TRACE：基于有限标签的大规模以太坊网络钓鱼检测中的交易表示学习方法

《Decision Support Systems》：TRACE: Transaction representation learning for large-scale Ethereum phishing detection under limited labels

　　

摘要

以太坊网络上的钓鱼行为检测属于一种决策支持问题：在标签极为稀缺且审核能力有限的情况下，区块链风险分析人员需要确定哪些地址值得优先核查。我们提出了TRACE这一两阶段决策支持工具，它通过Etherscan的交易记录构建复杂的以太坊地址图，利用图对比学习预训练边缘感知编码器，再通过基于验证的阈值校准和解释性分析来优化模型，从而实现可审核的钓鱼行为筛选。该工具并非基于新的学习机制，而是针对高密度、长尾特征的交易图设计了特定配置，这些配置在处理复杂数据时效果显著，且其优势会随着图表规模的增大而提升。在包含3万到149,930个地址的五个不同图表上，经过六种不同的标签比例、八种基准方法以及五种随机种子测试后，TRACE取得了最佳的总体性能指标（F1值为0.5094，AUC值为0.9365）。通过组件消融实验、配对显著性检验、精确度-召回率分析以及低于1%钓鱼率条件下的敏感性测试，证实了每个设计元素都对性能有贡献，且在现实中的类别不平衡情况下仍能保持优势。随着图表规模的增长，性能也会提升，在完整标签条件下，D150k图表上的F1值可达0.6720，AUC值可达0.9730；而较小的预训练图表应用于更大规模的目标图表时，F1值也能达到0.5670。该工具的逻辑还可应用于其他存在标签稀缺、交互复杂的风险筛查场景。

引言

以太坊网络上的钓鱼行为是一种具有结构关联性的问题。攻击者通常在链下寻找受害者，但通过多次引入受害者、中转交易以及协同提款等操作，他们的活动痕迹会体现在链上，而公共区块链则会完整保存这些交互记录。此前的区块链安全研究已表明，相比单独的转账记录，通过行为模式更能有效识别非法活动[1]、[2]、[3]、[4]、[5]。不过实际操作中面临诸多挑战：钓鱼地址极为罕见，标签信息不完整，且恶意行为往往隐藏在由正常与非法活动交织而成的复杂网络中。

在实际工作中，做出决策的不是模型开发者，而是区块链风险分析人员，他们需要在标签稀缺、审核能力有限且成本不对称的情况下，决定首先检查、进一步处理还是封锁哪些地址。从决策支持系统角度来看，钓鱼行为筛选不仅需要较高的预测准确率，还需考虑排序质量、经过校准的操作参数，以及确保人类审核人员能够有效审查相关内容[6]、[7]。这类决策问题并不仅限于区块链领域：在反洗钱、支付欺诈、保险索赔滥用以及平台滥用检测中，也普遍存在大量未标记的交互数据、稀少的确认标签、罕见的阳性案例以及有限的审核能力。因此，我们将以太坊网络上的钓鱼行为视为这一更广泛问题类别的典型实例，并将在第7节探讨该方法的通用性。

由于相关证据分散在多个地址之间，图神经网络成为一种自然的建模选择，它可以通过聚合相邻节点的信息来分析整体情况，而非单独处理每个账户[8]、[9]、[10]。自我监督式图学习则能在后续监督之前生成可迁移的节点表示[11]、[12]、[13]。然而，目前这些技术尚未在以太坊钓鱼行为检测领域得到充分融合：大多数区块链风险模型仍然依赖传统监督学习，而常用的图SSL基准数据多为引用关系图、社交关系图或分子结构图，其结构与由密集交易生成的地址网络有很大差异，后者不仅标签稀缺，还需要易于理解的解析结果[14]。

目前最接近的决策支持研究是DeepPhishDetect，它将区块链钓鱼行为检测视为一种基于标签依赖建模的治理工具[15]。而TRACE则着眼于另一个互补问题：在图表规模庞大、确认标签稀缺的情况下，如何依靠可复用的表示方法、经过校准的阈值以及可解释的证据来实现有效的钓鱼行为筛选，而无需仅依赖依赖建模。

我们提出了TRACE这一两阶段处理流程，它首先从密集的交易衍生图中学习可扩展的地址表示，然后在监督数据不足的情况下将其用于钓鱼行为分类。通过在五种不同规模图表、六种标签比例、八种基准方法以及五种随机种子条件下的测试，本研究旨在回答三个问题：对比学习预训练是否有助于提升整体检测效果，其优势是否会随图表规模增大而增强，以及哪些地址行为对决策过程影响最大。

本文在决策支持领域做出了四项贡献，需要明确的是，其创新点在于配置设计而非算法创新：TRACE所使用的所有基础技术都已存在，但将其组合应用于高密度、长尾特征且标签稀缺的以太坊图表时，其效果并不明显，且通过组件消融实验也证实了每个组成部分都对性能有重要影响。该工具本身是一个两阶段处理流程，包括构建密集图结构、进行对比学习预训练、在监督数据下进行调整、校准阈值以及为审核人员提供解释说明。在理论层面，该研究证明了高效的标签优化型表示学习能够随着图表规模的增长提升决策支持效果，从而将决策支持系统的研究重点从依赖关系的检测拓展到了标签稀缺环境下的表示学习领域。在基准数据方面，我们提供了五组可复制的、由Etherscan数据生成的密集型以太坊图表，这些图表的节点数量在3万到15万之间，还包含了不同比例的阳性案例，如有需求可提供相关数据。在实用价值方面，该研究提出了一种治理工作流程，即先利用未标记的交易数据，再结合稀有的确认案例，根据审核资源情况调整阈值，并借助解释结果来指导后续的处理决策。

章节摘录

相关工作

区块链安全研究为这项研究奠定了基础：通过分析网络行为比单独查看转账记录更能理解公共区块链上的非法活动。陈等人以及托雷斯等人曾在以太坊上的庞氏骗局和蜜罐系统中证明了这一点[1]、[2]，阿克科拉等人在比特币勒索软件场景中也得出了类似结论[3]。后续的以太坊相关研究则采用了更为复杂的图结构，比如用于识别庞氏骗局的合约运行行为图。

以太坊背景与术语说明

对于刚接触区块链领域的读者来说，了解一些常见术语有助于理解相关内容。地址是指匿名的账户标识，而交易则是地址之间的价值转移或合约调用行为。Gas代表交易所需的计算工作量，gas价格则是发送方为完成该交易需支付的单位费用；因此，Gas使用量和gas价格分别可以反映一个账户活动的复杂程度和成本高低。

提出的方法：TRACE

图2展示了TRACE的实际处理流程。该方法分为两个明确的阶段。第一阶段利用时间掩码和特征掩码生成的两种相关视图，对完整的密集地址图进行自我监督式的对比学习预训练。第二阶段则将预训练好的编码器应用于有监督的钓鱼行为评分任务，在带有标签的训练数据上对其进行微调，最后在验证集上确定适合不平衡数据筛选的决策阈值。

从决策支持系统的角度来看，TRACE

对比模型

我们将TRACE与八种不同的基准方法进行了比较，这些方法涵盖了非图学习、有监督图学习以及自我监督式图表示学习等多种类型。此次基准测试的设计范围较广，其目的不仅是与某一种强大的图神经网络方法进行比较，还要将该方法与那些可能在标签稀缺的以太坊钓鱼行为检测场景中使用的常见有监督学习和预训练方法进行对比。

训练方案与评估体系

所有参与比较的方法都遵循统一的训练方案：所有的图处理方法都使用相同的五

不同数据集及标签比例下的整体性能

表3汇总了所有30种不同数据集与标签比例组合的测试结果，以单一表格的形式展示了平均F1值和平均AUC值。从决策支持系统的角度来看，该表格不仅反映了各种算法的性能排名，还体现了在标签稀缺条件下的筛选效果。关键问题在于，当只有少量地址被标记时，面向审核人员的工具是否仍能保持有效的优先级划分能力。从完整矩阵可以看出，不同图表规模下的性能表现存在明显差异：在D30k规模下，各方法的性能表现最为分散：

讨论

TRACE通过将大规模以太坊钓鱼行为检测重新定义为一种在标签稀缺条件下的分析师辅助问题，为决策支持系统做出了贡献。在现有关于区块链钓鱼行为检测的决策支持研究基础上[15]，TRACE强调了另一个重要问题：当交易图规模庞大且确认标签有限时，要实现更好的决策支持，就需要在拥有充足监督数据之前先学习出有用的表示方法，然后再为人类审核人员提供经过校准、便于理解的分析结果。

结论

本研究提出了TRACE这一决策支持工具，用于在由密集交易生成的地址图上实现大规模以太坊钓鱼行为筛选。在五种不同规模图表、六种标签比例、八种基准方法以及五种随机种子条件下的测试中，TRACE均展现了最出色的整体筛选性能，尤其在规模最大的图表上，其优势最为明显，因为这类图表中可复用的结构化信息最为丰富。

从决策支持系统的角度来看，这一研究的核心启示是，区块链钓鱼行为检测不应仅仅

CRediT作者贡献说明

姜浩俊：概念设计、数据整理、形式化分析、方法设计、软件开发、结果验证、可视化处理、初稿撰写。李 Sang-Gun：文稿修改与润色、结果验证、研究监督、概念设计。

利益冲突声明

作者声明，他们不存在任何可能影响本研究结果的已知财务利益冲突或个人关系。

姜浩俊是韩国东国女子大学商学院的助理教授，他于2023年获得首尔淑江大学的工商管理博士学位。他的研究兴趣包括区块链分析、加密货币风险检测、管理信息系统以及数据科学等领域。

Hojun Kang|Sang-Gun Lee

韩国首尔麻浦区白凡路35号，首尔淑江大学保卢斯大厅601室，淑江大学商学院，邮编04107