区块链特征提取与行为画像用于非法交易分析

《Forensic Science International: Digital Investigation》：Blockchain feature extraction and behavioral profiling for illicit transaction analysis

　　

摘要

加密货币已成为暗网生态系统中金融交易的主要媒介，通过伪匿名和去中心化的支付机制为非法活动提供了便利。理解和监控此类活动需要对区块链交易数据进行系统性分析。区块链画像提供了一种系统化的方法，用于刻画用户行为、识别可疑模式以及追踪对抗环境中的非法资金流。本文探讨了暗网背景下基于区块链的用户画像的目标与挑战，重点强调了伪匿名性、混淆技术、数据稀疏性和对抗性适应的影响。我们进一步提出了一套结构化的区块链特征分类体系，旨在支持对非法活动的全面画像，涵盖交易、时间、结构、行为和混淆相关维度。为验证所提出分类体系的相关性，我们使用Elliptic比特币数据集（包含203,769笔交易和234,355条资金流边）进行了实证分析，提取了具有代表性的画像特征，并使用统计显著性检验比较了非法交易与合法交易的行为特征。我们的结果表明，非法交易与合法交易模式之间存在一致且具有统计支持的行为差异，同时识别出了一些区分能力有限的特征。这些发现揭示了关键局限性，并为开发针对暗网生态系统的更稳健的多特征区块链画像框架提供了见解。

引言

区块链技术通过引入去中心化的数字资产——加密货币，彻底改变了金融行业，推动去中心化金融（DeFi）成为现代数字经济中最具变革性的发展之一（Shojaeinasab, 2024）。DeFi应用现已主导数字市场的主要细分领域，通过提供开放的、可编程的、无需许可的基础设施来支持借贷、交易、资产发行和自动化结算。这些系统构建在透明且防篡改的区块链账本之上，消除了对中心化中介的依赖，使用户能够进行无摩擦的对等金融交互。加密货币作为这些平台的经济支柱，支持跨广泛的去中心化应用程序生态系统的价值转移、抵押、流动性提供和智能合约执行（Dearden and Tucker, 2023; Firoozjaei et al., 2019）。由于这些独特属性，加密货币也成为暗网非法市场运营的必要工具，在这些市场中，匿名性、去中心化和抗审查能力使大规模地下经济成为可能。

暗网卖家经常利用各种技术来隐藏其身份、掩盖非法活动并模糊购买、配送和操作钱包之间的联系。为避免被检测，这些行为者依赖多种混淆策略，包括为每笔交易生成一次性地址（Xiang et al., 2023）、选择性地址复用、交易合并与拆分（Jeyakumar et al., 2023）、快速循环使用分层确定性钱包（Fan et al., 2019）、将支付分散到多个跳点（Xiang et al., 2023），或选择支付时机以模仿合法金融行为（Hemdani, 2025）。为进一步破坏可追溯性，混币服务（如CoinJoin交易、剥离链、混币器和跨链桥）被频繁使用，以打破交易输入与输出之间的确定性关联（Pillai et al., 2025; Maurer et al., 2017; Deuber and Schr?der, 2021）。因此，加密货币——尤其是比特币、门罗币和其他增强隐私的代币——不仅作为暗网市场的主要交换媒介，还充当洗钱机制，用于匿名化来自非法商品和服务的收益，包括毒品、伪造文件、恶意软件工具包、被盗数据和勒索软件运营（Hazar, 2020; Firoozjaei et al., 2024; Konstantinidis, 2019）。

加密货币交易行为在表面网和暗网环境中存在显著差异，这直接影响了分析方法。在表面网环境中，交易通常与受监管的服务相关联，如交易所、支付处理商和商业平台，这些活动相对结构化、高交易量，并由常规经济功能驱动。相比之下，暗网交易受对抗性目标的影响，包括匿名性保护、混淆和风险最小化（Villalva, 2022）。因此，非法行为者经常采用交易碎片化、时间分散、快速资金循环以及使用中介或混币服务来模糊资金流等策略（Pillai et al., 2025; Maurer et al., 2017）。这些行为导致交易模式不稳定、更不规律，且有意设计以逃避传统金融分析技术。因此，标准的基于流量或基于体量的分析方法在暗网环境中往往不够有效，需要采用行为驱动的画像方法来捕捉交易活动中的时间、结构和统计异常。这些特征直接促使我们在本工作中提出了交易、行为、结构和混淆相关的特征类别。

监控非法活动需要对恶意实体在加密货币生态系统中的行为、交互和交易方式进行深入了解。这种理解通过识别和提取有意义的指标来实现，这些指标揭示了区块链数据中嵌入的非法行为模式。尽管有刻意的混淆努力，非法运营者往往在其交易历史中留下持久且可区分的痕迹，这些痕迹可用于识别高风险行为者并揭露非法运营。分析交易频率、时间模式、资金流结构（如聚合和分散）、地址聚类签名和重复图模式等特征可以揭示与洗钱策略、卖家-客户关系和协调犯罪行为相关的可疑行为（Hemdani, 2025; Huang et al., 2018; Ferretti et al., 2025）。通过这些特征对用户进行分类，使得区分合法参与者与暗网卖家、混淆服务（如混币器）、中介以及从事非法贸易的买家成为可能。区块链画像整合了交易、时间、关系和语义特征，以构建用户行为的全面表示，从而实现可疑活动的早期检测、卖家聚类的归属以及对复杂洗钱链中非法资金流的追踪（Elagin et al., 2020）。交易聚类、地址复用分析和基于图的启发式方法等技术进一步通过关联地址、集群和活动时支持去匿名化，从而暴露跨多个钱包的协调行为，并突出显示指示犯罪运营的异常金融模式（Weber et al., 2019; Zhou et al., 2022）。然而，由于复杂的匿名化技术，包括隐私保护协议、隐身钱包、跨链交换以及使用门罗币等隐私导向加密货币，暗网用户画像仍然具有挑战性，这可能导致碎片化的集群、不完整的归属和误报（Firoozjaei et al., 2020a）。这些挑战凸显了需要一个统一且系统的框架来识别、分类和解释信息量最大的区块链特征，以在对抗环境中对非法活动进行稳健的画像（Kim et al., 2025）。

本文对暗网交易分析的区块链用户画像进行了全面综述，特别关注基于图的方法和特征提取。我们提出了一套结构化的区块链画像特征分类体系，该分类体系源于暗网加密货币生态系统行为特征的观察。该分类体系受暗网生态系统中常见行为特征的启发，包括交易混淆、资金再分配、时间不规则性和对抗性适应。所提出的分类体系将特征组织在多个分析维度中，包括交易级属性、行为签名、结构流模式和混淆指示器。本研究强调以特征为中心且基于实证的视角，其中画像指标不仅被分类，还使用真实区块链数据进行正式定义和验证。我们的目标不仅在于关注模型性能，更在于澄清哪些特征捕获了有意义的行为信号以及它们对于非法区块链用户画像的重要性。为验证所提出分类体系的相关性和实际应用性，我们使用Elliptic比特币数据集（Elliptic, 2025）进行了实证行为分析。使用该数据集，我们提取了所提分类体系中的代表性特征，并比较了非法交易与合法交易的行为特征。虽然我们的分析受暗网交易行为的启发，但实证评估在通用非法交易数据集上进行，从而能够更广泛地验证所提出的画像特征。这使我们能够评估识别出的行为模式是否适用于不同形式的非法活动，包括与暗网生态系统相关的活动。

我们引入并应用量化指标来捕捉集中行为、资金分配模式、突发活动和费用相关信号，表明非法交易表现出独特且系统化的行为签名。需要指出的是，Elliptic数据集将交易表示为匿名节点，带有预提取的特征，并不公开原始区块链地址或钱包级信息。因此，基于地址的画像技术，如地址复用分析或所有权推断，无法直接应用。我们的分析因此专注于交易级和基于流的行为画像，提供关于非法活动如何通过交易结构和动态而非显式地址关联来表现的见解。我们的主要贡献如下：

• 我们系统地组织了刻画非法行为所需的区块链核心特征类别，并提出了一套结构化的特征分类体系，该分类体系捕捉了在对抗条件下对暗网活动进行画像所必需的行为维度。

• 我们使用Elliptic比特币数据集实证验证了所提出的分类体系，通过提取代表性特征并展示非法交易与合法交易之间一致的行为差异，同时指出稳健区块链画像的实际局限性和开放挑战。

本文其余部分组织如下。第2节回顾相关工作。第3节介绍了一套结构化的特征分类体系，该分类体系捕捉了对暗网活动进行画像所需的行为维度。第4节使用Elliptic比特币数据集对所提出的特征进行实证验证。第5节讨论其对暗网用户画像的含义、局限性和有效性。最后，第6节总结了本文并概述了未来研究方向。

章节片段

区块链交易分析和追踪方法

区块链网络上的非法活动已通过交易分析和追踪技术得到了广泛研究。早期研究侧重于通过分析交易流和识别结构模式来理解区块链系统的透明度和可追溯性。Casino等人（2019）提供了区块链分析技术的基础性分类，而Bartoletti和Pompianu（2017）引入了基于启发式的聚类方法来推断钱包所有权。类似地，Kuzuno和...

区块链画像的特征分类体系

对从事暗网加密货币交易的用户进行画像需要从区块链数据中识别信息性特征的结构化方法。特征提取构成了取证技术的分析骨干，使得识别、分类和解释用户行为成为可能。通过分析交易级特征、地址和集群行为、时间模式和混淆指标，可以检测异常并追踪非法资金...

使用Elliptic比特币数据集的特征提取和行为分析

为验证所提出特征分类体系的相关性，我们检查了Elliptic比特币数据集（Elliptic, 2025），这是一个公开可用的比特币交易数据集（可在 https://www.kaggle.com/datasets/ellipticco/elliptic-data-set 获取）。Elliptic数据集涵盖了广泛的非法加密货币活动，包括诈骗、勒索软件、庞氏骗局和其他经济动机的网络犯罪，这些活动并不局限于暗网环境。因此，该数据集...

讨论：行为洞察与画像含义

对Elliptic比特币数据集的实证分析表明，当通过多维画像方法检查时，非法和合法区块链活动表现出系统性的不同行为模式。有意义的区别并非来自单独的交易属性，而是来自交易规律性、时间动态、资金流行为和混淆感知指标的组合分析。这些发现证实了区块链画像...

结论

在本文中，我们研究了基于区块链的用户画像的概念基础、技术方法和关键挑战，重点关注暗网交易分析。我们提出了一套结构化的区块链特征分类体系，旨在捕捉区分非法活动与合法使用的行为、交易、时间和结构特征。通过将画像特征组织在交易级属性、行为签名、流模式和...

CRediT作者贡献声明

Mahdi Daghmehchi Firoozjaei：撰写——审阅与编辑，撰写——初稿，可视化，验证，软件，资源，方法论，调查，形式分析，数据整理，概念化。

MinChang Kim：撰写——审阅与编辑，撰写——初稿，可视化，资源，资金获取，数据整理，概念化。

Hyoungshick Kim：监督，数据整理。

Arash Habibi Lashkari：验证，调查，形式分析。

Ali A. Ghorbani：

利益冲突声明

作者声明不存在已知的可能影响本文所报告工作的竞争性财务利益或个人关系。

致谢

本工作部分由加拿大MacEwan大学通过其职业发展资助计划支持，并部分由韩国电子与通信研究院（ETRI）通过与MacEwan大学的联合研究项目支持。

Mahdi Daghmehchi Firoozjaei 是加拿大MacEwan大学计算机科学系的助理教授。他获得通信工程学士学位、密码学硕士学位和计算机工程博士学位，均来自韩国成均馆大学。他拥有十年的通信系统行业经验。他领导了运营技术取证和DNS防火墙领域的研发项目。他的研究兴趣包括恶意软件分析、数字取证...

Mahdi Daghmehchi Firoozjaei | MinChang Kim | Hyoungshick Kim | Arash Habibi Lashkari | Ali A.

Ghorbani，麦克威恩大学计算机科学学院，加拿大阿尔伯塔省埃德蒙顿市西北第104街10700号，邮编 T5J 4S2。