Home

이 연구는 가상화폐 조사를 위한 블록체인 기반의 온체인 데이터 분석 기법에 대한 연구이다. 시간 특정 방식, 그래프 분석 방식 및 이상 징후 탐지 분석 등의 온체인 데이터 분석 기법을 가상화폐 조사를 위한 디지털 포렌식 분야의 조사 방법으로 제시하고, 일부 검증을 위해 pagerank 알고리즘을 사용하여 거래소 및 불법적인 행위와 관련된 가상화폐 주소들을 식별하는 실험을 진행하여 불법적인 행위에 포함된 주소들을 식별할 수 있었다[15].

이 논문에서는 온체인 데이터를 통해 가상화폐에서 발생하는 자금 세탁 및 범죄 자금에 관련된 행위를 탐지하고 추적하기 위해 온체인 데이터 분석 기법에 대한 연구들을 제시한다. 국내에서는 온체인 데이터를 활용한 연구가 상당히 제한적이며 이는 가상화폐 디지털 포렌식 영역에서 온체인 데이터를 활용한 추가적인 실증 연구 및 사례 분석이 필요함을 시사한다.

이 연구는 가상화폐 거래소 거래량의 이상 징후 탐지를 위한 프레임워크를 제안한 연구로 온체인 데이터 수집, 상관관계 분석, 딥러닝 기반 이상 탐지로 구성되었다. 이더 스캔 API를 이용해 온체인 데이터를 수집하고 이더리움 계좌 정보를 통합한 뒤, 각 거래소에서 중요하다고 판단되는 요소들을 선정하였다. 선정된 핵심 요인을 분석하고 실험하기 위해, attention과 LSTM(Long Short Time Memory) 모델을 사용하여 다양한 거래소에서 발생하는 거래량에 대한 피팅 곡선을 생성하고, 이 곡선을 이용해 실제 거래량과 피팅 된 거래량을 비교함으로써 이상 거래량을 탐지하였다. 이 과정을 통해 거래소의 일부 비정상적인 거래 금액이 정책 변경과 관련이 있는 것으로 나타났고, 다른 일부는 가상화폐 시장 내 불법 행위 및 자금 세탁과 연관되어 있음을 발견했다[16].

이 연구에서는 가상화폐의 특성을 이용해 피싱 스캠 범죄가 증가하는 현상에 대응하고, 기존 이더리움 네트워크에서 라벨이 지정된 피싱 주소 데이터의 불균형 문제를 해결하기 위해 그래프 임베딩 기술인 trans2vec와 준지도 학습 알고리즘인 tri-training을 결합한 방법을 제안하였다. 제안하는 이더리움 피싱 탐지 모델을 실험 평가를 진행하여 라벨링 된 데이터의 비율이 낮은 조건에서도 대략적인 탐지 결과를 얻을 수 있음을 확인하였다[17].

이 논문에서 제안하는 온체인 피싱 탐지 모델 프로세스는 그림 2와 같다. 피싱 탐지 모델 프로세스는 1번 Phishing Detection Model Train 파트부터 작동한다. 먼저 Kaggle에서 제공하는 이더리움 피싱 계좌 및 정상 데이터를 수집 후 각 데이터를 전처리를 진행한다. 전처리 과정을 거친 데이터는 딥러닝 모델에서 학습을 진행하여 학습 모델을 구성한다. 사용한 이더리움 계좌의 여러 특성을 포함하는 횡단 면적 데이터 학습을 위해 지역적인 패턴 인식에 강인한 1D CNN모델을 사용한다. 1D CNN 모델을 통해 서로 연관된 특성들 사이의 관계를 포착하며 각 특성이 다른 특성들과 어떻게 상호 작용하는지 학습한다. 또한 모델에 셀프 어텐션(Self-Attention)을 사용하여 각 입력 특성의 중요한 정보에 집중할 수 있도록 하며 다양한 유형의 종속성을 포착하고 모델이 다양한 소스의 정보를 결합할 수 있도록 한다. 출력 레이어에서 이진 분류를 통해 클래스를 할당한다. 이후 학습된 모델에 피싱 탐지를 하기 위해 실시간으로 이더리움 계좌 데이터를 수집해야 한다. 2번 On-chain data collection & cleansing 부분에서 실시간으로 이더 스캔 API를 통해 이더리움 블록을 수집하여 계좌 정보 및 트랜잭션 데이터를 전처리 과정을 거친다. 이후 학습된 온체인 피싱 탐지 모델에 이더리움 계좌 데이터들을 입력하여 수집된 계좌 정보가 정상 또는 스캠인지 이진 분류를 통해 예측하는 3번 Phishing Predict Module 과정을 거친다. 이 과정에서는 이더리움 온체인 사이트인 이더 스캔 API를 사용한다. 이더 스캔 API를 통해 이더리움 블록을 수집한다. 수집된 이더리움의 블록에는 수신자 및 송금자의 정보와 이더리움 양의 가격을 알 수 있다. 이렇게 수집된 주소를 다시 이더 스캔에 API를 호출하여 지갑에 대한 거래 정보 및 거래 활동 일수에 대한 정보를 수집 후 전처리 과정을 거친 데이터를 1번 프로세서에서 학습한 온체인 피싱 탐지 모델에 입력하여 주소가 정상 지갑 주소 및 스캠 지갑 주소일 가능성을 알려준다.

Fig. 2. 
Onchain phishing detection method

이 절에서는 온체인 피싱 탐지 모델에 대해서 설명한다.

이더리움 피싱 및 정상 계좌 데이터를 읽어와 Dataframe 형태로 저장한다. 저장된 데이터 프레임을 불러와 사기 및 정상 레이블 열을 제외한 데이터를 x로 저장하고 레이블 열은 y로 분리한다.

Conv1D는 입력 데이터가 3차원 구조를 갖도록 요구하기 때문에 변환된 데이터 형태에 차원을 확장하여 [sample, x, 1] 형태로 변환된다. 변환된 데이터는 Conv1D 레이어에서 합성곱(Convolution1D)과정에서 필터를 통해 입력 데이터의 가중치를 계산하며 활성화 함수는 복잡한 데이터 패턴을 학습하기 위해 ReLU(Rectified Linear Unit)을 사용한다. 두 번의 합성곱 과정을 거치고 통과된 값을 맥스 풀링(MaxPooling) 과정을 통해 중요한 특성을 유지하도록 출력을 다운 샘플링 한다. 합성곱을 추가적으로 수행 후 셀프 어텐션을 통해 입력된 특성들을 상호 의존성을 파악하여 각 특징들이 전체 패턴에서 어떤 역할을 하는지 잘 이해하여 특징들의 중요성을 파악한다. 추출된 특성들은 평탄화(Flatten) 과정을 통해 다차원 배열을 1차원 벡터로 변환하여 FC(Fully Connected) 레이어로 넘어간다. 모델의 과적합 방지를 위해 드롭아웃(Dropout)의 비율은 0.3으로 설정했다. 최종 출력(Output)은 사기 및 정상 클래스로 분류하기 위해 이진 분류 함수인 시그모이드(Sigmoid) 활성화 함수를 사용하여 0과 1사이의 확률 값으로 계산한다.

이 절에서는 이더리움 온체인 데이터 수집과 데이터 정제 과정을 설명한다.

이더리움 온체인 데이터를 수집하고 가공하기 위해서는 가상화폐의 트랜잭션 데이터를 수집하는 과정이 필요하다. 이더리움 온체인 데이터 수집에 있어서, 이더리움의 블록 정보를 쉽게 조회할 수 있는 대표적인 플랫폼인 etherscan.io를 이용해 데이터를 수집한다. 일반적으로 제공하는 온체인 데이터는 원시 데이터의 형태로 제공된다.

이 원시 데이터를 온체인 피싱 탐지 모델에 적합한 형태로 변환하기 위해 수집한 데이터를 정제한다. 데이터 정제 과정은 불필요한 정보의 제거와 필요한 데이터 형식으로 포맷하였다. 이더리움 블록 수집은 etherscan.io에서 수집하였으며 해당 블록 내의 거래 주소를 추적하여 바탕으로 각 주소의 데이터를 수집하였다. 표 2는 이더리움 블록 정보를 수집하기 위한 코드이다. 표 1은 수집한 계좌 온체인 데이터 컬럼이다. 수집한 데이터는 온체인 피싱 탐지 모델에서 활용되는 데이터와 유사한 형태로 구성되어야 한다. 파이썬의 pandas 라이브러리를 활용하여 데이터 전처리 과정을 거쳐 12개의 새로운 컬럼을 만들어 정리했다. 표 3은 이러한 전처리 과정을 통해 만들어진 계좌 데이터의 새로운 컬럼들이다.

이 절에서는 학습된 온체인 피싱 탐지 모델이 실시간으로 전처리된 계좌 정보를 바탕으로 피싱을 예측하고 탐지하는 방법에 대해 설명한다.

사전에 학습된 온체인 피싱 탐지 모델은 전처리된 계좌 정보 데이터를 입력으로 받아 예측을 수행한다. 예측된 결과는 각 계좌에 대한 피싱 확률을 나타내며, 이 확률의 평균값을 계산하여 임곗값과 비교한다. 식 (1)은 계산된 평균 예측값을 계산하는 수식이다. y¯는 평균 피싱 확률을 나타내고 N은 총 계좌 수를 나타내며 yi는 각 계좌의 대한 개별 피싱 확률을 나타낸다.

y¯가 임곗값을 초과하는 경우, 해당 계좌는 피싱으로 분류된다. 해당 과정을 통해 각 계좌에 대한 피싱 예측을 수행할 수 있다.

모델 실험을 위해 사용한 소프트웨어는 Python 3.9.13, Tensorflow 2.7.0 버전을 사용하였다. 이 실험에서는 Kaggle 및 Github 플랫폼에서 수집한 온체인 이더리움 피싱 주소 데이터를 결합하고, 전처리를 진행했다. 데이터 전처리 후에는 SHAP 라이브러리를 활용하여 피처 선택을 수행한 데이터 바탕으로 모델 학습을 진행하였다.

이 절에서는 온체인 이더리움 피싱 계좌 주소를 분석하기 위해 Kaggle에서 제공하는 온체인 이더리움 사기 계좌 데이터를 활용하였으며 추가적으로 Github 및 EtherScan을 통해 각 피싱 및 정상 계좌 온체인 데이터를 수집하였다. 이더리움 사기 계좌 데이터는 11,433개 이더리움 정상 계좌 데이터는 14,633개로 이를 통합하면 총 26,066개로 학습 데이터 구성 시 신경망 모델의 견고한 학습 및 공정한 성능 비교가 이루어질 수 있도록 실험을 진행하였다.

이 논문에서 제안하는 온체인 피싱 탐지 모델의 성능 평가를 위해 기존 딥러닝 모델과의 성능 비교를 평가한다. Proposed Model V1은 1D CNN 모델이고 Proposed Model V2는 1D CNN 모델에 셀프 어텐션 레이어를 추가한 모델이다. 이 논문에서는 앞서 설명한 실험 데이터 셋을 각 모델에 사용하여 비교 평가를 진행했다. 표 5는 식 (1)을 적용한 모델의 임계값에 따른 정확도를 평가한 표이다. 이 논문에서 제안하는 온체인 피싱 탐지 모델의 임계치가 0.5일 때 93%의 성능을 보였다. 이진 분류 모델의 성능 평가를 위해 AUC(Area Under the Curve)를 이용하여 평가했다.

그림 3은 실험 데이터 셋을 통해 훈련된 각 모델의 AUC Score를 나타낸 결과이다. 식 (2)는 AUC score를 수식으로 표현한 식이다. 이 논문에서 제안된 온체인 피싱 탐지 모델인 Proposed Model v2는 0.98이며 Proposed Model v1은 어텐션 결합이 없는 1D CNN 모델로 0.96으로 성능이 평가되었다. 평가 결과 제안 모델이 다른 딥러닝 모델에 비해 피싱 탐지 클래스를 분류하는 성능이 우수한 것을 알 수 있었다.

Fig. 3. 
AUC comparison between models

그림 4와 표 6은 이 논문에서 제안한 온체인 피싱 탐지 모델과 딥러닝 모델들의 성능을 비교한 결과이며 정확도와 Precision, Recall, F1-score를 측정하였다. 식 (3)과 식 (4)를 통해 정확도 및 F1-score르 계산함으로써, 각 모델의 성능을 정략적으로 평가했다. 이 논문에서 제안한 모델의 정확도는 0.93, F1-score는 0.92로 다른 딥러닝 모델에 비해 성능이 향상되었다.

Fig. 4. 
Performance comparison between models

여기서, TPR은 피싱 주소를 정확하게 예측한 비율이며 FPR은 정상 주소를 피싱으로 분류한 비율이다.

여기서, TP와 TN은 모델이 피싱 주소와 정상 주소를 정확하게 예측한 경우, 예측 FP는 실제 정상이지만 피싱으로 잘못 예측한 경우, FN은 실제 피싱이지만 모델이 정상으로 잘못 예측한 경우다.