없게 만드는 것입니다. 만약 우리가 돈의 흐름을 추적할 수 없다면 도둑을 잡거나 돈을 되찾을 수 없기 때문에, 이는 매우 큰 문제입니다.

여기에서 AMLGuard라는 새로운 도구가 등장합니다. 이 도구는 디지털 세계를 위한 매우 똑똑한 탐정 역할을 합니다. 훔친 암호화폐를 추적하는 전통적인 방식은 해커가 신발 끈을 묶기 위해 발걸음을 멈추는 것까지 포함하여 모든 발걸음을 하나하나 세며 도둑을 뒤쫓는 것과 같습니다. 이는 지저-분하고 혼란스러우며 종종 제자리를 맴돌게 만듭니다. 하지만 AMLGuard는 단순히 발걸음을 세는 것이 아니라, 도둑이 왜 움직이는지를 이해합니다. 이 시스템은 복잡한 디지털 거래를 살펴보고 그 뒤에 숨겨진 '이야기'를 파악합니다. 이것이 스와프였는지, 입금이었는지, 아니면 크로스 체인 점프였는지를 알아내는 것입니다. 이 이야기를 이해함으로써, AMLGuard는 소음(noise)을 무시하고, 해커가 정체를 숨기기 위해 서로 다른 블록체인 사이를 뛰어넘을 때조차 훔친 돈의 실제 경로를 따라갈 수 있습니다.

문제점: 디지털 세탁의 미로

암호화폐 세계에서 해커들은 훔친 돈을 숨겨야 하는 과제에 직면합니다. 그들은 훔친 토큰을 일련의 주소로 옮기고, 다른 코인으로 바꾸고, 대출을 해주고, 때로는 다른 블록체인(예를 들어 한 놀이터에서 다른 놀이터로 이동하는 것과 같은)으로 보내는 방식으로 이를 수행합니다. 이 과정을 "돈 세탁"이라고 합니다.

문제는 디지털 흔적이 믿기 힘들 정도로 지저분하다는 점입니다. 해커의 단 한 번의 움직임이 수십 개의 작은 내부 컴퓨터 동작을 유발할 수 있습니다. 기존의 추적 도구들은 이러한 작은 동작들을 하나씩 살펴봅니다. 그들은 토큰이 주소 A에서 B로, 그다음에는 계약(contract)으로, 그다음에는 주소 C로 이동하는 것을 보고 혼란에 빠집니다. 그들은 무해한 컴퓨터 프로그램(예를 들어 자판기 같은 것)을 범죄 공범으로 오해하거나, 막다른 골목의 미로 속에서 길을 잃을 수 있습니다. 그들은 "아, 이 모든 복잡한 과정은 사실 단순한 코인 교환(swap)이었구나"라는 큰 그림을 보는 데 어려움을 겪습니다. 거래의 "의미"를 이해하지 못하기 때문에, 특히 연결 고리가 명확하지 않은 서로 다른 블크체인 사이를 이동할 때 추적이 불가능한 거대하고 소음이 가득한 지도를 만들어내게 됩니다.

해결책: AMLGuard의 "의미론적(Semantic)" 초능력

Hao Wu와 Haijun Wang이 이끄는 연구진은 AMLGuard라는 새로운 시스템을 구축했습니다. AMLGuard는 단순히 토큰의 개수를 세는 대신, 모든 거래의 '의도'를 이해하려고 노력합니다. 그들은 이를 "의미 분석(semantic analysis)"이라고 부릅니다.

이렇게 생각해 보세요. 만약 당신이 어떤 사람이 빵집에 들어가 케이크를 사고 나오는 것을 본다면, 기본 카메라는 단순히 "사람이 지점 A에서 B로 이동함"이라고 기록할 것입니다. 하지만 똑똑한 관찰자는 그 '행동'을 이해합니다. 즉, "그들은 케이크를 샀다"라고 이해하는 것입니다. AMLGuard는 암호화폐에 대해 이와 똑같은 일을 수행합니다. 이 시스템은 복잡한 거래를 가져와 이를 고수준의 "DeFi 의미 단위(DeFi Semantic Unit, DSU)"로 변환합니다. 50개의 작은 토큰 이동을 보는 대신, "스와프(Swap)", "입금(Deposit)", 또는 "출금(Withdraw)"과 같은 하나의 명확한 동작을 봅니다.

이를 위해 AMLGuard는 두 가지 주요 기술을 사용합니다:

규칙 기반의 탐정 작업: 일반적인 패턴(예: "토큰이 들어가고 다른 토큰이 나오면 스와프이다") 목록을 가지고 있어 표준적인 움직임을 빠르게 식별합니다.
AI의 두뇌 능력: 규칙에 맞지 않는 까다롭고 이상한 움직임의 경우, 문맥을 이해하는 데 탁월한 AI의 일종인 대규모 언어 모델(LLM)을 사용합니다. 이 모델은 지저분한 데이터를 살펴보고 AI에게 "우리가 이전에 본 유사한 패턴을 바탕으로 볼 때, 이것이 실제로 무엇을 하고 있는가?"라고 묻습니다. 그러면 AI는 그 의미를 추측하고, 시스템은 자신이 임의로 판단하지 않았는지 확인하기 위해 스스로의 작업을 재검증합니다.

크로스 체인 챌린지: 울타리 넘기

돈을 추적하는 가장 어려운 부분 중 하나는 돈이 한 블록체인에서 다른 블록체인으로(예를 들어 이더리움에서 아비트럼으로) 넘어갈 때입니다. 이것은 마치 도둑이 한 도시에서 다른 도시로 도망가는 것과 같아서, 첫 번째 도시의 경찰은 두 번째 도시의 경찰이 동일한 지도를 가지고 있지 않기 때문에 추적을 놓치게 됩니다.

AMLGuard는 거래의 "봉투(envelope)"를 면밀히 조사함으로써 이 문제를 해결합니다. 두 체인 사이의 연결이 항상 명확하게 드러나지는 않지만, 시스템은 거래 데이터 내부에 숨겨진 명령어를 읽어 돈이 다음에 정확히 어디로 가는지 파악할 수 있습니다. 이를 통해 "크로스 체인 의도(cross-chain intent)"를 복구하며, 서로 다른 블록체인 간에 추적이 끊기지 않고 매끄럽게 이어지도록 합니다.

결과: 도둑 검거

연구진은 82건의 실제 사례(해커들이 10억 달러 이상의 자산을 훔친 사건)를 대상으로 AMLGuard를 테스트했습니다. 그들은 이를 다섯 가지의 다른 최고 수준의 추적 방법들과 비교했습니다.

결과는 인상적이었습니다:

정확도(Accuracy): AMLGuard는 단일 체인 사례에서 94.4%의 정밀도를, 크로스 체인 사례에서 87.6%의 정밀도를 보이며 훔친 돈의 최종 목적지를 찾아냈습니다. 이는 시스템이 특정 주소를 지목했을 때 거의 항상 옳았음을 의미합니다.
완전성(Completeness): 단일 체인 자금 세탁 과정에서 관련된 주소의 **98.4%**를 찾아냈고, 크로스 체인 사례에서는 **95.8%**를 찾아냈습니다. 즉, 중간 단계를 거의 놓치지 않았습니다.
효율성(Efficiency): 다른 도구들이 수만 개의 거래가 얽힌 거대하고 지저분한 지도 속에서 길을 잃을 때, AMLGuard는 지도를 작고 깨끗하게 유지하며 사건당 평균 약 299개의 거래만을 분석했습니다. 이는 인간 조사관이 검토하기에 훨씬 빠르고 효율적이었습니다.

실제 테스트에서 AMLGuard를 사용하는 인간 전문가들은 복잡한 사건을 각각 10분과 3분 만에 해결할 수 있었는데, 이는 수동으로 작업하거나 오래된 도구를 사용할 때보다 훨씬 짧은 시간이었습니다. 이 시스템은 "불법 자금 흐름 토폴로지(illicit fund-flow topology)"를 성공적으로 재구성했습니다. 이는 쉽게 말해, 훔친 돈이 해커로부터 최종 현금화 지점까지 어떻게 이동했는지에 대한 명확하고 정확한 지도를 그려냈다는 뜻입니다.

한계점 (그리고 향 \후 과제)

AMLGuard가 하지 못하는 것을 아는 것도 중요합니다. 이 시스템은 돈이 '믹서(mixer, 코인을 추적할 수 없게 섞는 서비스)'에 도달하거나, 도둑이 현금화하는 중앙 집중형 거래소에 도달하면 추적을 중단합니다. 이 연구에서는 돈이 믹서에 들어가는 순간 추적이 끊어진 것으로 간주합니다. 또한, 현재 시스템은 한 번에 발생하는 거래(단일 거래)에 집중하고 있습니다. 여러 날에 걸쳐 다양한 거래로 진행되는 복잡한 계획은 아직 추적하지 못하지만, 연구진은 이것이 향후 개선해야 할 과제라고 생각합니다.

이 논문은 디지털 거래의 원시 데이터(raw data)가 아닌 그 '의미'를 이해함으로써, 암호화폐 범죄에 대해 훨씬 더 나은 방어 체계를 구축할 수 있다고 제안합니다. AMLGuard는 적절한 규칙과 스마트한 AI가 결합될 때, 우리가 어떻게 소음을 뚫고 그림자를 추적하여 도둑들이 전리품을 숨기기 어렵게 만들 수 있는지를 보여줍니다.

기술 요약: 그림자 추적하기 (AMLGuard)

문제 정의

탈중앙화 금융(DeFi)의 급격한 발전은 계정 기반 블록체인에서의 자금 세탁 방지(AML) 노력에 상당한 복잡성을 초래했습니다. 보안 사고 이후, 공격자들은 탈취한 자산의 출처를 은폐하기 위해 다단계 전송(multi-hop transfers), 토큰 스왑, 크로스체인 브릿지 등 복잡한 DeFi 프로토콜을 활용합니다. 기존의 AML 방식은 다음과 같은 세 가지 주요 한계점에 직면해 있습니다:

의미론적 이질성 (Semantic Heterogeneity): 현재의 접근 방식은 주로 저수준의 토큰 전송이나 프로토콜에 중립적인 흐름 분석에 의존합니다. 이들은 고수준의 트랜잭션 의도(예: 단순한 스왑과 복잡한 스테이킹 작업의 구분)를 포착하지 못하며, 이로 인해 노이즈와 오도하는 경로가 가득한 거대한 추적 공간이 생성됩니다.
암묵적 의미론 (Implicit Semantics): 결정론적 규칙은 전송세(transfer taxes), 내부 회계 처리, 또는 다단계 라우팅과 같이 여러 토큰 이동에 걸쳐 암묵적으로 인코딩된 중요한 DeFi 동작을 추론하는 데 어려움을 겪습니다.
크로스체인 파편화 (Cross-Chain Fragmentation): 크로스체인 자금 세탁 시나리오에서, 기존 솔루션들은 탈중앙화 브릿지가 서로 다른 원장 간의 트랜잭션 사이에 명시적이고 검증 가능한 연결 고리를 노출하지 않기 때문에 소스 체인과 목적지 체인 사이의 유의미한 의미론적 연관성을 구축하지 못합니다. 이는 추적 경로의 단절을 초래합니다.

방법론: AMLGuard

저자들은 (특히 EVM 호환 체인을 대상으로 하는) 계정 기반 블록체인을 위해 설계된 의미론적 인식 AML 프레임워크인 AMLGuard를 제안합니다. AMLGuard는 원시 트랜잭션 데이터를 고수준의 의미론적 표현으로 변환하여 정확하고 연속적인 세탁 추적을 유도합니다. 이 시스템은 다음과 같은 핵심 모듈을 통해 작동합니다:

1. 트랜잭션 의미론적 분석 (Transaction Semantic Analysis)

AMLGuard는 복잡한 DeFi 트랜잭션을 **DeFi 의미론적 단위(DSU)**로 추상화합니다. 이 과정은 다음을 포함합니다:

토큰 흐름 그래프(TFG) 구축: 시스템은 트랜잭션 내부의 토큰 이동을 참여자 계정(EOA 및 CA)을 노드로, 토큰 전송을 에지로 하는 유향 그래프로 모델링합니다.
규칙 기반 동작 식별: 정적 그래프 탐색 규칙을 사용하여, AMLGuard는 사전 정의된 패턴을 TFG 서브그래프와 매칭함으로써 명시적인 DeFi 동작(Approve, Transfer, Swap, Deposit, Withdraw)을 식별합니다.
암묵적 의미론 추론 (LLM + RAG): 표준 규칙에 부합하지 않는 트랜잭션의 경우, AMLGuard는 검색 증강 생성(RAG) 파이프라인을 채택합니다. 이는 큐레이션된 DeFi 동작 지식 베이스에서 구조적으로 유사한 과거 트랜잭션을 검색하고, 대규모 언어 모델(LLM)을 사용하여 암묵적인 경제적 의도를 추론합니다.
반복적 검증: LLM의 추론은 두 단계의 일관성 체크를 거칩니다:
- 사실적 일관성 (Factual Consistency): 추론된 의미론적 설명이 TFG의 실제 토큰 이동과 일치하는지 검증합니다.
- 논리적 일관성 (Logical Consistency): 추론된 동작이 실행 가능성 제약 조건(예: 스왑 출력 주소가 스왑 의미론을 위반하는 방식으로 동일한 토큰의 송신자로 즉시 작용할 수 없음)을 충족하는지 확인합니다.
- 체크에 실패할 경우, 시스템은 피드백 프롬프트를 사용하여 추론을 반복적으로 정교화합니다.

2. 크로스체인 의미론적 복구 (Cross-Chain Semantic Recovery)

크로스체인 자금 세탁의 파편화 문제를 해결하기 위해, AMLGuard는 소스 체인의 증거로부터 의도를 복구합니다:

함수 시그니처 매칭: 시스템은 트랜잭션 입력 데이터를 디코딩하여 호출된 크로스체인 함수를 식별하며, 하위 로직 컨트랙트에 접근하기 위해 프록시 해상 메커니즘(EIP-1967, EIP-2535)을 활용합니다.
인자 의미론 파싱 (Argument Semantic Parsing): 디코딩된 인자를 파싱하여 목적지 체인 식별자와 수신자 주소를 추출함으로써, 소스 체인의 "입금(Deposit)" 동작을 크로스체인 "전송(Transfer)" DSU로 변환합니다. 이를 통해 이질적인 원장 간의 끊김 없는 추적을 가능하게 합니다.

3. 의미론적 가이드 추적 워크플로우 (Semantic-Guided Tracing Workflow)

AMLGuard는 알려진 악성 주소로부터 시작하여 반복적인 깊이 우선 탐색(depth-first tracing)을 수행합니다:

분석되지 않은 트랜잭션에 대해 TFG를 구축하고 DSU를 추론합니다.
DSU에 따라 계정 상태를 결정론적으로 업데이트합니다 (예: 송신자로부터 토큰 차감, 수신자에게 추가).
DSU가 불법 자금의 전파를 나타내는 경우에만 새로운 수신자 주소를 스택에 푸시함으로써 추적 경계(frontier)를 확장하며, 이를 통해 무관한 경로와 프로토콜 내부의 노이즈를 효과적으로 제거합니다.
스택이 비워지면 프로세스가 종료되며, 압축된 불법 자금 흐름 토폴로지와 최종 목적지를 출력합니다.

주요 기여

AMLGuard 프레임워크: 저수준 데이터에서 고수준의 DSU로 추상화하여 명확한 의미론적 이해를 제공하는 새로운 의미론적 인식 프레임워크입니다.
의미론적 분석 모듈: 정적 규칙과 검색 증강 LLM 추론을 결합한 하이브리드 접근 방식을 통해 저수준 데이터를 고수준 DSU로 추상화하며, 명시적 및 암묵적 DeFi 동작을 모두 처리합니다.
크로스체인 복구 메커니즘: 트랜잭션 파라미터를 파싱하여 크로스체인 의도를 추론함으로써, 명시적인 연결 고리가 없는 블록체인 간에도 연속적인 추적을 가능하게 합니다.
포괄적인 평가: 82개의 실제 세탁 사례(10억 달러 이상의 불법 자산 포함)를 포함하는 단일 체인 및 크로스체인 데이터셋을 통해 대규모 평가를 수행했습니다.

실험 결과

저자들은 두 가지 데이터셋 $D_s$ (단일 체인 사례 63개)와 $D_c$ (크로스체인 사례 19개)에 대해 다섯 가지 최첨단 베이스라인(TRacer, Haircut, Poison, APPR, XBlockFlow)과 AMLGuard를 비교 평가했습니다.

정밀도 및 재현율 (Precision and Recall):
- $D_s$ 에서 AMLGuard는 98.4%의 주소 재현율과 94.1%의 목적지 재현율, 그리고 94.4%의 목적지 정밀도를 달성했습니다.
- $D_c$ 에서 AMLGuard는 95.8%의 주소 재현율과 93.8%의 목적지 재현율, 그리고 87.6%의 목적지 정밀도를 달성했습니다.
- 이러한 지표는 특히 베이스라인들이 추적 연속성을 유지하는 데 실패하는 크로스체인 시나리오에서 가장 우수한 베이스라인인 XBlockFlow를 크게 상회합니다.
노이즈 감소: AMLGuard는 압축된 토폴로지를 구축하며, 휴리스틱 기반 베이스라인들이 수만 건의 트랜잭션을 분석하는 것과 달리 $D_s$ 에서 사건당 평균 299개의 트랜잭션과 44개의 노드만을 분석합니다.
효율성: 의미론적 추론으로 인해 트랜잭션당 분석 시간은 더 높지만(약 1.6초/tx), 무관한 경로로 확장되는 것을 방지하기 때문에 사건당 총 분석 시간은 경쟁력이 있습니다 ( $D_s$ 에서 476초).
구성 요소 절제 실험 (Ablation Study): 의미론적 분석을 제거했을 때(AMLGuard w/o SA) 크로스체인 재현율이 급격히 하락(95.8%에서 42.3%로)하여 의미론적 복구의 결정적 역할을 확인했습니다. LLM 추론을 제거했을 때(AMLGuard w/o LBSA)도 성능이 저하되어 암묵적 의미론 처리의 필요성을 입증했습니다.
사례 연구: 두 건의 실제 사건( $1,160만 달러 및$ 4,900만 달러 손실)을 포함한 사용자 연구에서, AMLGuard는 전문가 단독 분석 또는 MetaSleuth와 같은 상용 도구를 활용한 분석에 비해 수동 조사 시간을 60% 이상 단축했습니다.

의의 및 주장

본 논문은 AMLGuard가 저수준 토큰 추적에서 고수준의 의미론적 이해로 초점을 전환함으로써 크립토 네이티브 AML 분야에서 중요한 진전을 이루었다고 주장합니다. 저자들은 다음을 강조합니다:

의미론적 추상화의 중요성: 원시 전송을 DeFi 동작으로 추상화하지 않으면 추적이 노이즈와 프로토콜 내부 메커니즘에 의해 압도당하게 됩니다.
크로스체인 연속성 확보 가능성: 트랜잭션 파라미터로부터 암묵적 의도를 복구함으로써, 중앙화된 오라클에 의존하지 않고도 블록체인 간의 의미론적 격차를 메울 수 있습니다.
실무적 유용성: 본 시스템은 압축되고 해석 가능한 추적 그래프를 제공함으로써 조사자가 불법 자금의 목적지를 식별하고 자금을 동결하는 데 드는 시간과 노력을 효과적으로 줄여줍니다.

저자들은 현재 프레임워크가 알려진 출구 서비스(CEX)까지의 순방향 추적에 집중하고 있으며, 믹서(mixer) 이후의 추적이나 다중 트랜잭션 원자적 워크플로우(atomic workflows)를 다루지 않는다는 점을 언급하며 한계를 인정하였고, 이는 향후 연구 과제로 남겨두었습니다.