扩展用于暗网中P2P加密货币论坛分类的分类体系：一种迭代的方法论途径

《Forensic Science International: Digital Investigation》：Extending taxonomies for P2P crypto forum classification in the dark web: An iterative methodological approach

　　何塞-阿梅利奥·梅迪纳-梅罗迪奥 | 米克尔·费雷尔-奥利瓦 | 亚历杭德罗·鲁伊斯-桑布拉诺 | 何塞·费尔南德斯-洛佩兹 | 阿德里安·多明格斯-迪亚兹
西班牙马德里阿尔卡拉大学计算机科学系

**摘要**
本研究提出了一种迭代的方法论，用于扩展和评估应用于暗网中点对点（P2P）加密货币论坛的分类体系。该领域具有高度的语义同质性和低主题多样性。基于23,642条帖子的数据集，实现了一个基于规则的确定性流程，以设计一个初始分类体系，重点关注交易意图、交易资产和支付机制。随后，通过n-gram统计方法分析了无法分类的案例，以检测新兴子类的实证证据，从而根据数据集本身的行为纳入了新的类别（主要是交易所平台和论坛）。这一扩展消除了模糊的类别（其他/不明确），显著提高了分类覆盖率，表明P2P领域的分类体系应被视为进化产物，而非固定结构。

根据这一定义，当前的分类体系通过一个记录在案的循环进行演变：确定性分类、模糊性诊断、从剩余案例中提取候选类别，以及受限的人工干预下的整合。最后，共现分析和词汇聚类揭示了四个不同的功能社区，证实这些论坛并非作为广泛的讨论空间运作，而是作为面向操作执行的交易基础设施。研究结果为加密货币环境中的可解释语义分类提供了一个可追踪的框架，对网络情报和数字取证分析具有直接意义。

**1. 引言**
暗网中的加密货币论坛是金融、技术和社交活动交汇的关键场所（Basheer, 2022; Kühn et al., 2024）。这些平台主要托管在Tor等网络上，促进了用户之间的交流，他们希望规避监管控制，无论是进行涉及数字资产的合法交易还是参与非法市场（Jozaghi, 2025; Nadini et al., 2022）。在这些环境中，加密货币充当交换媒介、价值储存手段和匿名工具，促进了具有自身动态的平行经济的形成（Cong et al., 2025; Scharnowski, 2024）。最新研究表明，点对点（P2P）市场的巩固增强了加密货币生态系统的韧性，专门的参与者（称为多主体）即使在关闭或执法干预后也能维持交易连续性（dos Reis et al., 2024; Nadini et al., 2022）。因此，加密货币论坛已成为结合技术信息、社区支持和金融协调的关键互动节点，在秘密数字经济的运营基础设施中发挥着核心作用（Basheer, 2022; Hiramoto and Tsuchiya, 2024）。

尽管它们具有重要意义，但对P2P加密货币论坛的系统性分析仍是网络情报领域尚未解决的问题（Kühn et al., 2024）。虽然存在针对勒索软件等领域的成熟分类框架，但目前尚无专门适应加密货币领域语义和交易特性的分类体系（CIRCL, 2025; De-Marcos et al., 2025）。这一方法论空白阻碍了内容的自动化分类，并限制了网络威胁情报（CTI）系统之间的互操作性，制约了检测匿名社区中的金融风险和新兴行为的能力（CIRCL, 2025; Kühn et al., 2024）。这些论坛的主题同质性（集中在交易对、支付机制和信任信号上）对传统的文本挖掘和主题建模方法构成了额外挑战，因为这些方法通常需要更大的语义多样性才能产生准确且具有解释性的结果（De-Marcos and Domínguez-Díaz, 2025; De-Marcos et al., 2025）。

在这种背景下，需要建立透明且可审计的方法论，用于设计、验证和扩展暗网中加密货币领域的专门分类体系（De-Marcos et al., 2025; Kühn et al., 2024）。对这些论坛中互动的结构化分类不仅有助于加强网络情报能力，还能进行金融风险分析，并识别与洗钱、欺诈或匿名化方案相关的异常行为模式（Cong et al., 2025; Scharnowski, 2024）。可靠且可审计的分类体系的可用性将促进研究人员和机构之间的合作，有助于构建具有经济和数字安全直接意义的网络加密货币交易动态语义地图（Scharnowski, 2024）。

本研究的主要目标是通过迭代分类和网络分析方法扩展暗网中P2P加密货币论坛的分类体系。为此提出了以下子目标：
（1）设计并实证评估一个针对P2P加密货币论坛的特定分类体系，其有效性主要体现在数据集覆盖范围、减少剩余模糊类别以及与样本案例的手动检查一致性方面；
（2）实施一种迭代优化方法，结合确定性分类和受限语言模型辅助作为剩余模糊案例的次要验证机制；
（3）评估扩展后的分类体系在整个数据集上的有效性；
（4）减少分类后的模糊性；
（5）识别代表该领域的交易和语言模式；
（6）使用聚类和共现分析技术图形化表示论坛的语义结构。在整个流程中，大型语言模型（LLM）的支持仅限于在预定义的分类选项下进行受限关键词提取和剩余案例验证，不作为主要的自由生成分类器。

总体而言，本研究提出了一种结构化且可审计的方法论框架，旨在提高与加密货币相关内容的分类覆盖率，减少剩余模糊性，扩大现有分类体系的语义覆盖范围，同时增强适用于匿名P2P环境的分析能力。从概念上讲，该研究还认为这些环境更应被视为围绕执行功能组织的交易基础设施，而非通用的讨论论坛。其贡献在于将确定性方法和机器学习支持结合在一个可验证的过程中，为未来应用于加密货币生态系统的网络情报研究奠定概念和技术基础。研究的一个核心特点是整个过程在规则层面是可审计和可追溯的，使得分类结果在网络情报和取证环境中比那些由不透明黑盒流程产生的分类结果更具辩护性。

这些子目标通过以下六个研究问题具体化：
- 子目标1回答研究问题RQ2；
- 子目标2回答研究问题RQ3和RQ4；
- 子目标3回答研究问题RQ5；
- 子目标4通过专注于减少模糊分类来回答研究问题RQ5；
- 子目标5回答研究问题RQ1和RQ6；
- 子目标6回答研究问题RQ6。

总体而言，RQ1提供了数据集的描述性特征，而RQ2–RQ5指导了分类体系的迭代优化和评估过程。因此，本研究围绕六个研究问题（RQs）展开，这些问题指导了方法论的发展和结果的解释：
• RQ1. 暗网中P2P加密货币论坛发布的帖子表现出哪些特征？
• RQ2. 如何设计一个能够捕捉互动基本维度的初始分类体系（意图、资产、支付方式、风险指标）？
• RQ3. 鉴于该领域的复杂性和同质性，基于规则的确定性策略在分类帖子方面的有效性如何？
• RQ4. 从最初被分类为不明确的案例中出现了哪些新兴类别，它们如何有助于扩展和优化分类体系？
• RQ5. 分类体系的扩展如何影响最终数据集分类的覆盖率和一致性？
• RQ6. 通过共现分析和术语聚类在论坛中揭示了哪些语义和功能模式？

本文正式分为六个部分。第1部分介绍了研究背景，强调了暗网作为网络情报分析空间的重要性以及将MISP分类体系扩展到加密资产领域的必要性。第2部分回顾了理论框架和相关工作，讨论了加密货币市场的动态。第3部分提出了概念模型，围绕与内容形态学和语义分类相关的研究问题进行组织。第4部分使用VOSviewer展示了论坛的图形表示。第5部分展示了获得的定量结果，并专门讨论了研究的局限性（第5.1节）。最后，第6部分总结了主要结论，并提出了将模型应用于其他敏感领域的未来研究方向。

**2. 相关工作**
加密货币的扩展及其融入数字经济极大地改变了网络犯罪和网络安全的格局。自比特币出现以来，匿名网络（特别是Tor）促进了去中心化市场和论坛的发展，在这些市场中，匿名性、加密技术和缺乏监管创造了有利于金融创新和非法活动的环境（Jozaghi, 2025）。这一新生态系统对网络情报和取证分析构成了核心挑战，因为它将合法的金融结构与欺诈、洗钱和非法交易行为结合起来（Cong et al., 2025）。

**2.1. 加密货币与网络犯罪的演变**
最新研究表明，网络犯罪的扩张与加密货币的使用密切相关（Jozaghi, 2025）。Cong等人（2025）指出，勒索软件已成为最广泛的网络犯罪形式，这得益于数字资产的不透明性和有限的可追溯性。这种现象催生了具有复杂企业结构的犯罪网络，这些网络在全球范围内运作，并使用加密货币作为主要支付手段（Cong et al., 2025）。根据Jozaghi（2025）的观点，匿名性、加密技术和去中心化的结合威胁到了制度稳定性和经济治理，因为它们生成了逃避国家控制的金融回路。

点对点（P2P）交易的兴起巩固了一种具有韧性的经济模式，在这种模式下，用户之间的直接交易量超过了暗网中的结构化市场（Nadini et al., 2022）。这些交易由多主体维持，他们是活跃在多个论坛中的用户或卖家，充当连接节点，确保即使在突袭或网站关闭后非法网络也能持续运行（dos Reis et al., 2024）。多主体提供的稳定性使犯罪生态系统在每次执法干预后仍能保持功能（dos Reis et al., 2024）。与Monero（XMR）或Zcash（ZEC）等隐私币相关的匿名性加剧了在暗网中检测和追踪操作的难度（Scharnowski, 2024）。这些货币特别适用于存在经济限制或国际制裁的地区，因为它们提供了隐藏资金流动的机制（Scharnowski, 2024）。此外，数字犯罪经济正在扩展到新的领域：利用受损的物联网设备进行加密货币盗窃和凭证填充攻击（Siwakoti et al., 2024），以及在秘密论坛中商业化个人数据和泄露的凭证（Wibowo et al., 2024）。这种威胁的多样化推动了利用区块链透明度追踪非法资金流动的取证技术的发展（Cong et al., 2025），尽管匿名化机制的日益复杂化限制了这些方法的有效性（Mirza et al., 2022）。

**2.2. 加密货币市场的动态和韧性**
加密货币市场及其社区的稳定性不仅取决于底层技术，还取决于支撑这些平台的社会关系（Basheer, 2022）。Decary-Hetu等人（2023）表明，警方突袭和关闭只会导致暂时性的中断，因为用户会迅速迁移到新的论坛或替代市场。Zambiasi（2022）证实，暗网市场的关闭会导致短期内向实体交易的转变，但这种转变会在几天内逆转，显示出这些数字生态系统的适应能力。Basheer（2022）强调，暗网论坛作为信任、技术交流和归属感的中心，增强了非法在线交易的可持续性。在这些论坛中，形成了结合技术支持、声誉机制和基于同伴的验证的社区（Basheer, 2022）。这种环境通过营销策略得以维持，例如供应商应用忠诚度策略（包括折扣、免费样品或退款）来增强买家信任（Siuda et al., 2024）。与其他非法空间不同，加密货币论坛同时包含技术讨论和金融交易，将合法和非法内容整合在同一环境中（Hiramoto and Tsuchiya, 2024）。一些研究表明，在特定情况下，论坛充当市场的替代品，促进了用户之间的离线协商和协调（Hiramoto and Tsuchiya, 2024）。这种技术和商业交换的混合要求根据帖子的意图和语言模式进行分类，从而区分合法和潜在的犯罪活动（Catalani et al., 2023）。关于秘密数字经济的文献进一步表明，加密货币市场中的价格和消费模式并不遵循传统市场规律（Madarie et al., 2023）。在某些领域中，高风险产品随着其可见度的增加而失去吸引力，这表明人们倾向于采取更加谨慎和匿名的行为（Madarie等人，2023年）。这些动态情况证实了需要结合语义、经济和社会维度的分析方法（dos Reis等人，2024年）。2.3. 网络情报中的分类法及其在加密货币领域的局限性网络威胁情报（CTI）的发展推动了用于组织和共享数字威胁信息的分类法的创建（CIRCL，2025年）。其中，恶意软件信息共享平台（MISP）已成为事实上的标准，它提供了一种使用格式“命名空间：谓词=值”对网络安全事件和参与者进行分类的语义标签系统（CIRCL，2025年）。这种方案促进了机构之间的互操作性，并简化了安全事件的自动化关联（CIRCL，2025年）。然而，将MISP应用于非技术领域（如加密货币论坛）时存在显著的限制（De-Marcos等人，2025年）。该模型缺乏描述去中心化金融环境特定维度的谓词，例如交易意图、交易资产或风险信号（De-Marcos等人，2025年）。因此，当用于对文本内容进行分类时，结果往往具有高度的模糊性和有限的语义覆盖范围（Kühn等人，2024年）。De-Marcos等人（2025年）指出，传统的主题建模方法（如LDA或BERTopic）在词汇集中在少数关键概念的P2P论坛等同质领域中表现不佳。尽管本研究没有与LDA或BERTopic进行全面的并行基准测试，但其设计正是为了应对这些方法在语义同质的加密货币论坛语料库中遇到的局限性。因此，我们的贡献是方法论上的和解释性的：我们展示了如何通过基于规则的、可审计的分类法扩展流程来提高语料库的覆盖范围，并减少主题分散度较低的领域中的模糊残余类别。相比之下，大型语言模型（LLMs）在上下文解释方面具有更大的能力，尽管它们引入了与偏见和推理错误相关的风险（Hassanin和Moustafa，2024年）。因此，确定性分类、基于LLM的验证和人工审查的结合成为分类法细化的可行替代方案（De-Marcos和Domínguez-Díaz，2025年）。在这个框架内，对MISP分类法的受控扩展成为分析加密货币论坛内容的适当方法论策略（De-Marcos等人，2025年）。通过迭代和文档化的过程，可以生成反映该领域特定意图和语义关系的新类别，从而减少模糊性并提高分类的可追溯性（Shah等人，2025年）。3. 方法论本节介绍了用于设计、扩展和验证应用于暗网P2P加密货币论坛领域分类法的方法论方法。所提出的方法论基于一个迭代和可审计的方案，其中每个阶段都产生一组形式化的输出，这些输出构成了后续分析阶段的实证证据。这确保了结果的可追溯性和语义控制，避免了不透明的依赖关系或无法验证的隐含推理。无论何时使用LLM辅助程序，其输出都被视为中间分析产物，并受到明确的提示约束、确定性解码设置以及对代表性子集的人工审查。在本研究中，验证主要指的是分类法对分析语料库的实证适用性，通过分类覆盖范围、残余类别（其他/模糊）的减少以及对样本案例的针对性手动检查来评估，而不是通过与整个语料库的黄金标准进行全面的监督准确性比较。目标不仅是对语料库进行分类，还要展示确定性分类和分类法细化之间的相互作用如何使最终的本体结构从该领域的统计行为中浮现出来。3.1. 数据收集和语料库构建数据收集持续了十二个月，从2023年10月29日到2024年10月10日。在此期间，识别出四个洋葱服务，每个服务都对应一个主要面向暗网中与加密货币相关活动的点对点讨论论坛。这些论坛构成了研究的实证基础，代表了P2P加密货币生态系统内的稳定互动空间。选择这四个论坛是基于三个操作标准的目的性抽样：（i）在观察窗口期间持续可访问；（ii）明确面向点对点加密货币交易而非更广泛的暗网商业；（iii）有足够的帖子活动以支持纵向收集和分类法分析。目标不是构建整个暗网的统计代表性样本，而是捕捉能够观察到重复交易语言的稳定且信息丰富的P2P加密货币环境。这种选择引入了对相对持久和可访问论坛的固有抽样偏差，因此研究结果应被视为对该生态系统特定部分的分析代表性，而不是所有暗网加密货币空间的代表性。数据提取使用了一个专门为在基于Tor的环境中运行而开发的爬虫进行。爬虫检索了每个论坛帖子的完整文本内容，并最初将其存储为顺序编号的纯文本（.txt）文件，保留了原始结构和内容，而在此阶段没有进行预处理或过滤。初始数据集包含来自这四个洋葱服务的23,642个帖子。这些文件随后被整合到一个包含相同数量记录的单一JSON语料库中，以便进行结构化处理和下游分析操作。每个帖子都被表示为一个单独的对象，其中包含了完整的消息内容以及一组相关的元数据属性，如来源URL、提取日期和帖子发布的论坛名称。这种结构化的表示为后续的数据准备、确定性分类和迭代分类法细化阶段提供了一致且可审计的基础。3.2. 伦理和法律考虑本研究分析了在观察期间通过Tor可访问的公开暗网论坛中收集的用户生成内容。没有与论坛参与者进行互动，没有为参与目的创建账户，也没有干预观察到的服务的运行。研究仅出于学术分析目的进行，重点关注交易和语义模式，而不是识别个别用户。由于暗网内容可能包含个人身份信息、钱包地址、联系信息或其他潜在敏感数据，因此语料库的处理采用了数据最小化和控制访问的方法。原始数据存储在仅限研究团队访问的受限环境中，手稿中的所有报告仅限于聚合分布、分类法类别和仅在必要时使用的简短说明性片段。为了降低隐私和法律风险，文章中没有复制直接标识符和特定于论坛的操作细节，也没有尝试将帖子与现实世界身份关联起来。因此，即使原始帖子在洋葱服务的公共层面上技术上是可访问的，研究也将这些材料视为敏感的研究数据。此外，数据保留和再利用仅限于本研究描述的方法论验证和分类法分析的目的。语料库没有公开重新分发，以避免用户生成内容的再次曝光，并减少访问敏感暗网环境的风险。尽管这些元数据在工作语料库中保留以便于追溯和去重，但识别字段被排除在发布输出之外，也没有用于描绘个别论坛参与者。3.3. 初始语料库和数据准备本研究采用的方法论流程旨在逐步扩展适用于暗网P2P加密货币论坛的分类法，并评估这种扩展如何影响分类能力和减少语义模糊性。起点是一个由23,642个原始论坛帖子组成的JSON格式语料库，每个帖子代表一个单独的帖子，这些帖子经过了系统化的转换、语义信号提取和迭代分类过程。在第一阶段，文本被自动翻译成英语，以便在单一语言空间内统一语言，从而可以应用确定性模式和LLMs。这一决定是为了满足操作需求，使语料库同质化，以确保正则表达式、规范词典和语言模型能够一致地应用，而不会因多语言性引入语言偏见。在翻译之前，使用langdetect Python库（Google语言检测算法的移植版本）自动检测每个帖子的原始语言。该语料库包含23,642条记录，其中帖子被分类为12种语言，分布如下：丹麦语（n = 11,514；48.70%）、挪威语（n = 5,937；25.11%）、英语（n = 5,831；24.66%）、德语（n = 147；0.62%）、葡萄牙语（n = 129；0.55%）、爱沙尼亚语（n = 35；0.15%）、保加利亚语（n = 28；0.12%）、俄语（n = 6；0.03%）、他加禄语（n = 6；0.03%）、罗马尼亚语（n = 3；0.01%）、斯瓦希里语（n = 3；0.01%）和南非荷兰语（n = 3；0.01%）*（注：由于暗网帖子通常包含加密货币术语和缩写，一些简短的英语或混合代码表达被检测引擎算法统计上归类为北欧语言）。帖子使用Google Translate引擎翻译成单一目标语言（英语），通过deep_translator Python库实现。翻译是逐条帖子进行的，使用标准默认推理，保护了首字母大写的缩写，以防止翻译器错误地修改技术缩写。为了在模糊情况下进行后续验证，原始源文本与其翻译版本（作为original_page_title和translated_page_title）一起持久保存在JSON数据结构中。将所有帖子翻译成单一目标语言是为了标准化确定性模式匹配、规范词典构建和后续LLM辅助的关键词提取所需的词汇空间。虽然机器翻译可能会引入风格上的变化，但分类主要依赖于交易词典和反复出现的交易模式（例如，“用X交换Y”、股票代码、支付渠道和方向箭头），这些在语料库中作为高度稳定的锚点。因此，对于分析目的而言，严重的语义偏差风险大大降低，尽管并未完全消除。在翻译过程中出现分类模糊性的情况下，保留的原始文本确保了流程结果的的有效审计。翻译完成后，使用本地LLM执行script keywords.py脚本，每个帖子提取一到五个关键词。具体来说，关键词提取使用的是本地模型mistral:7 b，通过Ollama执行。该模型接收每个帖子的翻译文本作为输入，并被提示返回一到五个简洁的关键词，仅捕捉消息的核心交易内容。解码时的温度设置为0.1，以最大化输出稳定性并减少生成变异性。为了提高可重复性，keywords.py中使用的确切提示模板现在包含在附录[A]中。选择一到五个关键词的范围是在语义压缩和信号保留之间的保守折中：少于一个到两个关键词通常会遗漏与交易相关的信息，而较长的关键词列表则会引入降低下游模式检测有用性的词汇噪声。关键词仅作为辅助语义支持层使用，而不是作为分类的唯一基础。因为关键词不是作为自主分类机制使用的，而是在更广泛的方法论验证过程中对代表性案例进行手动审查时以有针对性的方式验证了其适用性。然而，分析明确指出，替代的关键词限制或替代的本地模型可能会影响流程后续阶段可用的支持信号，如表1所示。这一步骤不涉及分类，而是控制性地减少语义空间，以便于后续的索引和搜索操作。因此，每个记录由其翻译文本（page_title）和一组简化的标记（keywords）表示。表2显示了翻译和关键词提取后的初始记录示例：表1. 23,642个论坛帖子的原始语言分布。语言频率%丹麦语11,51448.7挪威语5,93725.11英语5,83124.66德语1,470.62葡萄牙语1,290.55爱沙尼亚语350.15保加利亚语280.12俄语60.03他加禄语60.03罗马尼亚语30.01斯瓦希里语30.01南非荷兰语30.01表2. 论坛帖子及其分配的关键词示例。page_titlekeywords用BTC快速交易USDTfasttrade, btc, usdt需要将ETH兑换成LTCswap, eth, ltc希望用Paypal购买100 USDTbuy, usdt, paypal可用现金购买BTC（仅限本地）cash, btc, local从这种结构一开始就揭示了强烈的主题同质性，因为几乎整个语料库都围绕加密货币交易操作（交易），概念分散非常有限。3.4.初始分类法的定义
由于与恶意软件等领域不同，之前并没有专门为加密货币交易论坛定义的MISP分类法，因此在这一阶段需要从零开始设计一个适合研究语料的分类提案。初始分类法围绕五个基本谓词构建，这些谓词捕捉了此类论坛中P2P交易的关键方面：
1. **意图**（Intent），反映了交互的性质（交易、购买、出售、其他）；
2. **资产基础**（Asset_base）和**资产报价**（Asset.quote），代表了每次交易中涉及的资产；
3. **支付方式**（Payment-rail），分组了使用的支付机制（例如，PayPal、银行、现金、礼物）；
4. **风险标志**（Risk-flag），指向潜在的上下文风险信号，如托管、无需了解客户（no-KYC）、匿名或欺诈。
这一结构作为概念框架，组织了整个后续的分类周期，因为它为通过脚本和确定性规则系统地分配值提供了必要的维度。尽管**资产基础**和**资产报价**被表述为语义谓词，但它们的操作角色与其动态和上下文性质相关联。因此，除了作为谓词外，它们还表达了每条帖子中提供的资产和请求资产之间的直接关联关系，从而无需先前的推理模型即可对这些关系进行统计分析。初始分类法并不严格固定每个维度的具体值，因为这些值会通过辅助的人工审核（HITL）进行演变，但结构维度在整个方法论流程中保持不变。

在本研究中，进化分类法被理解为一种谓词保持稳定，但其允许的值、别名和类别边界会根据经验检测到的剩余歧义、分布证据和记录的专家审核进行迭代修订的分类结构；与固定的法医词典不同，它并非事先就假设是完整的。

3.5. 意图检测和配对提取
在此阶段，执行了`detect_intent.py`脚本，旨在为语料库中的每条帖子分配一个初步的意图，通过明确定义的优先级规则来最小化歧义。意图分类是作为基于确定性规则的程序实现的，针对`page_title`字段，并在必要时结合之前提取的关键词。决策逻辑遵循严格的优先级顺序：**出售**（sell）> **交易**（trade）> **购买**（buy）。首先，系统搜索明确的单方面处置语言（例如，sell, want to sell）。如果检测到，则将帖子标记为出售。如果没有，则脚本评估是否可以验证一个明确的交易配对，在这种情况下分配交易标签。如果这两个条件都不满足，系统则回退到单方面获取的线索（例如，buy, looking for, need to buy），并将帖子标记为购买。没有有效配对且没有方向性交易线索的记录被标记为“其他”。这种优先级是为了减少歧义，并在通用交易语言共存时优先考虑明确的语义线索。

可验证的配对被操作性地定义为两个不同的交易方令牌的共现，这些令牌通过公认的交易模式连接，并在规范化阶段后仍然是非空且非通用的元素。实际上，只有当双方都能在文本清洗、分隔符规范化和针对工作词典的令牌验证后解析为候选资产或支付工具时，配对才会被接受。当一方缺失、任一方变为通用或格式错误的令牌，或者匹配的表达不表示交易关系时，配对会被拒绝。应用的层次标准是严格的顺序：只有当内容中存在可验证的配对时，帖子才会被标记为交易；当检测到交易语言但没有明确配对的证据时，才会分配出售或购买；“其他”作为最后手段用于没有明确模式的情况。这种对交易状态的优先处理，基于配对的明确存在，防止了由通用交易表达引起的错误分配。这一程序的结果提供了该领域23,642条记录的初始结构特征：17,627条帖子（74.56%）被分类为交易，而“其他”类别占25.22%，这是后续分类歧义的主要焦点。

表3显示了初始语料库中的意图覆盖情况，其中涉及资产交换的帖子明显占多数。“其他”类别中约25.22%的条目表明存在意图歧义。

3.6. 意图检测后，执行了`extract_pairs.py`脚本，用于提取配对。尽管基础文档没有指定明确的文件名，但这一阶段对应于流程中的`extract_pairs.py`脚本，负责识别文本中的X/Y组合。配对提取是通过在规范化文本上使用正则表达式匹配实现的，当需要消歧时优先考虑`page_title`字段和关键词集。提取器搜索明确的双边交易构造，包括X for Y、X/Y、X > Y、X to Y等形式，以及围绕交换动词（如swap、trade或exchange）构建的等效词汇变体。只有当表达式的两边在清洗后都存在并且可以解释为交易方令牌时，才会保留候选匹配。当一方缺失、任一方变为通用或格式错误的令牌，或者匹配的表达不表示实际的交易关系时，模式会被丢弃。

这一步骤确认了之前意图分类器的稳健性：被分类为交易的17,627条帖子产生了 exactly 17,627个有效的配对，这意味着每条标记为交易的记录都存在一个完整的交易配对。这反过来加强了用于确定初始意图的优先级方法的有效性。因此，表4中显示的20个最常见配对的分布揭示了反复出现的关联，如BTC/USD、USD/BTC、LTC/XMR或XMR/ETH，保持了“提供的资产/请求的资产”的方向性顺序，这对于下游分析交易偏好是方法论上必要的，如表5所示。

表4. 17,627条具有交易意图的记录中前20个最常见交易。
| 资产基础 | 资产报价 | 频率 |
|--------|---------|------|
| BTC | USD | 9 |
| USD | BTC | 8 |
| LTC | XMR | 6 |
| XMR | ETH | 6 |
| LTC | XMR | 5 |
| BTC | XMR | 5 |
| GBX | XMR | 4 |
| XMR | USDT | 4 |
| ETH | XMR | 4 |
| BTC | EUR | 4 |
| BTC | DOT | 3 |
| GRT | SOL | 3 |
| NEO | RAY | 3 |
| MANA | UNI | 3 |
| USD | XMR | 3 |
| DASH | BTG | 3 |
| LTC | FIRO | 3 |
| BTG | XTZ | 3 |

表5. 对随机样本的意图检测和配对提取的手动验证。
| 样本类别 | 正确意图 | 错误意图 |
|--------|---------|--------|
| 交易 | 28 | 12 |
| 其他 | 11 | 8 |
| 出售 | 11 | 10 |

这种方向性的保持贯穿整个流程作为分析参考；后续的整合步骤仅在词汇规范化层面进行，不会覆盖有序的交易结构。

为了评估这一阶段的可靠性，对从意图分类输出中抽取的400条随机帖子进行了手动验证，样本案例分布在观察到的意图类别中。每个样本案例都被审查，以确定分配的意图是否与帖子的交易含义相匹配，对于交易案例，提取的配对是否代表真实的交易关系而不是错误的正则表达式匹配。验证结果显示配对提取的假阳性率为0.0%，意图分类的一致性为100.0%，这表明在高度结构化的词汇领域中，确定性规则的异常稳健性得到了明确估计。

3.6. 构建资产词典
在配对提取之后的阶段，执行了`build_asset_dict.py`脚本，旨在从之前识别的配对中整合出一个统一的资产词典。这一流程组件通过结合同时出现在**资产基础**和**资产报价**中的值，并合并同一资产的同义词和拼写变体（例如，XBT → BTC 或 WETH → ETH），生成了该领域的现实规范词典。整合到单一词典中确保了在后续分类阶段，无论资产的原始文本形式如何，都能被识别，从而实现了多次流程迭代中的稳定和一致的可重复性。此外，`build_asset_dict.py`仅为了词典构建和规范规范化这一特定目的，暂时将两个维度（资产基础和资产报价）合并为一个谓词“资产”。这一阶段的目标不是建模交易方向，而是将同一资产的所有观察到的文本变体整合到一个规范词典中，无论令牌出现在交易的提供方还是请求方。这种临时统一减少了词汇库存中的重复，并使得在整个语料库中一致地规范化同义词和拼写变体成为可能。重要的是，这一操作没有替换用于分析的方向表示：有序的配对结构在配对提取过程中已经得到保留，而在后续的确定性分类阶段明确重建了资产基础和资产报价列。因此，临时合并仅影响词典的构建，而不影响下游法医解释所需的最终方向性表示。

除了这种整合外，脚本还生成了一个统计表，其中每个资产都由三个指标来表征：作为基础的出现次数、作为报价的出现次数以及两者的总和。该表使得能够识别出在该领域中语义权重最大的令牌，并为解释后续分类趋势提供了定量背景。如表6所示，在出现频率最高的资产中，XMR（401次）、BTC（399次）、VGX（380次）、MKR（377次）和LTC（376次）是最常见的，这证实了这些值作为分析中的加密论坛交易核心的一致存在。分别报告`count_as_base`、`count_as_quote`和`count_total`的目的是为了在规范化阶段保留方向信息，即使规范词典本身是基于统一的资产词汇构建的。

表6. 按出现频率排列的前20个资产（作为基础、报价和两者的总和）。
| 资产基础 | 报价 | 总计 |
|--------|------|------|
| XMR | 20 | 419 |
| BTC | 20 | 619 |
| VGX | 19 | 518 |
| MKR | 19 | 380 |
| LTC | 19 | 377 |
| USDT | 19 | 182 |
| CRV | 19 | 182 |
| AXS | 19 | 181 |
| ETH | 19 | 180 |
| AVAX | 19 | 180 |
| CRO | 19 | 180 |
| YFI | 19 | 181 |
| ATOM | 19 | 177 |
| BTG | 18 | 177 |
| VET | 19 | 177 |
| TUSD | 19 | 179 |
| NEO | 18 | 185 |
| SNT | 19 | 178 |
| FTM | 18 | 183 |

由于合并仅限于规范词典的构建，并没有改变后续分类中使用的有序配对表示，因此它不会改变资产基础和资产报价的最终分配；它只是提高了资产表面形式识别的准确性。资产频率的总和高于原始数据集中的23,642条记录，因为大多数分析的帖子中包含多种资产。

3.7. 第一阶段分类（确定性）
在此阶段，执行了`classify_phase1.py`脚本，对整个语料库应用了第一次确定性分类。这一步的目的是仅使用明确规则为初始分类法中定义的谓词分配值，仅在记录仍然不清楚或初始意图值为“其他”时才使用大型语言模型（LLM）作为辅助机制。为了以系统和可审计的方式执行此分类，在此阶段明确重建了资产基础和资产报价列（在上一阶段它们被临时合并为一个资产列表，现在用于重建资产基础和资产报价）。除了这两个列外，还生成了意图、支付方式和风险标志对应的列，因此这一步的结果已经是一个包含谓词值的表格，准备好进行检查和评估。

为了确保完全的可审计性，修订后的手稿在附录B中提供了`classify_phase1.py`使用的完整确定性规则清单。规则按谓词（意图、资产基础、资产报价、支付方式和风险标志）报告，以及相应的规范化逻辑和优先级条件。附录还记录了此阶段使用的辅助词汇资源，包括非歧义令牌的词典和用于最长匹配检测的规范名称和别名的有序列表。所使用的程序基于为每个谓词专门设计的一组正则表达式，由两个辅助结构支持：（i）允许直接映射到规范值的非歧义令牌词典；（ii）按长度排序的小写名称列表，旨在最大化文本匹配而不引入重叠噪声。这两个结构作为分类的刚性指南，防止了在此阶段依赖解释性判断。

在意图分配方面，实现了对交换模式的特定检测，包括符号形式和文字形式。符号“/”和“->”被解释为交易配对的直接证据，而文字表达被规范化为标准值（例如，buy_with 被映射为 buy，sell_for 被映射为 sell）。此外，像“to”、“into”、“against”或“vs”这样的连接词被视为交易关系的指示器。决策顺序是严格和分层的，如3.5节所解释的。最初被标记为“其他”的案例不会被丢弃；它们会被传递给基于LLM的验证，但仅为了确认是否有证据将它们提升为购买、出售或交易。需要强调的是，在这个阶段，大型语言模型（LLM）无法引入新的值；它只能确认允许的值中哪一个才是正确的。因此，该模型更像是一个二级过滤器，而不是一个分类生成器。这一特性不仅仅是技术上的，也是方法论上的：它允许将每个分配追溯到明确的规则、词汇资源和优先条件，从而支持法定的可辩护性和外部审计。这一阶段的结果已经清楚地表明了哪些分类维度与语料库的内容高度一致，哪些不一致。虽然意图和资产维度具有较高的覆盖率，但支付轨道（payment-rail）和风险标志（risk-flag）仍然大部分未得到解决。这种不对称性可能反映了至少两个非排他性因素：（i）初始种子分类法中的词汇覆盖不足，和/或（ii）这些谓词与论坛语料库本身的语义结构之间的对应关系较弱。因此，第一阶段的结果不仅被视为分类扩展的信号，也被视为对初始谓词设计适当性的诊断测试。相应地，这一阶段标志着流程中的一个关键点，在这一点上，逻辑不再仅仅是分类性的，而是变成了诊断性的：classify_phase1.py的输出指出了哪些维度已经成熟，哪些需要在执行可靠的最终分类之前进行分类扩展。这种不平衡正是下一阶段工作的依据，下一阶段将专注于从不明确的数据中提取标记，以便在第二轮分类之前构建新的分类扩展。因此，下一阶段不仅被视为词汇扩展的步骤，也被视为对原始谓词结构是否适合该领域的实证测试。下面展示了这一过程中获得的结果。表7显示，在初始分类中，意图（intent）和资产（asset）有非常扎实的表示。资产报价（asset.quote）的覆盖率低于资产基础（asset.base），这是可以预期的，因为买卖帖子通常只提到一种资产。这种重构恢复了交易的方向语义，确保了后续分析仍然能够区分所提供的资产和请求的资产。表7. 初始谓词覆盖率。谓词%意图83.84资产基础98.87资产报价76.62支付轨道0.5风险标志1.48表8显示，16.16%的帖子最初被归类为其他，这是语料库中一个不可忽视的部分，可能反映了交易语言的真正模糊性或初始规则集的局限性。因此，对随机样本的其他案例进行了手动检查，以确定这两个因素的相对贡献。表8. 意图谓词的初始覆盖率。谓词频率%交易19.74883.53其他3.82016.16购买450.19出售290.12结合对分配标签的手动验证，对手动检查的其他案例起到了补充作用：前者评估分类器做出分配的正确性，而后者评估未进行分配的剩余类别的语义组成。相比之下，表9中的支付轨道（payment-rail）和表10中的风险标志（risk-flag）的结果集中了绝大多数不明确的值，这清楚地表明了需要进行分类扩展和模式细化，如表11所示。表9. 支付轨道谓词的初始覆盖率。支付轨道频率%不明确23.52399.5现金760.32银行330.14礼品90.04PayPal10表10. 风险标志谓词的初始覆盖率。风险标志频率%不明确23.29398.52无KYC1990.84匿名1050.44诈骗380.16托管70.03表11. 分配标签的手动验证（N = 400）。样本N = 281指的是最初表现出有效“交易”意图的样本（N = 400），排除了“其他”类别，因为该类别在逻辑上缺乏交易对。表11. 手动验证的样本大小（n）。谓词样本大小（n）正确分配意图400400资产基础***281281资产报价***281281支付轨道10099风险标志10096在这项研究中，覆盖率被视为在固定语料库上规则适用性的确定性度量：它表示在分类法下获得非剩余标签的观察比例。不应将其解释为分配正确性的度量。因此，修订后的手稿通过有针对性的手动验证来补充覆盖率分析。3.8. 分配标签的手动验证由于覆盖率不评估正确性，修订后的手稿包含了对分配标签的有针对性的手动验证。从主要谓词中随机选取了400篇帖子进行独立审查，以确定确定性分类器根据帖子标题和提取的关键词上下文分配的值在语义上是否正确。对于每个谓词，我们报告了审查样本中正确分配的数量，同时在附带的方法论文本中讨论了相应的基于样本的解释。非模糊标记的词汇表指的是那些可以直接映射到单一规范分类值的表面形式，无需上下文消歧（例如，明确的资产代码、支付标签或风险标记），其组成现在记录在附录C中。3.9. 处理不明确案例为了区分真正的模糊性和基于规则的覆盖不足，对最初被归类为其他（other）的118篇帖子进行了手动检查。每个案例都被审查以确定它是否代表：（i）真正未指定或模糊的交易，（ii）应该被现有意图规则捕获但由于模式限制而遗漏的帖子，或（iii）非交易性的、格式错误的或其他残余案例。这项检查的结果现在报告在表12中，并用于定性初始阶段中“其他”类别的解释。表12. 对最初被归类为其他的帖子样本的手动检查。检查类别描述n百分比（%）（i）真正模糊的没有明确方向或配对的对话式交易意图（例如，“我在这里如何交换硬币？”）。3529.66%（ii）规则遗漏的意图用极其复杂的俚语/语法写的有效交易，规避了确定性正则表达式模式。75.93%（iii）非交易性的残余噪声、服务器错误、教程、问候语、垃圾邮件或没有有效标记的损坏文本。7664.41%总计118100%在第一次确定性分类之后，支付轨道（payment-rail）和风险标志（risk-flag）的谓词显示出极低的有用覆盖率，分别有99.5%和98.52%的案例被归类为不明确。这一结果在分析上很重要，但不应仅从一个方向进行解释。一方面，它可能表明初始分类法尚未包含论坛中实际使用的操作词汇。另一方面，它也可能表明这些谓词在语料库中的表达较弱，或者在帖子标题和提取的关键词中没有得到一致突出。因此，这些不明确的数据既被视为分类扩展的候选词汇来源，也作为重新评估种子谓词结构适当性的证据。手动审查样本中的其他案例表明，这个残余类别结合了真正模糊的帖子和被初始规则集遗漏的案例，这证实了“其他”类别不仅应被视为语义上的不确定性，还应被视为规则覆盖不足的诊断信号。为了实现这一目标，提取了所有被分类为支付轨道和/或风险标志不明确的帖子，以及那些意图仍然被归类为其他（other）的案例。这种提取产生了一组具有两个关键特征的观察结果：（1）在种子分类法未覆盖的领域具有高语义密度，（2）具有更大的词汇多样性，因为它们之前没有被确定性规则“吸收”。正是在这个子集中，最有可能找到分类法中缺失的标记，即那些不符合现有集合的语言证据。该过程首先为每一行生成一个复合文本（page_title + keywords）；这个文本被标准化为ASCII和小写，分词，并去除了西班牙语和英语的停用词，以及任何少于三个字符的标记。这个清洗步骤的技术目的是在n-gram中最大化统计信号。从这个清洗后的文本中，为清晰行和不清楚/其他行构建了一元组、二元组和三元组列表。这种双重分离是必要的，因为后续的统计比较是基于这两个集合之间的经验分布。由于排名程序依赖于清晰和不清楚子集之间的比较，修订后的手稿现在报告了每个谓词在每个子集中的行数、它们的相对比例以及它们之间的词汇重叠程度。这些描述性统计为解释对数比率分数提供了条件背景，并有助于确定给定的比较是否基于合理可比较的分布。对于每个谓词×n-gram组合，计算了对数比率作为分数 = log (p_unclear/p_clear)，使用加性平滑来避免当一个术语在两个分布中都不存在时出现未定义的值。在初始实现中，使用Laplace平滑（k = 1）作为保守的默认值，以在零计数的情况下稳定比率，同时避免罕见术语的比率不稳定的膨胀。由于低频n-gram可能对平滑常数敏感，修订后的手稿包括了对不同k值的稳健性检查。由于罕见n-gram的排名可能对平滑常数敏感，修订后的手稿包括了对不同k值（例如，k = 0.1、0.5、1和2）下获得的顶级候选者的稳健性分析。这一阶段使用的对数比率是一种探索性排名统计，而不是推断性假设检验。其目的是识别与不清楚子集不成比例相关的术语，以便将它们作为分类扩展的候选者进行审查。因此，该分数被解释为在特定于语料库的条件下分布显著性的度量，而不是基于p值的总体显著性检验。如果一个术语在不清楚中的出现频率高于在清晰中的出现频率，其分数就会增加。从数学意义上讲，高分数意味着该术语在统计上与模糊性相关，因此被认为是转换为新的规范值或新的分类别名的候选者。这种方法避免了主观性：术语的选择不是因为它们“看起来相关”，而是因为它们的经验分布表明如此。逻辑明确排除了任何与其他谓词中已存在的值匹配的n-gram，特别是资产，以避免语义冲突。在风险标志（risk-flag）的情况下，还过滤掉了意图连接器（例如trade、exchange）、平台名称（例如binance、p2p）或资产标记。这些排除措施防止了分类法被不代表谓词语义功能的虚假值所膨胀。默认情况下，每个谓词只保留前25个结果。下面讨论了每个评估谓词的排名最高的候选术语。排名基于上述平滑后的对数比率分数，应用了语义冲突和非信息性标记的排除过滤器。对于每个谓词×n-gram组合，计算了对数比率作为分数 = log (p_unclear/p_clear)，使用加性平滑来避免当一个术语在两个分布中都不存在时出现未定义的值。在初始实现中，使用Laplace平滑（k = 1）作为保守的默认值，以在零计数的情况下稳定比率，同时避免罕见术语的比率不稳定的膨胀。由于低频n-gram可能对平滑常数敏感，修订后的手稿包括了对不同k值的稳健性检查。由于罕见n-gram的排名可能对平滑常数敏感，修订后的手稿包括了对不同k值（例如，k = 0.1、0.5、1和2）下获得的顶级候选者的稳健性分析。这一额外分析用于评估在合理的平滑设置下，主导候选者是否保持稳定。这一阶段使用的对数比率是一种探索性排名统计，而不是推断性假设检验。其目的是识别与不清楚子集不成比例相关的术语，以便将它们作为分类扩展的候选者进行审查。因此，分数被解释为在特定于语料库的条件下分布显著性的度量，而不是基于p值的总体显著性检验。如果一个术语在不清楚中的出现频率高于在清晰中的出现频率，其分数就会增加。高分数在数学上意味着该术语在统计上与模糊性相关，因此被认为是转换为新的规范值或新的分类别名的候选者。这种方法避免了主观性：术语的选择不是因为它们“看起来相关”，而是因为它们的经验分布表明如此。逻辑明确排除了任何与其他谓词中已存在的值匹配的n-gram，特别是资产，以避免语义冲突。在风险标志（risk-flag）的情况下，还过滤掉了意图连接器（例如trade、exchange）、平台名称（例如binance、p2p）或资产标记。这些排除措施防止了分类法被不代表谓词语义功能的虚假值所膨胀。默认情况下，每个谓词只保留前25个结果。下面讨论了每个评估谓词的排名最高的候选术语。排名基于上述平滑后的对数比率分数，应用了语义冲突和非信息性标记的排除过滤器。出于可读性的原因，主文本只报告了每个表中的前四个排名最高的候选者，而每个谓词×n-gram组合的完整前25个列表现在提供在附录E中。3.9.1. 候选者排名对Laplace平滑的敏感性为了评估候选者选择的稳健性，我们在不同的加性平滑常数（k = 0.1、0.5、1、2）下重复了排名程序。对于每个谓词和n-gram级别，我们比较了排名最高候选者的成员资格和排序。分析表明，即使在不同的k值下，主导候选者也保持稳定，而次要的排序变化主要集中在低频尾部术语中，尤其是在三元组中。这表明从排名中得出的实质性结论是稳健的，尽管罕见候选者在某种程度上仍然对参数敏感。3.9.2. 支付轨道（payment-rail）• 一元组（payment-rail-unigrams）：支付轨道谓词的一元组级别结果显示在表13中。表13. 主导信号对应于交换互动（trade、“platform”），而不是支付工具（bank transfers、cash等）。术语p_unclearp_clearratio_pu_pcscoretrade0.20460.003165.344,18orangefren0.14480.005824.913,22wikipedia0.0060.0041,490.4wikicrypto0.00740.00581,270.24术语trade和OrangeFren强烈指向交换活动，而其他术语如wikipedia和wikicrypto似乎是指论坛，对于这个谓词来说，它们被视为领域噪声。• 二元组（payment-rail-bigrams）：支付轨道谓词的二元组级别结果显示在表14中。表14. “trade + asset”和“platform + trade”的模式具有很强的代表性，与论坛的交换活动一致。术语p_unclearp_clearratio_pu_pcscoreorangefren trade0.10240.0002449.856,11what wiki0.00520.000145.333,81trade vgx0.00250.000143.073,76trade crv0.00250.000143.073,76• 三元组（payment-rail-trigrams）：支付轨道谓词的三元组级别结果显示在表15中。表15. “platform + trade + asset”模式在支付轨道三元组中占主导地位。术语p_unclearp_clearratio_pu_pcscorebitcoin what wiki0.0024086.444,46orangefren trade crv0.0013045.363,81orangefren trade waves0.0013045.363,81orangefren trade vgx0.0013045.363,81这些支付轨道结果支持在支付轨道谓词中纳入一个规范类别exchange-platform，捕捉到了提到平台的案例。导航术语，如“what”或“wiki”，被视为上下文噪声。这个谓词的主要候选词在不同的平滑常数下也保持稳定，变化主要集中在低频尾部。3.9.3. 风险标志•单元词（risk-flag-unigrams）：风险标志谓词的单元词级结果如表16所示。表16中未观察到规范的风险标记，只有得分较低的内容标记（eurtrade比率=2.05）。termp_unclearp_clearratio_pu_pcscorewikicrypto0,00750,00282,660,98cryptowiki0,00490,00192,620,96wikipedia0,00610,00232,60,96eurtrade0,00050,00022,050,72•双词组（risk-flag-bigrams）：风险标志谓词的双词组级结果如表17所示。表17显示，双词组更多地表示对话信号而非风险标记。termp_unclearp_clearratio_pu_pcscorewhat wikicrypto0,00490,000413,582,61what wikipedia0,00420,000411,672,46what cryptowiki0,00450,000410,832,38what wiki0,00520,00069,12,21尽管某些比率和得分在数值上显著，但检索到的候选词并未为当前的风险标志领域提供语义相关的信号。•三词组（risk-flag-trigrams）：风险标志谓词的三词组级结果如表18所示。表18显示，对话模式持续存在，没有证据表明存在与风险相关的条件或实践。termp_unclearp_clearratio_pu_pcscorewhat crypto wiki0,0003010,962,39what tor wiki0,00510,00095,421,69wiki tor what0,000104,761,56what wikipedia cryptocurrency0,000104,051,4风险标志的结果在这个阶段并不支持强有力的扩展，因为排名最高的候选词主要是内容标记和对话标记，而不是具有语义意义的风险指标。这种微弱的可恢复信号可能反映了语料库中风险的间接表达，或者与风险相关的讨论有限。•单元词（Intent-unigrams）：意图谓词的单元词级结果如表19所示。表19中的单元词表明了技术主题，但并未明确指出讨论的性质。termp_unclearp_clearratio_pu_pcscorenodes0,00070102,534,63analysis0,0006091,744,52demo0,0006091,744,52solo0,0006091,744,52尽管这些词的比例和得分很高，但它们并没有描述讨论的类型。•双词组（Intent-bigrams）：意图谓词的双词组级结果如表20所示。表20中出现了其他谓词中已经观察到的对话标记（“what ...”），对于这个领域来说，特别是“forum what”，这表明了一个论坛类别。termp_unclearp_clearratio_pu_pcscorelogo what0,0006084,274,43ethereum developer0,0004058,624,07bitcoin wikipedia0,0008056,794,04forum what0,0004054,964,01意图双词组揭示了一个可能的子类别，包括论坛或问答标记，鉴于识别出的强烈信息模式。•三词组（Intent-trigrams）：意图谓词的三词组级结果如表21所示。表21中的三词组加强了问答或操作内容的解释。termp_unclearp_clearratio_pu_pcscorewhat wiki bitcoin0,00660,000166,444,2cryptowiki bitcoin crypto0,0004058,174,06bitcoin what wiki0,00680,000239,633,68bitcoin demo what0,0002034,373,54意图结果支持将意图与论坛类别相结合。特别是“forum what”和“what ...”系列，表明问答或论坛风格的帖子是其他类别中的常见子类别。相应的提案与额外的同义词和指标一起被添加，以丰富新的类别，特别是对于交换平台，其中使用了人工参与的过程来纳入一些流行的交换平台。在风险标志谓词的情况下，对候选词的分析没有产生能够证明扩展其词汇的语义相关证据，如上所述。此外，初步分类显示覆盖率非常低，表明语料库中风险指标的存在有限。在被分类为不清晰的帖子中，出现频率最高的n-gram对应于对话标记（例如，what wiki、cryptowiki）或与操作风险条件或指标无关的通用内容标记。由于这些术语没有为该类别提供有意义的信息，并且为了避免引入分类噪声，风险标志既没有被扩展，也没有作为谓词保留在最终的分类中。这一决定基于初始覆盖率低以及该流程部分缺乏显著的语义信号，优先考虑了最终分类中包含的谓词（意图、资产、支付渠道）的一致性和相关性。重要的是，风险标志缺乏强烈的可恢复词汇信号本身就是一个实证发现，因为它表明在当前分析单元下，这个维度在论坛语料库的可观察讨论中可能表示较弱。相应的提案与额外的同义词和指标一起被添加，以丰富新的类别。在交换平台的情况下，这种扩展不仅仅基于n-gram的显著性：候选平台名称经过了第3.10节中详细描述的人工参与策划程序，以确保只有有效的交换场所被纳入最终的分类中。3.10. 分类的整合和策划在这个阶段，通过辅助人工策划丰富了资产谓词和新交换平台类别的值，目的是产生一个可文档化的、可使用的版本，可以直接被最终的分类流程使用。这种丰富包括添加额外的别名（扩展的）和标准化描述（description），能够指示每个类别在资产交换和所使用的结算渠道背景下的起源、功能和操作角色。通过这种方式，结果词汇不再仅仅是可检测令牌的清单，而成为具有明确意义的语义集合。例如，对于BTC，不仅合并了别名BTC/XBT/Bitcoin，还记录了描述，指出Bitcoin于2009年推出，是第一个去中心化系统，并实际上作为价值存储、结算资产和具有深度全球流动性的交易抵押品。同样的程序也应用于交换平台类别，但在这种情况下，丰富过程涉及明确的人工参与策划阶段，因为候选平台名称通常需要领域知识来区分真正的交换场所和钱包、支付方法、通用商业术语或噪声参考。共有27个交换平台值被添加到扩展的分类中。候选平台是从第一阶段不清晰子集中挖掘出的高排名n-gram中识别出来的，每个候选都根据预定义的纳入标准进行了审查。只有当它表示一个可识别的交换场所或与该领域加密货币交易相关的结算中介时，才会被纳入。对于每个被接受的平台，都添加了别名和标准化描述，以支持最终分类器中的确定性识别。策划由一位了解该领域的策划者执行。因为这个阶段是由单一研究人员进行的，所以无法计算注释者之间的共识；现在承认这是一个限制。修订后的手稿在表22中报告了被接受和被拒绝的候选词数量，以使这个阶段透明和可审计。表22. 交换平台类别的人工参与策划协议。组件描述候选来源从不清晰子集中使用平滑对数几率比率（$k = 1.0$）挖掘出的高排名n-gram。纳入标准术语必须表示一个可识别的加密货币交换场所、P2P网络或与该领域相关的结算中介。排除标准术语表示通用支付机制（例如，银行）、非交换服务、钱包软件、噪声n-gram片段或模糊的残余文本。被接受的平台数量27被拒绝的候选词数量48注释者数量1（了解该领域的研究人员）共识/二次审查N/A（单注释者限制，没有计算IAA）这次最终策划产生了一个扩展分类的整合文件——machinetag_crypto_p2p.json——其中包含了每个值的别名和完整描述。这个文件构成了最终分类的实现，并作为后续流程中的唯一真实来源，包括最终的确定性分类程序。3.11. 最终分类一旦扩展和文档化的分类得到整合，就在整个语料库上进行了第二次也是最后一次自动分类。为此，执行了确定性分类器final_classification.py，重新使用了第一次分类中应用的大部分结构决策，但现在得到了扩展和丰富的分类版本的支持，以及作为加强的回退机制。这种方法仍然严格基于确定性，只有在直接分配类别的证据不足时才使用基于LLM的审查。行级文本构建继续依赖于page_title和keywords字段，这些字段提供了应用规则的语义上下文。对于具有交易意图的帖子，资产提取再次通过配对操作，而对于其余的意图值，则保留了基于名称、词典和正则表达式的回退。验证器完全依赖于从整合分类中得出的列表，因此任何分配都由最终本体决定，而不是临时启发式方法。在这个分类版本中引入了初始分类器中不存在的新特征。最重要的是在意图谓词中创建了一个新的子类别：forum。在第一阶段，这些案例被合并到其他类别中，但从n-gram分析中获得的实证证据证明了将它们转换为单独类别的合理性。设计了启发式规则来检测典型的问题、答案、解释或wiki类型内容的对话模式，将帖子分类为forum，除非有明确的交易交换证据。在这种情况下，交易占主导地位，保持了与语义优先原则的一致性。对于资产，在非交易情况下加强了名义上的回退，以提高信息上下文的覆盖率。对于支付渠道，LLM直接从整合的分类中接收值列表，确保验证严格与最终词汇保持一致。这第二次分类使得可以衡量分类扩展的实际影响：一个稳定的分类，具有别名和标准化描述，集成到一个可审计的确定性分类器中，并在同一初始语料库上执行了第二次，以获得最终更加一致和语义上更忠实于领域的分类。4. 使用VOSviewer的论坛图形表示第4节使用VOSviewer对语料库进行了补充的共现分析。这个阶段不是用来直接生成或验证分类谓词的；相反，它是在第3节描述的分类构建流程之后，对论坛语义结构的描述性特征。其目的是提供关于最常出现的词汇元素如何组织成主题社区和集群路径的额外语料库级视角。4.1. VOSviewer图表使用VOSviewer构建的可视化基于整合的词汇共现来表征论坛的语义结构。为了确保解释的一致性，应用了严格的输入参数：每个术语至少出现100次才能作为节点被包括在内，使用关联强度进行标准化和完整计数。还使用了词汇控制词典（附录G. Thesaurus_terms_crypto）来统一变体并去除术语噪声。在这些条件下，识别出119个节点和四个主题集群，确保了稳定和语义上可解释的划分。4.2. 整体网络结构网络展示了一个模块化模式，可以解释为四个语义社区，每个社区可能与论坛内的不同讨论功能相关联。第一个集群聚集了与短期投机操作相关的令牌；第二个集群集中了与交换基础设施和进出通道相关的术语；第三个集群汇集了用于操作结算的支付手段和资产；第四个集群汇总了介绍性查询和wiki类型的内容。这种结构不是任意的：它源于写作模式的重复，在论坛语言中再现了市场的操作角色，如图1所示。下载：下载高分辨率图像（499KB）下载：下载全尺寸图像图1. P2P加密货币论坛中关键词的共现网络。下面报告的四个集群标签是由作者根据它们的主导词汇组成和网络位置作为算法生成社区的解释性总结；因此，应该将它们视为分析性描述，而不是独立验证的类别标签。4.3. 主题集群这一发现对暗网研究具有概念性影响，因为它表明当应用于内部组织较少由对话驱动而非操作交易角色的加密P2P环境时，“forum”这一分析单元可能会产生误导。图2提供了这种语义划分的视觉表示。下载：下载高分辨率图像（2MB）下载：下载全尺寸图像图2. 分析中识别出的前三个集群对应的术语共现图。这种划分使得可以区分四个语义上定义的社区，每个社区都与论坛内的特定操作角色相关联。•集群1（红色）——“Altcoin交易和外围DeFi”这个集群聚集了与高周转率投机操作相关的令牌。当单个帖子列出了多种次要资产，例如uni、mkr、snx、crv、zrx、ens，以及memecoins和资深altcoins时，共现出现。主导语义是没有正式分析依据的配对列举，面向非常短期的进入和退出决策。这个社区捕捉了论坛中由信号、池组合和机会主义跳跃主导的讨论部分，这些资产具有中等流动性。其内部密度证实，该板块中的用户行为是围绕代币列表组织的，而不是围绕解释性价值叙述组织的。
• 第2簇（深绿色 – 市场基础设施和门户）
这个簇包含了描述操作转换路径的术语。其语义核心来自那些同时指定了提供的资产、请求的资产以及所使用网络的帖子，例如bnb、usdt、trx、sol、near、ton，以及法定货币如USD、EUR、GBP、JPY。OrangeFren也出现在这里，标志着一种常见的做法：无需KYC或注册即可进行交易。这一组术语模拟了论坛的物流层面。其主要讨论功能在于阐明生态系统之间的传输基础设施，并生成执行交换所需的技术条件，以最小化摩擦。从功能上讲，这个簇充当了其他簇之间的交易桥梁。
• 第3簇（蓝色） – “支付手段和成熟的山寨币”
这个社区代表了具体交易完成的层面。主要的语义是关于“默认接受的资产”：ETH、XRP、ADA、MATIC、AVAX、DOGE，以及高渗透率的稳定币（USDC、DAI、TUSD）。这些术语的共现来自于交易完成模板（“我接受……的支付”），而不是投机性的列举。因此，这个簇表达了有效的货币化功能层面：这些资产具有足够的流动性可以被接受，但与第2簇中的资产相比，它们与基础设施物流的关联较少。总之，这是交易实现的地方，也是账户单位固定的地方。
• 第4簇（浅绿色） – “入门查询和维基类型的内容”
第四个区块集中了与初步学习相关的术语，其特征是请求定义或链接到参考页面的帖子（比特币、什么是比特币、维基、维基加密货币、Tether、Tor维基）。这主要是陈述性和教育性的讨论内容，在空间和统计上与交易词汇分开。系统性地缺乏交易对和数值表明，这个簇作为一个认知入口点，用户在继续参与交易之前会先了解这些内容。如图3所示，对应于第四簇的术语共现图突出了其以学习为导向的结构及其与交易社区的分离。它构成了论坛的语义边界：从这里开始，用户如果继续使用论坛，将会进入第1-3簇。

4.4. 语义连接和路径
对节点之间轨迹的分析表明，网络结构并不是四个孤立社区的静态集合，而是一个有机系统，在这个系统中，某些术语作为不同讨论功能之间语义传递的载体。两个节点——trade（第1簇）和OrangeFren（第2簇）——充当了跨簇的枢纽，因为它们系统地出现在连接概念上不同区块的序列中。
• 从第1簇——“山寨币交易和边缘DeFi”
这些路径起源于列出短期交易对和信号的投机空间，并最终指向更稳定或更具流动性的资产。频繁的转换如trade → USDT、trade → ETH或trade → LTC说明了从战术性列举向用于巩固利润的工具的转变。这表明投机空间并不是终点；它是价值在其他社区中实现的起点。如图4所示，在C1中选择trade会激活连接到多个交易路径的链条。观察到以稳定币（USDT、USDC、DAI）结束的路径，以及向BTC、ETH和XMR的转换，还有通过BNB、TRX、SOL、FTM和LTC的操作跳跃。Trade作为枢纽，连接第1簇和第2簇及第3簇。
• 从第2簇——“市场基础设施和门户”
这些路径揭示了物流运作和低摩擦的网络穿越。例如OrangeFren → USDT、OrangeFren → SOL和OrangeFren → TON的序列清楚地表明，这里的逻辑不是“使用哪种资产”，而是“通过哪种路径进行转移”。如图5所示，在C2中选择OrangeFren会激活连接到多个转移路径的链条。这个簇作为一个转移机制：它接收价值，对其进行路由并交付。它的功能是将投机性讨论转化为实际的资金流动，或通过非KYC门户实现结算。
• 向第3簇——“支付手段和成熟的山寨币”
这些路径显示，大部分跨簇路径最终指向作为结算单位的资产（DAI、USDC、TUSD、ETH）。例如trade → DAI → USDC或OrangeFren → DAI → TUSD的轨迹表明，投机或物流操作稳定为广泛接受的支付手段。如图6所示，在C3中选择DAI会激活连接到稳定或流动性资产的链条。这个社区作为一个交易解决机制，其中操作不再仅仅是投机假设，而是变成了实际支付。
• 向第4簇——“入门查询和维基类型的内容”
与这个簇的连接较少，但确实存在。当观察到如trade → bitcoin或btc → monero这样的序列时，所可视化的是抽象层次的转变：从交易讨论转向概念性参考或信息需求。图7展示了trade → bitcoin的路径，而图8显示了从btc到以bitcoin为目标的信息子图的补充路径。这些路径表明，特别是BTC，作为一个语义阈值：既作为新手的Technical参考，也作为价值稳定路径中的最终资产。

4.5. VOSviewer结果
簇划分和节点连接性是VOSviewer程序在指定参数下的算法输出，而下面报告的主题标签和功能解释是由作者根据这些输出提出的。
共现分析使用VOSviewer进行，每个术语的最低出现次数为100次，采用完全计数并按关联强度进行标准化，并通过特定的词典（附录F）来统一词汇变体和同义词。最终模型包括119个通过共现关系连接的术语，这些术语分为四个主要簇。主要发现可以总结如下：
1. 模块化网络结构：
- 网络不是分散的，而是模块化的：出现了四个社区，它们对应于论坛的不同操作功能，而不是通用的“主题”。
2. 四个功能簇：
- 第1簇（红色）——山寨币交易和边缘DeFi：高度投机的帖子，列出多种山寨币和memecoins（uni、mkr、snx、crv、zrx、ens等），倾向于快速转换，没有正式的分析依据。
- 第2簇（深绿色）——市场基础设施和门户：与转换路径（bnb、usdt、trx、sol、near、ton、USD、EUR、GBP、JPY）以及OrangeFren等平台相关的术语，反映了无需KYC的交易和连接生态系统的物流层面。
- 第3簇（蓝色）——支付手段和成熟的山寨币：作为有效结算单位的资产（ETH、XRP、ADA、MATIC、AVAX、DOGE和稳定币USDC、DAI、TUSD），与交易完成相关，而不仅仅是投机。
- 第4簇（浅绿色）——入门查询和维基类型的内容：初步学习和参考术语（比特币、维基、维基加密货币、Tether、Tor维基），没有交易对或数值，作为进入论坛的认知“入口”。
3. 簇之间的枢纽和语义路径：
- 网络不是由四个孤立的部分组成的，而是一个有机系统，在这个系统中，某些节点充当跨簇的枢纽。
- Trade（第1簇）将投机空间与完成和稳定区域连接起来（路径trade → USDT/ETH/LTC，以USDT、USDC、DAI、BTC、XMR等完成），证明了从投机信号到价值巩固的转变。
- OrangeFren（第2簇）作为一个物流枢纽：OrangeFren → USDT/SOL/TON的路径表明，重点在于“价值通过哪里转移”（非KYC门户），而不是具体的资产。
- 向第4簇的路径（例如trade → bitcoin、btc → monero → bitcoin）表明从交易层面向解释性内容的转变，其中bitcoin作为操作和概念参考之间的语义阈值。

5. 讨论
获得的实证证据允许根据回顾的理论框架来解释结果，将六个研究问题整合为对暗网中P2P加密货币论坛的语义和操作功能的连贯解读。总体而言，分析的语料库证实，这些空间并不复制其他非法领域（如勒索软件）的主题多样性，而是构成了高度标准化的交易基础设施，其主要功能是物流性的，而不是协商性的，这与对于弹性P2P市场的研究结果一致（dos Reis等人，2024年；Nadini等人，2022年）。
表23显示，扩展的分类法显著提高了分析语料库的覆盖范围。特别是，将“other”从意图谓词中完全移除表明，现在所有帖子都可以根据修订后的规则集被分配到一个明确的类别中。这一结果应被解释为覆盖范围的改进和剩余歧义的减少，而不是所有分配标签都正确的直接证据。
表23. 意图谓词的最终覆盖范围
谓词 %
Asset (≥ 1) 99.57
Asset (both) 97.87
payment-rail 76

表24的结果显示，100%的观察结果现在分布在明确的意图类别中，之前被归类为“other”的16.16%已被重新纳入非剩余类别。这表明修订后的分类法解决了该语料库中的剩余类别问题，而新分配的语义正确性需要通过手动验证来单独评估。这一模式证实引入“forum”是一个方法论上合理的决定。实际上，新类别吸收了在早期版本中被分类为“trade”的一部分案例，这表明策划意图谓词产生了更精确的分割和与实证观察到的子类别更一致的表示。
表24. 意图谓词的最终覆盖范围
谓词 %
Trade 17.77 67.59
Forum 5.79 32.45
Buy 45.00 19
Sell 28.00 12
Other 0.00 0

表25的结果显示，被分配给“exchange-platform”的记录比例很高，这证明了这一类别的分类扩展的成功。此外，从现金和银行到其他类别的少量映射表明，与意图谓词的情况类似，这种整合反映了该领域子类别的更精确和公平的分配。
表25. payment-rail谓词的最终覆盖范围
谓词 %
Exchange-platform 17.90 77.54
Cash 42.00 18
Bank 90.04 4
Gift 90.04 4
PayPal 10.00 5.67

关于RQ1，形态学模式表明，帖子主要结构为直接的交易行为——交易、购买、出售——基于代币的简洁格式和最少的语言实现。这种配置与描述为交换节点而非广泛讨论社区的加密货币论坛的“操作空间”概念一致（Hiramoto和Tsuchiya，2024年）。缺乏叙述、论点和理由加强了这样的解释：主导的沟通目标是执行，而不是语义协商。
关于RQ2，基于意图、资产和支付机制定义初始分类法在方法论上是合适的，因为它捕捉了该领域的操作不变量，正如已经在接近交易数据的语义层操作的CTI分类法中所强调的（CIRCL，2025年）。与更多异质的非法领域不同，这里的分类法是从语料库中得出的，不需要先前的概念抽象，这与为现有命名空间未覆盖的领域构建新兴分类法的需求一致（De-Marcos等人，2025年）。
关于RQ3，第一次确定性分类的结果表明，当领域在功能语法上高度均匀和规则化时，基于规则的方法是有效的。文献已经预见到了这一局限性：在主题集中的网络中，确定性模型之所以能够胜过主题建模方法，正是因为缺乏词汇分散性（De-Marcos等人，2025年）。从这个意义上说，意图和资产的高覆盖率证实了这些谓词对应于具有低熵的语义层。关于RQ3，确定性方法在语义规则和同质的语料库中表现出很强的适用性，这体现在意图和资产的高覆盖率上。这表明这些谓词与语料库中的重复词汇结构非常吻合，尽管个别分配的正确性必须通过单独的验证来确定。除了在语义同质语料库中的覆盖优势外，确定性方法还提供了第二个特别适用于网络情报和执法应用的优点：法证可解释性。与概率性或黑盒主题建模流程不同，当前框架中的每个分配都可以追溯到明确的规则、词汇资源和优先条件，这使得分析逻辑在法证环境中更加可审计且易于辩护。关于RQ4，不明确的案例并不代表噪声，而是未建模的功能子类的潜在证据——例如交换平台和论坛——其统计起源与迭代和自适应分类法的概念一致（De-Marcos和Domínguez-Díaz，2025年）。这些类别的出现证实了这些论坛具有结构上的二元性：交易执行（交易）和最小化的信息社会化（论坛），这与交换基础设施和上下文参考工具之间的区别相符（Shah等人，2025年）。关于RQ5，分类扩展后覆盖率的显著提高表明词汇扩展不仅仅是表面的，而是认识论上必要的。关于可复现性的文献警告说，缺乏专门的分类法会限制分类能力并降低可解释性（Kühn等人，2024年；Rajawat等人，2022年）。另一个类别的完全吸收提供了实证验证，证明本体更新增强了语义一致性。关于RQ6，共现和聚类分析显示论坛话语被组织成功能模块——加密货币投机、物流基础设施、支付手段和维基类型内容——这与通过功能层和路由中心运作的耗散型P2P经济的识别一致（dos Reis等人，2024年；Scharnowski，2024年）。像OrangeFren这样的桥梁节点的存在与去中心化市场中没有KYC记录的P2P弹性模型相符。研究的另一个优点是，将这些论坛解释为模块化交易基础设施得到了两种分析上不同的程序的支持。首先，确定性分类显示了以交换为导向的意图和资产对结构在语料库中的压倒性优势。其次，使用VOSviewer进行的词汇聚类独立地恢复了一个围绕投机、基础设施、结算和信息访问的功能社区组织的模块化网络。这两种程序的收敛加强了解释的内部一致性。因此，VOSviewer分析应被视为对语料库结构的补充性探索性可视化，而不是对分类法的独立验证。与支付轨道的模式不同，风险标志的n-gram分析并没有产生强烈或明确的词汇信号用于分类扩展。这一结果应谨慎解读。一种可能的解释是，与风险相关的内容在语料库中并没有系统性地突出显示，至少在使用的标题和简化的关键词表示中不是这样。另一种可能是，风险是通过间接的、上下文相关的或基础设施的方式表达的，而不是通过这种程序可恢复的稳定词汇标记来表达的。目前的证据不允许我们在这两种解释之间做出最终判断，修订后的手稿现在将两者都视为合理的。这种现象与加密货币市场的报告一致：基础设施越操作化、标准化，风险的语言表达就越不显性（Madarie等人，2023年）。此外，在语义分散度低的多语言领域，自动翻译和词汇同质性构成了可预测的方法论限制（Rawat和Rajawat，2024年）。总之，实证发现不仅回答了六个研究问题，而且还与先前的理论框架精确吻合：暗网中的P2P加密货币论坛作为密集的交易基础设施运作，在其中语义本身不是目的，而是操作执行的手段，分类法应该不是作为预定义的框架设计的，而是作为语料库的涌现结果。

5.1. 局限性
结果的解释范围必须在一系列方法论限制下理解，这些限制条件影响了所提出框架的泛化程度。首先，扩展的分类法依赖于语料库。其结构源自特定P2P生态系统的统计和形态学模式。由于它没有在多个论坛中进行校准，也没有在不同的语言和文化领域中进行验证，因此其转移到其他空间的能力可能有限。这种经验依赖性与文献中已经指出的高度同质化的加密货币领域的情况一致：语义基础设施不是普遍的，而是特定于某个社区的（Kühn等人，2024年；Rajawat等人，2022年）。因此，不能假设该流程可以即插即用：需要使用其他语料库进行复制，以区分领域不变量和论坛的独特模式。第一个限制涉及材料可用性和外部技术验证。尽管该框架的方法论逻辑有详细的记录，但由于自定义爬虫、处理脚本和某些中间材料在当前版本中没有公开发布，因此不应将其解释为完全可计算复制的。因此，该贡献更好地理解为方法论透明度、可审计性和规则级别的可追溯性。其次，风险标志的显性密度低对风险分类建模构成了结构上的限制。在分析的语料库中，与操作风险相关的词汇信号几乎是残余的，这阻碍了谓词的扩展。这并不意味着没有风险，而是没有语言化。正如关于加密货币匿名化的文献所记录的， 在优化的操作系统中，风险从话语中转移到了技术基础设施中（Scharnowski，2024年）。这种偏向非语言化的趋势表明，为了捕捉风险，需要纳入额外的来源：交易元数据、系统声誉、钱包可追溯性或网络路径指标。第一阶段结果的一个重要方法论含义是，某个谓词的低覆盖率不应自动被解释为纯粹的词汇问题。在当前的语料库中，支付轨道和风险标志观察到的极端残余率也可能表明，这些维度在论坛帖子的表面结构中没有系统地表达出来，至少不是从标题和简化的关键词表示中可以恢复的。这表明种子谓词的设计本身应该被视为一个基于语料库的实证假设，而不是一个假设在所有领域都同样适用的固定框架。第三，该流程依赖于自动翻译成英语来规范词汇空间。尽管关键词提取阶段受到确定性提示设置的限制，并在部分记录上进行了手动检查，但LLM辅助的输出仍然对模型选择和提示公式敏感；因此，修订后的手稿明确报告了提示设计和模型版本。这一决定在操作上是高效的，但带有概念风险：神经翻译可能会改变细粒度的语义领域，规范方言变体，并将语用异质性简化为功能等价物。在当前的语料库中，这种风险在一定程度上得到了缓解，因为许多帖子都很短，公式化，并且集中在高度标准化的交易标记上，如资产代码、交换动词和支付轨道。然而，在翻译过程中，微妙的语用、方言或社区特定的含义可能会被减弱，未来的工作应该比较翻译版本和原始语言版本的分类性能。在微词汇差异可能编码意图或交易条件的领域，这一步骤可能会引入不可见的偏见，并将语义噪声转移到标记化层面。文献警告说，在多语言法证分析中，语言简化可能会抹去对推理至关重要的特征（Rawat和Rajawat，2024年）。尽管修订后的手稿包括对其他案例的手动检查，但真正模糊性和规则不足之间的界限仍然部分依赖于语料库。尽管修订后的手稿包括了替代平滑常数的敏感性分析，但非常低频n-gram的排名比主导候选词的排名更不稳定；因此，该方法最好被解释为一种引导性的候选词生成工具，而不是一个决定性的推理测试。交换平台丰富阶段涉及专家的手动策划；尽管修订后的手稿现在明确记录了包含协议，但这一步骤是由单个策划者进行的，因此缺乏正式的注释者间一致性，这应在未来的验证工作中解决。尽管修订后的手稿通过记录主要提示、规则家族、词汇资源和验证步骤提高了方法论透明度，但除非所有可执行材料和注释的中间产物都公开发布，否则不应将其理解为完全可复制的。尽管LLM辅助的关键词提取是在固定的确定性设置下进行的，但语义支持层可能仍然对模型选择和每个帖子提取的关键词上限敏感。完整的敏感性分析涉及不同模型家族和关键词限制超出了当前研究的范围，仍然是未来验证的一个重要方向。对数比率程序被设计为在特定于语料库的条件下对候选词汇进行排名的探索性工具，而不是对一般人群水平差异的推理测试。将分类法视为进化产物具有直接的维护含义。随着新资产、交换平台、缩写和俚语的出现，规则库存和词汇资源需要定期更新。实际上，这并不意味着从头开始重建框架，但确实需要针对残余案例进行有针对性的人工审查，对正则表达式规则和别名的版本进行更新，并定期重新校准最容易受到词汇创新的类别，特别是支付轨道和平台相关的谓词。当前研究的一个核心限制是，覆盖率和其他/不明确类别的减少本身并不构成分类准确性的证据。尽管修订后的手稿包含了有针对性的手动验证，但需要进行更大规模的黄金标准注释练习，以更全面地评估精确度、召回率和注释者间的可靠性。最后，尽管共现分析作为一种探索性方法很稳健，但当两个标记由于全局密度而非共享的语义功能而系统共存时，可能会产生假阳性。这在语言标准化程度高的领域尤其可能，其中资产列表表现为枚举语法。因此，集群的识别不应被解释为语义因果关系的保证；需要额外的确认技术（例如，局部依赖建模或时间序列上的轨迹分析）来区分共同决定和单纯的统计聚合。另一个限制涉及伦理和数据保护。即使内容是从公开可访问的洋葱论坛收集的，用户生成的帖子也可能包含钱包地址、联系标识符或引起隐私和法律问题的文化特定上下文线索。因此，语料库不能公开重新分发，一些潜在相关的上下文细节必须在发布的报告中被省略。另一个限制涉及人工参与组件的可扩展性。资产词典、别名库存和交换平台类别的丰富依赖于对残余案例的有针对性手动审查。虽然在当前规模的语料库中这是可行的，但应用于更大或发展更快的数据集可能需要大量的人工劳动，除非引入优先级、抽样或半自动化更新策略。最后，翻译阶段引入了一个超出一般语义漂移的法证限制。即使保留了交易意义，自动翻译也可能抑制本地俚语、信任标记、谨慎表达和文化特定的线索，这些线索可能表明感知到的风险、欺诈嫌疑或声誉定位。这些细微差别在法证解释中可能很重要，特别是当调查人员需要区分常规交换语言和嵌入在社区特定短语中的警告信号时。

5.2. 流程的可扩展性和可转移性
当前的流程是为暗网中语义同质的部分设计的，即P2P加密货币论坛。因此，其当前的分类法在其词汇实例化上应被视为依赖于语料库的，尽管其更高层次的谓词旨在是可移植的。在实际应用中，这意味着将该方法转移到新的论坛或语言环境中时，不需要从头开始重建方法论逻辑，但可能需要重新调整规范值、别名和正则表达式（regex）的覆盖范围，以匹配新语料库的词汇。第二个可扩展性限制涉及辅助人工策划。迭代设计逐步减少了歧义，但在分类扩展过程中，仍有一些类别需要针对性的人工审核。随着语料库规模和领域多样性的增加，此类审核的工作量可能会变得非常庞大，除非通过排名、抽样或主动学习式的分类来优先处理。第三个限制是与正则表达式规则和词汇资源相关的维护负担。加密货币环境发展迅速，新的代币、交易平台、支付渠道和俚语可能在短时间内出现。因此，所提出的框架不应被视为一次性的静态分类器，而应被视为一个可维护的分析系统，其可重复性取决于对规则、别名和辅助词汇表的版本更新。

尽管存在这些限制，该框架在有限但重要的意义上是可扩展的：一旦规则库固定，确定性处理本身就可以在大型语料库上自动执行，而迭代阶段将人工工作集中在那些经验上发现覆盖不足的区域。未来的工作应该评估这种平衡在更大规模的多论坛和多语言语料库中的表现。

6. 结论与未来工作
本研究的主要贡献在于为语义同质领域中的确定性分类制定了一个透明且可审计的迭代流程，并提出了一个针对暗网P2P加密货币论坛词汇特性的扩展分类法。与文献中假设的从其他非法领域导入的分类法不同（这些分类法的适用性已被证明不足），这里开发的方法是从语料库出发，通过统计分析检测本体缺口，并重新纳入那些无法用刚性规则分类的内容。由此产生的分类法不是一个临时性的清单，而是一个基于证据、有文档记录且可验证的实证构建。在这方面，扩展的分类法为那些具有高度语义规律性和低话语噪声的领域提供了重要的方法论贡献。案例分析表明，主要谓词（意图、资产、支付渠道）可以在不依赖复杂概率模型的情况下得到稳定，前提是扩展过程由初始分类器未能处理的案例中的统计信号来指导。这种方法为操作语义狭窄但功能角色编码（交易、交换基础设施、结算）系统化的场景提供了一个结构化且可审计的设计框架。

其他不明确类别的完全吸收提供了实证证据，表明分类法的扩展对分类质量有实质性影响。本体更新后的覆盖范围提升不能仅仅被视为对流程的装饰性调整，而应视为领域表示能力的结构性改进。在具有高度操作单一性的语料库中（如本研究所分析的），覆盖范围不仅仅是一个定量指标，而是概念适当性的标志。四个功能不同的语义簇的识别进一步证明了这些论坛的模块化结构。这些模块不是作为抽象主题出现的，而是作为操作功能（山寨币投机、交换物流、支付手段和维基类型内容）出现的。这种结构表明，P2P加密货币论坛充当执行基础设施，其中语义是根据功能角色而不是话语亲和力来组织的。

从理论角度来看，本研究的主要贡献之一是挑战将这些环境视为话语论坛的标准处理方式。结果表明，它们主要作为交易基础设施运作，其中词汇组织反映了交换执行中的操作角色，而不是对话亲和力。分析价值不在于语言表面，而在于配对、路径和语义向量的统计分布。因此，该领域的分类法应被视为进化产物，而不是固定不变的词典。研究的主要概念贡献之一是表明，这些环境更好地被理解为交易基础设施，而不是话语社区。分类器和网络聚类揭示的词汇组织表明，后结构主要由执行角色、交换渠道和结算功能驱动，而不是由扩展的互动或讨论驱动。

从实际角度来看，只要领域高度结构化，确定性方法仍然是可行的——甚至是更可取的。开发的流程为CTI提供了一个可审计的框架，对于需要方法论可追溯性和可解释性的机构非常有用，减少了对外部模型的依赖，并降低了每次迭代的分类成本。基于这些结果，可以确定几个未来的研究方向。首先，整合专门针对加密货币词汇的大型语言模型（LLM）可以改进在更模糊的词汇边界上的语义识别。其次，将文本分析与链上可追溯性相结合，可以关联话语序列与区块链上的可观察行为，包括钱包取证和转换路径。第三，开发由外部信号（不仅仅是语言信号）支持的风险标记检测机制，可以克服由于缺乏明确风险表达而产生的实证限制。最后，将研究扩展到多个论坛和多语言环境，可以使研究人员确定结果分类法中的哪些部分是领域不变量，哪些部分取决于所分析的生态系统。

然而，其在更大规模上的实际部署取决于词汇资源的系统化版本控制、规则更新的明确文档记录，以及在新出现的残余类别中优先进行人工审核的受控策略。达到100%的意图覆盖率表明，修订后的分类法消除了分析语料库中该谓词的剩余歧义，而分配的正确性必须通过人工验证单独评估。由于覆盖率是分配范围的确定性度量，而不是正确性的度量，修订后的手稿还包括对抽样分类的针对性人工验证，以更直接地评估语义适当性。对于取证实践而言，该框架的实用性不仅取决于初始性能，还取决于随时间更新规则、别名和残余类别审核协议的可持续维护程序。

一个实际的应用案例是在洗钱调查中早期识别交换中心或门户基础设施。应用于大量论坛帖子时，所提出的流程可以快速隔离资产、支付渠道和交易平台提及的重复组合，使调查人员能够区分直接以现金结算为导向的帖子和通过特定平台或中介服务路由的帖子。这样，分类法本身并不直接识别犯罪责任，但它可以帮助优先处理操作节点、重复的结算渠道和以平台为中心的集群，以便进一步进行取证检查。扩展的分类法提高了分类覆盖范围，并减少了分析语料库中的剩余歧义，尤其是在意图谓词方面。然而，这些改进应被视为分配范围的提升，而不是分类准确性的证明，后者必须通过人工验证单独评估。

在方法论上，该方法的主要优势之一是其取证可解释性：确定性层使得每个分配都可以追溯到明确的规则，而不是潜在的概率结构。从实质上讲，确定性分类和VOSviewer聚类都指向语料库的相同模块化、交易性解读，这增强了将这些论坛解释为操作基础设施而非通用话语社区的信心。

CRediT作者贡献声明：
Jose-Amelio Medina-Merodio：撰写——审阅与编辑、撰写——原始草稿、可视化、验证、监督、资源管理、项目管理、方法论、调查、资金获取、形式分析、概念化。
Mikel Ferrer-Oliva：撰写——审阅与编辑、撰写——原始草稿、可视化、验证、资源管理、方法论、调查、概念化。
Alejandro Ruiz-Zambrano：撰写——审阅与编辑、撰写——原始草稿、可视化、验证、软件开发、方法论、调查、数据策划、概念化。
José Fernández-López：撰写——审阅与编辑、撰写——原始草稿、可视化、验证、软件开发、方法论、调查、数据策划、概念化。
Adrián Domínguez-Díaz：撰写——审阅与编辑、撰写——原始草稿、可视化、验证、软件开发、方法论、调查、概念化。

数据可用性声明
出于伦理、法律和安全原因，原始语料库未公开发布。由于原始语料库包含来自非法平台环境的存档材料，因此不能公开。为了降低伦理、法律和安全风险，手稿仅报告汇总结果。经合理请求，可以选择部分衍生材料用于学术目的，但需逐案评估。

资金支持
本项工作是在“恢复、转型和韧性计划”（项目C084/23 Ada Byron INCIBE-UAH）框架下进行的，该项目由欧盟（下一代计划）资助。