比特币跨机构反洗钱的图蒸馏：效用-隐私-通信评估

《Expert Systems with Applications》：Graph Distillation for Cross-Institutional Anti-Money Laundering on Bitcoin: A Utility–Privacy–Communication Evaluation

　　

摘要
区块链上的反洗钱本质上具有跨机构特性：洗钱链条通过多个虚拟资产服务提供商（VASP）转移资金，而任何单个 VASP 只能看到模式的一个片段。交易级别的反洗钱义务需要一定的信息交换，但法律、保密和运营约束限制了跨机构的客户交易图直接池化。联邦学习（FL）是一种自然的应对方案，但通过截断和扰动共享更新来加固以防止梯度泄漏，会急剧降低反洗钱中严重类别不平衡下的稀有类效用：在我们的截断与噪声压力测试中，经过 50 轮后，PR-AUC 始终低于 0.28——比未扰动的 FedAvg 低 50% 以上。我们研究了图蒸馏：每个 VASP 将其本地交易图压缩成紧凑的合成表示并广播一次；随后通过简短的联邦微调阶段来适应共享模型。使用 Elliptic 交易图的三个时间块作为代理机构，我们在原始 Elliptic 和 Elliptic++ 特征表示下评估了 FIAD。在 r=0.05 时，FIAD 的 PR-AUC 与 FedAvg 的差距在 2-4% 以内，并将欺诈类 F1 提高了 3-8%，同时将总通信量减少了约 8.5 倍（相对于 50 轮联邦学习）。实证隐私评估未发现近似重复的合成记录，且在受控组合攻击下，成员可区分性与联邦学习基线相差 0.007 以内；在匹配的真实数据暴露下，FIAD 在受审端点中获得了最高的欺诈类 F1。尽管如此，属性推断攻击表明，这种效用伴随着保留的分布结构，而不是字面上的记录复制。我们还确定了一个在类别不平衡下梯度匹配蒸馏中先前未报告的配置陷阱，并提供了一种最小修复方案。

引言
全球规模的洗钱本质上是一种跨机构现象。典型的区块链洗钱方案通过多个虚拟资产服务提供商（VASP）——中心化交易所、去中心化协议、混币服务、托管钱包——转移资金，而每个 VASP 只能观察到完整资金流的一个片段。行业分析（Chainalysis, Chainalysis）将每年数千亿美元的加密货币交易金额归因于通过洗钱链条进行的非法活动，这些链条通常跨越几个中介服务才能提现。没有任何单个 VASP 的交易子图足以区分洗钱和合法的高交易量交易；区分模式仅存在于跨机构图中。

跨机构反洗钱合作的监管框架在过去十年中已大幅成熟。FATF 旅行规则（金融行动特别工作组 (FATF), 2019）要求 VASP 在虚拟资产转移的同时传输相关的发起人和受益人信息。在欧洲联盟，指令 (EU) 2018/1673，通常称为 6AMLD，建立了洗钱犯罪和制裁的最低规则（欧洲议会与理事会，2018）。美国《银行保密法》(BSA) 强制要求提交可疑活动报告 (SAR)，并允许在 314(b) 条款下进行有限信息共享（金融犯罪执法网络 (FinCEN), 2020）。这些交易级别的报告和信息交换义务本身并不授权对客户交易图进行无限制的池化用于模型训练。更广泛的共享仍受适用的数据保护、保密、目的限制和跨境传输要求的约束，从而在交易级别的合规交换与模型级别的协作学习之间留下了缺口。

联邦学习（FL）是标准的应对方案：机构通过交换梯度更新而不是原始交易记录来联合训练检测模型。有两个障碍阻碍了 FL 在反洗钱领域的采用。首先，FL 假设的多轮同步通信很难在处于不同 IT 治理制度和司法管辖区的 VASP 之间维持——这是减缓现实世界部署的运营负担。其次，交换的模型更新可能会向梯度反转攻击暴露训练信息（Geiping, Bauermeister, Dr?ge, Moeller, 2020, Zhu, Liu, Han, 2019）。差分隐私（DP）仅当指定并核算了隐私单位、截断机制、采样过程、扰动以及发布间的组合时，才提供正式的应对方案（Abadi 等人，2016）。我们的实现提供了一种更窄的机制性压力测试：在 Elliptic 上，全批梯度截断后跟系数为 λnoise=0.5 的高斯扰动，使 PR-AUC 从 0.547（FedAvg）下降到 0.245——在评估的配置下降低了 55%。该实验隔离了截断和扰动带来的稀有类效用成本；第 5.2 节规定了其实施范围。

本文探讨了一个不同的跨机构反洗钱情报共享运行点。而不是逐轮交换梯度，每个 VASP 将其本地交易图蒸馏成一个小合成图——一组紧凑的合成节点和边，当用于训练 GNN 时，产生的检测性能与使用完整本地图训练相当。该合成表示一次性广播给伙伴 VASP，它们使用它来预训练一个共享的 GNN；随后通过简短的联邦微调阶段将预训练模型适应到每个机构的真实数据分布。一次性广播占原始数据量的 1-5%，具体取决于压缩比；包括五轮微调在内，总流量占原始数据量的 30-34%。在 r=0.05 时，34-35% 的总量对应于相对于完全收敛的 50 轮联邦学习所需的 294-295% 的约 8.5 倍减少。该协议不传输字面的客户记录：评估的最近邻测试未发现近似重复的合成节点（最小归一化距离 ρ=0.89），尽管属性推断攻击确认该工件保留了分布信息（第 5.4 节）。

由此产生的框架 FIAD（通过蒸馏实现跨机构反洗钱），结合了现有的图凝缩（GCond，Jin 等人，2022）与跨机构共享与适应协议：在组合合成图上进行单播预训练，随后在每个机构的真实数据上进行简短的联邦微调。我们不声称新的蒸馏算法；贡献在于在受监管约束的反洗钱环境中，将此流水线与联邦学习替代方案进行系统评估，以及相应的实证隐私分析。

在反洗钱部署中，FIAD 充当 VASP 合规团队为可疑活动报告 (SAR) 工作流程操作的专家系统内部的决策支持组件。该框架发出交易级别的风险分数，馈入机构的案件管理平台；人类分析师随后优先安排调查工作，交叉引用客户 KYC 记录，并做出最终的 SAR 提交决定。这一框架产生两个后果。基于历史开发数据选择并在测试评估前冻结的运营阈值下的 F1 欺诈分数具有部署相关性，因为合规系统类似地从既往案件处置数据中校准分诊阈值。通信成本和部署复杂性是一级设计约束而非事后想法，因为反洗钱专家系统跨越多个司法管辖区和 IT 治理边界，迭代跨境模型同步在操作上很困难。

我们的目标是一个务实的比较：当反复交换梯度成本高昂且截断和扰动会急剧降低稀有类效用时，蒸馏是否提供了有利的实证效用 - 通信 - 隐私运行点？比特币反洗钱基准上的实验表明它确实做到了。

次要的技术贡献涉及蒸馏过程本身。当实践者在保留基线外部系数 αc=nc/nmax 的同时添加不平衡感知的内部损失时，内部和外部目标以不一致的方式对少数类进行加权，并可能导致训练不稳定。我们在分析上表征了这一陷阱（备注 1），并确定了一种恢复稳定性的最小配置。

贡献 C1：反洗钱的效用 - 隐私 - 通信系统比较。我们在两种特征表示下，基于真实世界比特币交易图构建了一个跨机构反洗钱基准，比较了四种共享场景在检测性能（AUC, PR-AUC, F1）、通信成本和三种实证隐私分析（第 5 节）方面的表现。
贡献 C2：稀有类对梯度截断和扰动的敏感性。在截断与噪声压力测试中，全批截断后跟 λnoise=0.5 的高斯扰动，使 PR-AUC 相对于未扰动的 FedAvg 降低了 55%（第 5.2 节）。
贡献 C3：作为跨 VASP 反洗钱通信高效运行点的图蒸馏。与完全收敛的 50 轮联邦学习基线相比，FIAD 与 FedAvg 具有竞争力，且在 r=0.05 时，达到了 FedProx PR-AUC 的 90-92%，同时减少了约 8.5 倍的总通信量，并在 F1 欺诈上超过了 FedAvg（第 5.2 节和 5.3 节）。在匹配的真实数据暴露下，FIAD 还在受审端点中获得了最高的欺诈类 F1，而机构与类别平衡的成员可区分性与联邦学习基线相差 0.007 以内（第 5.4.3 节）。
贡献 C4：不平衡感知蒸馏的陷阱与安全配方。我们确定了一个先前未报告的配置冲突，导致 8% 的种子失败率（50 中 4 个），并提供了一种最小一致配置，将观察到的失败率降低到 0/50（第 4 节）。
贡献 C5：属性推断评估。针对共享合成图的四种有针对性的属性推断攻击表征了诚实但好奇的攻击者可以恢复和无法恢复的内容。合成图并没有忠实地复制机构特征统计（归一化 MAE 1.7–2.2 ×），评估的距离测试也未发现近似重复的合成节点。然而，它本质上暴露了类别比例信息；机构身份在一个基准上可部分恢复，但在另一个基准上统计上不可检测（第 5.4.4 节）。

论文结构
第 2 节回顾了基于 GNN 的反洗钱、数据集蒸馏和图凝缩、金融合规的联邦学习、安全计算替代方案以及实证隐私评估的相关工作。第 3 节形式化跨机构反洗钱检测问题和考虑的共享场景。第 4 节提出 FIAD 框架，分析当不平衡感知内部损失遇到默认梯度匹配系数时出现的配置陷阱，并规定跨机构共享与适应协议。第 5 节报告了 Elliptic 和 Elliptic++ 基准上的实验，涵盖效用比较（5.2）、通信成本（5.3）、三部分隐私评估（5.4）、配置选择消融（5.5）和缩减率敏感性（5.6）。第 6 节讨论隐私评估确定和未确定的内容、跨司法管辖区反洗钱合作的部署影响、伦理与负责任使用以及局限性。第 7 节总结。

章节片段
用于反洗钱的图神经网络
基于图的反洗钱利用了交易网络中固有的结构模式：洗钱方案产生特征性子图模式（剥离链、分层扇出、整合收敛），而节点级特征会错过这些模式。Weber 等人（2019）确立了 Elliptic 比特币数据集作为比特币反洗钱的标准基准，表明基于 GCN 的分类器（Kipf & Welling, 2017）在非法交易检测上优于随机森林。后续工作细化了

跨机构反洗钱检测
考虑 K 个 VASP，每个持有本地交易图 Gk=(Vk,Ek,Xk,yk)。节点特征矩阵 Xk∈?|Vk?|×d 包含交易级属性，如交易量、频率和交易对手多样性；二元标签 yk∈{0,1}|Vk| 表示非法活动。类别不平衡严重：非法交易占所有标记交易的 2-10%。目标是一个 GNN 分类器 fθ，在一个时间上晚于所有机构训练数据的共享测试集 Gtest 上表现良好。

共享场景
我们考虑四种

不平衡条件下的蒸馏配置
将基线类大小系数应用于欺诈图时，当内部分类损失也进行不平衡感知处理时，会产生一个一致性问题。不平衡感知焦点损失改变了 ? 内部的每例梯度几何，而 αc=nc/nmax 为少数类的梯度匹配差异分配了较小的外部权重。由此产生的类级别不平衡明确陈述如下。
设置。设 S0, S1 表示多数和少数合成节点集，n0=|S0|, n1=|S1|，且

数据集与设置
Elliptic 比特币（Weber 等人，2019）
区块链反洗钱的标准基准，包含 46,564 笔标记的比特币交易，跨越 49 个连续时间步，具有 165 个匿名特征。约 10% 的标记交易为非法。我们按时间步划分以模拟三个 VASP：A（时间步 1–16，13,164 笔训练交易），B（时间步 17–32，8,879），C（时间步 33–39，4,005）。测试集：时间步 40–49。
Elliptic++（Elmougy & Liu, 2023）
我们使用相同数据的交易对交易视图

讨论
隐私评估确定和未确定的内容
我们的隐私论点是实证的。FIAD 不提供 (ε, δ)-DP 保证，三部分评估是诚实但好奇威胁模型下的快照：具有强先验、多次发布快照或自适应攻击机制的攻击者可能提取比我们测量显示更多的信息。我们可以具体说明的是，评估的合成节点不是近似重复项（P1），机构与类别控制的

结论
我们提出了 FIAD，一个用于比特币跨 VASP 反洗钱的框架，结合了单轮合成图广播与简短的联邦微调。在 Elliptic 图及其原始和 Elliptic++ 特征表示下，5% 压缩率的 FIAD 在 PR-AUC 上匹配了完全收敛的 50 轮 FedAvg（102% 和 96%），并在 F1 欺诈上超过了它（108% 和 103%），同时达到 FedProx PR-AUC 的 90-92%，并将总通信量减少了约 8.5 倍。在

代码可用性
源代码、配置文件和复现脚本可在 https://github.com/definitely2018/Institutional-AML 获取。

关于生成式人工智能和 AI 辅助技术在手稿准备过程中的声明
在本工作准备期间，作者使用 ChatGPT 改进了手稿的语言和可读性。使用该工具后，作者根据需要审查和编辑了内容，并承担已发表文章内容的全部责任。

作者贡献声明
Fan Yang：概念化，方法论，软件，形式分析，数据策展，可视化，撰写 – 原稿，撰写 – 审查与编辑。Peijun Zhang：验证，监督，资源。

利益冲突声明
作者声明他们没有已知的竞争性经济利益或个人关系可能影响本论文报告的工作。

Fan Yang|Peijun Zhang