💻 computer science

Behavior–Transaction Relation Dual-Branch Hybrid Graph Neural Network for Joint Modeling of Address Behavior and Transaction Relations in Illicit Bitcoin Address Detection

Este artigo propõe o Behavior–Transaction Relation Dual-Branch Hybrid Graph Neural Network (BTR-DHGNN), um framework transdutivo que modela conjuntamente o comportamento de endereços e relações de transação explícitas com consciência de direção e fusão adaptativa para detectar eficazmente endereços ilícitos de Bitcoin, apesar do desequilíbrio de rótulos e das limitações do modelo UTXO.

Autores originais: Donghui Liu, Wendi Sun, Meiling Gao

Publicado 2026-09-28

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Donghui Liu, Wendi Sun, Meiling Gao

Artigo original sob licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

O Bitcoin opera em um registro público, um registro transparente de cada transferência de valor que já ocorreu em sua rede. Embora as identidades por trás dos endereços digitais permaneçam ocultas, o fluxo de fundos é inteiramente visível, criando uma oportunidade única para investigadores financeiros. No entanto, essa transparência é uma faca de dois gumes. Criminosos usam técnicas complexas para obscurecer seus rastros, como dividir fundos entre muitos endereços, combinar dinheiro de diferentes fontes ou movimentá-lo através de múltiplas etapas para quebrar o vínculo entre a origem e o destino. Detectar essas atividades ilícitas é difícil porque os dados são vastos, os rótulos que identificam criminosos são raros e a estrutura das transações é intrincada. Métodos tradicionais costumam olhar para um único endereço isoladamente, contando quantas vezes ele enviou ou recebeu dinheiro, mas essa abordagem perde o contexto crucial de como os fundos realmente se movem pela rede.

Para resolver isso, pesquisadores desenvolveram um novo sistema chamado Behavior–Transaction Relation Dual-Branch Hybrid Graph Neural Network (Rede Neural de Grafo Híbrida de Duas Ramificações de Relação Comportamento–Transação). Esta ferramenta trata a rede Bitcoin não como uma simples lista de números, mas como uma teia complexa onde tanto os hábitos de um endereço quanto suas conexões específicas com outros endereços importam. O sistema funciona observando dois tipos distintos de evidências simultaneamente. Primeiro, ele analisa o "comportamento" de um endereço, examinando seu próprio histórico: quanto dinheiro ele movimenta, com que frequência atua, as taxas que paga e há quanto tempo está ativo. Segundo, ele examina as "relações", mapeando o caminho específico dos fundos através da rede. Crucialmente, este sistema respeita a forma única como as transações de Bitcoin funcionam, distinguindo claramente entre o dinheiro entrando em uma transação e o dinheiro saindo, em vez de confundir esses papéis. Ao combinar essas duas perspectivas, o modelo pode detectar padrões que nenhuma das visões identificaria sozinha.

Os pesquisadores testaram este sistema em um conjunto de dados históricos massivo e fixo de transações de Bitcoin contendo mais de 800.000 endereços e mais de 200.000 transações. Neste conjunto de dados, endereços ilícitos eram uma minoria ínfima, representando menos de seis por cento das contas rotuladas, o que tornou a tarefa de encontrá-los semelhante a procurar por alguns grãos específicos de areia em uma grande pilha. O novo sistema superou todos os métodos anteriores, incluindo ferramentas estatísticas padrão e outros modelos baseados em grafos. Ele alcançou uma taxa de sucesso onde identificou corretamente 94 por cento dos endereços ilícitos, mantendo os alarmes falsos ao mínimo. Esse alto nível de precisão é vital porque, em investigações do mundo real, muitos alarmes falsos sobrecarregam os analistas humanos, enquanto perder mesmo alguns criminosos pode permitir que fundos ilícitos escapem.

Uma descoberta fundamental do estudo é que o sucesso do sistema depende do equilíbrio cuidadoso entre observar o próprio histórico de um endereço e observar seus vizinhos. Os pesquisadores descobriram que, embora as conexões com outros endereços forneçam o sinal mais forte para detecção, o comportamento do próprio endereço é essencial para filtrar erros. Sem a ramificação comportamental, o sistema marcaria muitos endereços inocentes como suspeitos. Sem a ramificação de relação, ele perderia os fluxos sutis e complexos de dinheiro que caracterizam a atividade criminosa. O sistema também aprendeu a lidar com a raridade dos rótulos criminais usando um método de treinamento especial que o força a prestar atenção especial aos poucos atores mal-intencionados conhecidos, em vez de ignorá-los em favor do vasto número de usuários legítimos.

O estudo revelou ainda que a maneira como o sistema observa a rede importa profundamente. Descobriu-se que simplesmente conectar endereços a transações não é suficiente; o sistema deve entender a direção do dinheiro. Ele trata a entrada de uma transação (de onde o dinheiro vem) e a saída (para onde o dinheiro vai) como papéis distintos. Essa distinção permite que o modelo rastreie o fluxo de fundos de forma mais precisa do que métodos que tratam todas as conexões como iguais. Adicionalmente, os pesquisadores introduziram uma técnica onde o sistema pratica em versões levemente alteradas da rede durante o treinamento. Isso ajuda o modelo a aprender a verdadeira estrutura da rede, em vez de memorizar conexões acidentais ou fracas que possam aparecer por acaso.

Na análise final, este trabalho demonstra que detectar atividade ilícita no Bitcoin requer uma abordagem dupla que respeite tanto os hábitos individuais de um endereço quanto sua posição dentro do fluxo mais amplo de fundos. O sistema não depende de um único truque ou de uma regra simples, mas integra múltiplas camadas de evidência para tomar uma decisão. Ele navega com sucesso pelo desafio do desequilíbrio extremo, onde criminosos são vastamente superados por usuários legítimos, e faz isso mantendo um alto grau de precisão. Os resultados sugerem que, para investigadores que trabalham com dados históricos, esta abordagem oferece uma maneira poderosa de estreitar a lista de endereços suspeitos, tornando a revisão manual e a coleta de evidências subsequentes mais eficientes e eficazes. O método é projetado para analisar históricos de transações concluídas, fornecendo uma ferramenta robusta para entender como os fundos se movem através da rede Bitcoin e identificar aqueles que buscam se esconder nela.

Resumo Técnico: BTR-DHGNN – Rede Neural de Grafo Híbrida de Duas Ramificações para Relação Comportamento–Transação na Detecção de Endereços Ilícitos de Bitcoin

Declaração do Problema

A detecção de endereços de Bitcoin ilícitos enfrenta três desafios primários:

Coordenação Insuficiente: Os métodos existentes frequentemente falham em coordenar efetivamente as estatísticas comportamentais ao nível do endereço com as relações de transação específicas.
Atenuação do Modelo UTXO: As representações de grafos padrão frequentemente obscurecem os limites dos eventos de Saída de Transação Não Gasta (UTXO), confundindo papéis de pagador e destinatário e perdendo a distinção entre entradas e saídas de transação.
Desequilíbrio de Classes: Rótulos ilícitos verificados são escassos em comparação com os lícitos, levando ao treinamento dominado pela classe majoritária e uma detecção deficiente de atores ilícitos minoritários.

Os métodos baseados em características atuais comprimem o histórico de transações em vetores fixos, perdendo a topologia do fluxo de fundos. Por outro lado, os métodos baseados em grafos frequentemente utilizam grafos homogêneos ou regras de propagação gerais que não respeitam a semântica específica de entrada/saída das transações de Bitcoin, potencialmente introduzindo vizinhos irrelevantes ou falsos positivos.

Metodologia: BTR-DHGNN

Os autores propõem a BTR-DHGNN (Rede Neural de Grafo Híbrida de Duas Ramificações de Relação Comportamento–Transação), um framework transdutivo projetado para um grafo de transações de Bitcoin histórico fixo. A arquitetura consiste em quatro estáções principais:

1. Arquitetura de Duas Ramificações

Ramificação de Comportamento (Behavior Branch): Esta ramificação modela os padrões intrínsecos do endereço alvo. Ela combina estatísticas de endereço padronizadas (55 características) com desvios robustos calculados em relação à população de treinamento lícita. As características são agrupadas em cinco categorias semânticas (Atividade, Valores/Posição, Taxas, Tempo, Contrapartes). Cada grupo é codificado por um MLP (Perceptron Multicamadas) independente e, em seguida, processado por um Transformer de Grupo usando atenção entre grupos para capturar interações entre diferentes dimensões comportamentais.
Ramificação de Relação (Relation Branch): Esta ramificação modela explicitamente o grafo heterogêneo de endereço-transação preservando a semântica UTXO.
- Tipos de Nós: Mantém tanto os nós de endereço quanto os de transação.
- Propagação Sensível à Direção: Distingue entre papéis de entrada (endereço $\to$ transação) e papéis de saída (transação $\to$ endereço). A passagem de mensagens agrega informações de vizinhos usando estatísticas de Média, Máximo e Desvio Padrão.
- Aprendizado Multi-salto (Multi-Hop): O codificador empilha dois blocos de propagação para aprender relações de fluxo de fundos diretas e de ordem superior sem adicionar conexões residuais que possam duplicar informações da ramificação de comportamento.

2. Regularização Estrutural e Fusão

Visões de Relação Estocásticas: Durante o treinamento, duas visões estocásticas do grafo são construídas através da queda independente de arestas (máscara de Bernoulli). Isso reduz a dependência de conexões locais incidentais. O modelo impõe consistência entre essas visões e alinha a representação comportamental com a representação relacional.
Preditor de Estabilidade: Um preditor estima a estabilidade da representação relacional de um nó com base no acordo entre as duas visões estocásticas.
Fusão Sensível à Confiabilidade: Um mecanismo de portão (gating) pondera adaptativamente as contribuições das ramificações de comportamento e de relação para cada nó. Este portão utiliza a representação de interação (concatenação de comportamento, relação, sua diferença e produto) e o escore de estabilidade previsto. Uma cabeça de classificação de interação funde adicionalmente esses sinais para capturar concordâncias e discrepâncias não lineares.

3. Função de Perda
Para lidar com o desequilíbrio de classes, o modelo emprega a Class-Balanced Focal Loss (CBFL). Esta combina o peso de número efetivo (para lidar com o desequilíbrio extremo sem pesos instáveis) e a modulação focal (para reduzir o peso de exemplos fáceis), garantindo que a otimização foque em casos minoritários e difíceis. A supervisão auxiliar é aplicada a ambas as ramificações.

Principais Contribuições

Framework de Duas Ramificações: Uma arquitetura inovadora que separa o comportamento do endereço e as relações de transação sensíveis à direção, permitindo que sejam aprendidos conjuntamente sem compressão estrutural.
Codificador de Relação Sensível à Direção: Um mecanismo que preserva os limites dos eventos UTXO e distingue explicitamente os papéis de entrada/saída, combinado com visões de relação estocásticas para melhorar a robustez estrutural.
Fusão Adaptativa: Um mecanismo de portão ao nível do nó que equilibra dinamicamente as evidências comportamentais e relacionais com base na estabilidade prevista e nos padrões de interação.
Validação Empírica: Experimentos extensos no dataset Elliptic++ demonstrando desempenho superior sobre baselines baseados em características e baseados em grafos.

Resultados

Avaliado em uma divisão transdutiva fixa de 70%/30% do dataset Elliptic++ (contendo ~822k nós de endereço e ~202k nós de transação), a BTR-DHGNN alcançou:

F1 Score da Classe Ilícita: 0.9402
Precisão Média (AP): 0.9829
Precisão: 0.9428
Recall: 0.9377

Desempenho Comparativo:

Comparado ao melhor baseline baseado em características (Random Forest), a BTR-DHGNN melhorou o F1 score em 11,27%.
Comparado ao melhor baseline convencional de características (XGBoost), ela melhorou o AP em 6,88%.
Ao contrário de modelos de grafos genéricos (GCN, GAT, GraphSAGE) que alcançaram alto recall mas baixa precisão (levando a altas taxas de falsos positivos), a BTR-DHGNN manteve alta precisão (>0,94) enquanto alcançou alto recall (>0,93).

Descobertas de Ablação:

As Relações de Transação foram identificadas como a fonte de evidência individual mais forte, mas a Ramificação de Comportamento foi crucial para reduzir falsos positivos e melhorar o ranking.
O modelagem sensível à direção e o agrupamento semântico foram críticos; removê-los degradou significativamente o desempenho.
Profundidade de Propagação: Dois blocos de propagação forneceram o equilíbrio ideal entre F1 e AP; uma propagação mais profunda melhorou o AP, mas reduziu o F1 no ponto operacional fixo.
Visões Estocásticas: A perturbação moderada de arestas (taxa de queda de 15%) atuou como uma regularização estrutural eficaz.

Significância e Alegações

O artigo afirma que a BTR-DHGNN aborda as limitações específicas de trabalhos anteriores ao:

Desacoplar e Coordenar Evidências: Trata o comportamento do endereço e a topologia da transação como fontes de evidência distintas, porém complementares, fundidas adaptativamente em vez de forçadas em uma única representação.
Respeitar a Semântica UTXO: Ao reter nós de transação e distinguir os papéis de entrada/saída, o modelo evita a "conflação" de papéis de pagador/destinatário comum em abordagens de grafos homogêneos.
Utilidade Operacional: O modelo é projetado para análise post-hoc em grafos históricos fixos. Sua alta precisão e recall ajudam a restringir conjuntos de candidatos para triagem de endereços ilícitos, apoiando a revisão manual, expansão de fluxo de fundos e rastreamento retrospectivo em investigações de criptomoedas.

Os autores observam explicitamente que suas conclusões se limitam a um cenário transdutivo em um grafo histórico fixo. Eles não alegam aplicabilidade imediata a cenários indutivos (novos nós não vistos) ou extrapolação temporal, identificando estes como trabalhos futuros necessários para implantação prática em tempo real. O método depende da disponibilidade de um grafo de transações histórico razoavelmente completo e de rótulos verificados para treinamento.