數字貨幣交易所洗錢行為檢測

鐘增勝，朱純瑤，楊逸飛，廖忻橙，王任之，趙穎?，周芳芳，施榮華，秦拯

（1.中南大學計算機學院，湖南長沙 410075；2.重慶工商大學人工智能學院，重慶 400067；3.湖南大學信息科學與工程學院，湖南長沙 410082）

洗錢是一種常見金融犯罪行為，它將非法所得的金融資產通過投資或交易等手段進行掩飾，使其在形式上合法化［1］.洗錢通常分為浸泡、分層和集成三個階段.在浸泡階段，洗錢者將非法資金投入金融體系；在分層階段，洗錢者通過多層金融交易使非法所得脫離其來源；在集成階段，清洗過的非法所得與合法收入混合，再次進入合法金融賬戶.傳統洗錢手段主要有地下錢莊清洗贓款和空頭公司虛假貿易等，洗錢過程通常伴有大額交易、高頻交易、關聯交易、閑置賬戶被突然啟用、開戶后立即銷戶等行為［2］.這些行為可以通過規則匹配、數據挖掘、圖分析等技術和方法，在銀行、保險和證券等傳統金融形態的交易記錄中分析出來，因此洗錢犯罪難以完全隱匿.

近幾年，數字貨幣交易開始成為新洗錢手段.數字貨幣交易所是交易數字貨幣的主要場所，它采用完全不同于傳統金融形態的運行與管理機制，主要特點包括：7×24 小時服務、全網絡化交易、無嚴格真實身份認證、無清算中心集中處理數據與監控交易.這種低成本、快速、強匿名、去中心化的金融交易場所給投資者帶來了便捷和商機［3］，也滋生了新的洗錢行為手段.

洗錢者用法幣購買數字貨幣或向交易所個人賬戶充入數字貨幣以完成非法資金入場，然后通過幣幣交易分散資金并利用幣種間差價賺取利潤以混合非法資金和合法收入，最后賣出數字貨幣獲得法幣或直接從交易所轉出數字貨幣，完成非法資金出場.洗錢者為了隱匿行蹤，往往會進行錯綜復雜的入場、幣幣交易與出場操作，并減少大額與頻繁交易.再加上數字貨幣交易具有強匿名和去中心化等特點，傳統反洗錢技術手段難以直接適用，這給挖掘洗錢線索、鑒別洗錢行為和打擊洗錢犯罪帶來了新的挑戰.

本文通過與S 數字貨幣交易所的合作，共同探索面向數字貨幣交易的洗錢行為檢測方法.首先，梳理業務特點、設計需求和設計難點.然后，從交易行為定義、交易行為建模、異常行為檢測和可疑用戶識別四階段來檢測洗錢行為.最后，進行多組對比實驗.結果顯示，本文方法在顯著性和隱蔽性洗錢行為檢測以及可疑洗錢用戶識別方面都優于參考算法.

本文的主要創新點包括兩個方面：構建了一個數字貨幣交易所交易行為的特征描述體系；設計了一個面向數字貨幣交易所的洗錢行為與洗錢用戶檢測方法.該特征描述體系和洗錢行為檢測方法能為識別數字貨幣這種新金融形態的洗錢犯罪行為提供技術支持，也能為后續相關研究提供借鑒.

1 相關工作

1.1 洗錢行為檢測

早期反洗錢主要采用基于規則的檢測模型，例如：Han 等人［4］設置了金融風險閾值來識別大額交易、高頻交易等可疑交易行為；Rajput 等人［5］設計了一個基于語義web 規則語言的反洗錢專家系統.隨著金融活動日趨復雜，許多學者將數據挖掘和機器學習技術用于反洗錢，比如：Rohit等人［6］提出聚類技術是反洗錢的有力工具；Wang 等人［7］采用最小生成樹對銀行賬戶聚類，并利用類簇間差異鑒別洗錢賬戶；Tai等人［8］利用支持向量機識別具有快速開銷戶、啟用閑置賬戶等可疑交易行為的銀行賬戶.近年來，基于網絡模型的反洗錢技術逐步流行，Anacpapa 圖分析工具［9］是早期典型代表，隨后出現了Analyst’s Notebook［10］和Netmap［11］等金融犯罪網絡分析工具.然而，現有反洗錢技術主要面向傳統金融形態，很難直接應對數字貨幣這類新興金融形態.

1.2 數字貨幣交易數據分析

數字貨幣交易可以發生在區塊鏈上和數字貨幣交易所內部，因此交易數據分為區塊鏈交易數據和交易所交易數據.區塊鏈交易數據完全公開且易于獲取，近年來有許多研究分析此類數據.

在數字貨幣的核心特性研究方面，一些學者通過分析區塊鏈交易數據來比較不同數字貨幣的去中心化［12］、匿名性［13］和安全性［14］等核心特性.在數字貨幣的交易模式研究方面，有研究從區塊鏈交易數據中分析洗錢交易模式［15］、歸納鏈式［16］等典型交易模式特征［17］.在數字貨幣的異常交易研究方面，學者們主要關注區塊鏈交易中的勒索［18-19］、空投糖果和貪婪注資［20］等異常現象.

數字貨幣交易所出現較晚，2017 年幣安交易所推出了相對豐富且完善的數字貨幣交易業務后，才逐步帶動了交易所的成交量.交易所的交易數據屬于私有數據，目前關于此類數據的研究相對較少.有學者通過分析交易所數據來了解交易市場的發展情況，及時預警交易風險.Elbahrawy 等人［21］使用統計圖表展示2013年4月以來重要數字貨幣的市場份額分布和成交量；Yue 等人［22］設計了可視化分析系統BitExTract，用來分析比特幣交易所在交易所市場間的交易模式演變.基于此，本研究與某數字貨幣交易所展開深度合作，使用該交易所脫敏的交易數據來開展研究.

2 相關概念與數據抽象

2.1 相關概念

數字貨幣交易所是數字貨幣間、數字貨幣與法幣間交易撮合的平臺，是數字貨幣交易流通和價格確定的主要場所.S 數字貨幣交易所規定，一個手機號可注冊一個交易賬號，一個交易賬號對應一個交易所數字錢包.錢包記錄了某個人用戶在S 交易所當前持有的數字貨幣幣種及對應余額.

個人賬號在數字貨幣交易所可以進行的交易操作主要有3 類：1）買幣與賣幣（數字貨幣與法幣間的兌換）.交易所內的商家用戶可以提供數字貨幣與法幣的兌換服務.買幣操作是指個人用戶用法定貨幣（人民幣、美元等）向商家用戶購買數字貨幣（比特幣、萊特幣等）并存入數字錢包.賣幣操作是個人用戶將數字錢包中的數字貨幣賣給商家用戶并獲得法定貨幣.每個商家提供的數字貨幣和法幣的幣種、價格、數量、付款方式和匯率會有細微差異并隨時間波動.2）充幣與提幣（同種數字貨幣間的流轉）.個人賬戶數字錢包里的每種數字貨幣都有一個對應區塊鏈的鏈上地址.充幣是從個人所擁有的其他鏈上地址或其他交易所數字錢包向該地址充入一定數額的同種數字貨幣.提幣是充幣的反向操作.充提幣可以實現同種數字貨幣在不同交易所數字錢包間的流轉.3）幣幣交易（不同數字貨幣間的交易）.幣幣交易是用一種數字貨幣作為計價單位去兌換另一種數字貨幣，比如用BTC（比特幣）定價SLU（Silubium）［23］就形成SLU/BTC 交易對，該交易對的價格代表買入/賣出1 單位SLU 需要支付/獲得多少單位BTC.幣幣交易需要確定采用限價或市價交易方式.限價交易需設定買入/賣出價格，待市場價格波動到設定價格便可成交.市價交易即按當前市場上最新成交價成交.

2.2 數據抽象

本文使用的數字貨幣交易所交易數據（已脫敏）由合作方S 數字貨幣交易所提供.該數據可以抽象為一個多維表格型數據，字段包括：交易序號、用戶賬號、交易時間、交易類型、交易額、交易幣種、交易地址.本文使用數據的時間跨度為2018 年4 月23 日至2020年4月8日，涉及3萬個用戶，共計1 000多萬條真實交易數據.交易數據樣例見表1.

表1 數字貨幣交易所交易數據樣例Tab.1 Samples of transaction data in a cryptocurrency exchange

3 設計需求與設計難點

本文目標是設計一個面向數字貨幣交易的自動化洗錢行為檢測算法，提高數字貨幣交易所安全員的日常工作效率.S 數字貨幣交易所安全員指出算法設計要考慮洗錢行為的兩大基本特點：組合性和異常性.組合性是指洗錢過程通常由多筆交易組合而成.異常性是指與洗錢相關的少量交易行為必然表現出一定的異常特性.

安全員還指出算法設計要考慮洗錢犯罪取證的三大基本要求：可追溯性、可解釋性和可度量性.可追溯性是希望算法給出一個從用戶到行為的二層體系，即能提供可疑洗錢用戶及其相關洗錢行為.可解釋性是希望算法能對檢測結果給出一定的解釋性理由，以輔助開展調查取證.可度量性是希望算法能定量給出用戶可疑程度和交易行為異常程度，使得后續調查取證能有序展開.

算法設計需要滿足的基本需求包括五個需求：（T1）定義組合性交易行為；（T2）對交易行為進行可解釋性特征建模；（T3）找出異常交易行為；（T4）找出可疑洗錢用戶和相關異常交易行為；（T5）能對用戶可疑程度和交易行為異常程度進行量化度量.

然而，設計一個滿足這五大需求的算法并不容易，面臨兩大設計挑戰.

特征建模難（C1）.預定義交易行為特征體系可以讓洗錢行為檢測結果具有更好的可解釋性.作為新金融形態，數字貨幣具有全新的交易體系，不能直接借鑒面向傳統金融形態的交易行為特征建模體系.因此，新算法的交易行為特征建模過程中必須與數字貨幣反洗錢專家深度合作，充分借鑒專家知識，并進行反復實驗驗證.

隱蔽性洗錢行為檢測難（C2）.根據專家經驗，與洗錢相關的交易行為有顯著性和隱蔽性兩類.顯著性洗錢交易行為一般會在某些特征上具有極端取值，其產生原因是急于洗錢，快進快出.但它們也可能是工作人員或職業操盤手的正常交易行為.隱蔽性洗錢交易行為會在某些特征或特征組合上表現出與正常交易行為的輕微差異，它們由沉穩的洗錢者操縱.新算法要能有效找到顯著性和隱蔽性洗錢交易行為，并排除正常的顯著性交易行為.

4 數字貨幣交易洗錢行為檢測方法設計

4.1 總體流程

本文采用自底向上的思路設計數字貨幣交易洗錢行為檢測方法，該方法的基本流程如圖1 所示.首先，將一個用戶一段時間內的連續交易記錄視作一個交易行為，并對交易行為進行特征建模；然后，將交易行為作為檢測單元進行異常檢測；最后，綜合交易行為異常檢測結果識別出可疑洗錢用戶.該算法可以同時輸出可疑洗錢用戶及與其相關異常交易行為，幫助安全員完成自頂向下的取證過程，即：先選出可疑洗錢用戶，再確定異常交易行為/時段，最后對相關交易進行逐筆人工分析.

圖1 自動洗錢行為檢測流程圖Fig.1 Flow chart of automatic money laundering behavior detection

為了滿足算法設計需求（T1～T5）實現自底向上的洗錢行為檢測，應對算法設計中面臨的兩大挑戰（C1～C2），算法設計引入了多屬性決策特征賦權機制、改進的局部異常因子算法和多項去噪策略等.

4.2 交易行為定義

交易行為定義主要是確定交易行為的分析單元（T1），分析單元一般可以是單次交易或組合交易.洗錢行為通常具有組合性，并且單次交易提供的信息非常有限，因此，選擇以組合交易作為分析單元.思路是將一個用戶固定時間間隔內的交易集合作為分析單元，間隔設置為10 d，這一設定基于四方面考慮：1）洗錢過程有一定時間跨度，短則幾天，長則十天甚至數月；2）固定時間間隔有利于建立比較基準；3）根據S 數字貨幣交易所提供數據的統計情況，大部分賬戶交易頻率平均每天不足1 筆，以10 d 為單位可以保證每個分析單元中有多筆交易記錄，便于提取交易行為的統計特性；4）金融領域經常以10 d為單位來進行政策調控和風險管理.

在數字貨幣交易所中每個用戶的每一次交易會生成對應的交易記錄，首先獲取每個用戶在其交易時間段[ts，te]的交易數據，即其所有交易記錄{S1，S2，S3，…，Sn}.將每個用戶的交易時間段[ts，te]劃分為長度相同的m個分段，每段的時間間隔為10 d，然后將第i號用戶在第j個時間分段tj的所有交易記錄的組合，作為該用戶的第j個交易行為，記為Ti_j(1 ≤j≤m).

4.3 交易行為建模

4.3.1 交易行為特征提取

交易行為特征提取是將交易數據表征為統一的、可解釋的特征形態（T1），便于后續算法處理.同時，預定義特征體系可以讓算法結果具有更好的可解釋性（T2）.本部分的難點是不能直接借鑒傳統金融風險防控經驗，需要重新探索數字貨幣交易特征描述體系（C1）.通過與數字貨幣專家和反洗錢專家深度合作，構建一個交易行為特征描述體系.

特征描述體系從入場操作（買幣和充幣）、出場操作（賣幣和提幣）與幣幣交易這3 種交易操作角度描述交易行為特征，共計40 個特征.入場操作是一筆資金在交易所內一系列活動的起點，是分析洗錢用戶交易行為的首要切入點；出場操作通過賣幣與提幣實現資金出場，是一筆資金在交易所內一系列操作的終點；幣幣交易是用一種數字貨幣作為計價單位去兌換另一種數字貨幣，是用戶主要的交易活動.完整的特征描述體系見表2.

表2 數字貨幣交易行為特征描述體系Tab.2 Description system of cryptocurrency transaction behavior features

4.3.2 交易行為特征賦權

在使用特征時需要考慮不同特征在具體場景中的重要程度，因此需要給每一個特征賦權值以反映其在反洗錢場景中的重要性（T1）.特征賦權需要充分考慮專家知識（C1）.層次分析法［24］是解決賦權問題的常見方法，它主要有三大優點：通過兩兩比較的方法確定特征的相對重要性；專家可以利用自身經驗判斷特征的相對重要性；計算簡單快速.因此，選用層次分析法來定量地為特征賦權，本文的特征賦權主要包括4 個步驟：1）建立層次結構；2）構造判斷矩陣；3）層次單排序及一致性檢驗；4）層次總排序及一致性檢驗.

第1）步中的層次框架結構以洗錢可疑度作為目標層，描述交易行為特征的入場操作、出場操作、幣幣交易這三個維度是中間層，40 個交易行為特征作為最底層，即因素層.在第2）步中，專家比較了入場操作、出場操作和幣幣交易這三類交易行為特征在洗錢可疑度判斷上的相對重要度，構造了第1 個矩陣，然后分別對每一維度下的多個特征比較相對重要度，構造了3 個矩陣.通過前兩步得到的4 個判斷矩陣進行第3）和第4）步的計算，最終可得到特征權值矩陣.

專家認為通過層次分析法得出的權值結果能基本反映各特征對可疑洗錢交易行為判定的影響程度.從最終權值排序結果來看，最多持續入場次數和入場額大于一萬的交易次數的權值最高.專家表示，這兩個特征也是他們在日常反洗錢工作中最關注的，洗錢行為通常都具有持續性多次入場以及大額交易入場的特性，絕大多數洗錢行為都會在這兩個特征上取值較高.而幣幣交易總額和非工作時段幣幣交易次數占該交易總次數比的權值最低，專家解釋，盡管有些洗錢用戶為了模糊審計線索和偽裝正常用戶，會進行幣幣交易，但也存在不少洗錢用戶為了實現資金快速出入場，很少甚至不進行幣幣交易，這導致幣幣交易總額對判定可疑洗錢交易行為的影響并不大，非工作時段幣幣交易次數的影響則更小.

4.4 異常行為檢測

根據第3 節所述，洗錢行為具有異常性，因此洗錢行為檢測問題可以轉化為對交易行為的異常檢測問題，即在交易行為特征化的基礎上，通過自動化算法找到數字貨幣異常交易行為（T3）并量化度量異常程度（T5），為進一步識別可疑洗錢用戶提供基礎（T4）.異常交易行為檢測的難點是同時有效檢測顯著性和隱蔽性洗錢交易行為（C2）.另外，異常交易行為檢測還需要考慮到當前數據沒有標簽的現狀，人工標記需要耗費交易所專家大量精力，而且洗錢者常常變換洗錢方式，這使數據標記工作更為困難.

本文采用無監督的孤立點檢測和小類簇檢測相結合的方法，解決異常交易行為檢測的難點問題.孤立點檢測用于識別顯著性洗錢交易行為；小類簇檢測用于識別隱蔽性洗錢交易行為；兩者結合共同確定每個交易行為的異常程度.因此，本文的異常行為檢測方法分為三個基本步驟：檢測孤立點、檢測小類簇和確定交易行為的異常值.

4.4.1 數字貨幣交易行為的孤立點檢測

本文使用孤立點檢測識別顯著性洗錢交易行為，因為顯著性洗錢行為在某些特征上具有極端取值，形成遠離正常交易行為的孤立交易行為，很容易被孤立點檢測方法捕獲.本文采用局部異常因子（Local Outlier Factor，LOF）孤立點檢測算法［25］，主要考慮到以下三點因素：1）它使用相對密度來檢測孤立點，適合本文的數據分布不均勻場景；2）它可以量化交易行為的異常程度；3）計算速度快、可解釋性強并且應用成熟.

在S 數字貨幣交易所提供的交易數據中，存在一定量的顯著性洗錢交易行為，它們的LOF 值很高.然而，低LOF 值交易行為中可能存在隱蔽性洗錢交易行為.隱蔽性洗錢交易行為一般沒有極端的特征取值，不容易被LOF算法檢測到，因此需要進一步檢測這類異常交易行為.

4.4.2 數字貨幣交易行為的小類簇檢測

小類簇檢測的目的是找到隱蔽性洗錢交易行為.隱蔽性洗錢交易行為在某些特征或特征組合上表現出與正常交易行為的微小差別.同時，由于洗錢交易行為數量一般很少，因此，隱蔽性洗錢交易行為會在交易行為聚類過程中形成一些規模較小的類簇.本文選了基于密度的噪聲應用空間聚類算法［26］（Density-Based Spatial Clustering of Applications with Noise，DBSCAN）對所有交易行為聚類，主要有兩點考慮：1）數據集聚類成簇的數量未知，該算法無須預先指定簇的個數；2）該算法可以發現任意形狀的聚類簇，具有很強的適應能力.

對全部交易行為聚類之后，算法最終會輸出簇的劃分結果C={C1，C2，…，Ck}，簇Cn的規模為|cn|，即簇中包含的交易行為個數.簇內交易行為數量較少的簇稱為小類簇，小類簇很可能是由某些具有相似特征的隱蔽性洗錢交易行為聚集而成，因此小類簇是更加需要關心的聚類.但是，并不需要檢測出具體的小類簇，這是因為：1）小類簇的規模很難界定；2）更需要一個定量的值加入后續計算，以進一步定量地衡量交易行為的異常程度，因此，每一交易行為所在的聚類簇規模是本研究需要的信息.

根據經驗，隱蔽性洗錢交易行為通常會在小類簇中，但DBSCAN 聚類結果無法直接提供LOF 值，因此可以利用聚類結果，在已經獲得的LOF 值的基礎上，考慮聚類結果帶來的新信息，重新計算全部交易行為的異常值.

4.4.3 數字貨幣交易行為的異常值計算

通過前兩個步驟，已經得到了全部交易行為的LOF 值及其所在的聚類簇大小.結合前面兩步的計算結果，重新計算全部交易行為的異常值，以更合理地為交易所安全員推薦值得優先關注的交易行為.

交易行為的異常值計算需要解決兩個問題：1）保證顯著性洗錢交易行為和隱蔽性洗錢交易行為的異常值高于正常交易行為；2）在孤立點檢測中，顯著性洗錢交易行為和其他交易行為的LOF 值差值太大，需要平衡它們的異常值，以使得全部交易行為的異常值在一個合理的區間中.

本文設計了一個DLOF（DBSCAN-LOF）算法，該算法綜合利用了孤立點檢測和小類簇檢測的結果.基于如下的DLOF 算法公式對全部交易行為計算最終的異常值DLOF值，公式如下：

由式（1）可知，在正常交易行為中LOF 值較低，且正常交易行為一般在大類簇中，因此DLOF 值較低.顯著性洗錢交易行為LOF值非常高，如果某些顯著性洗錢交易行為在規模相對較大的類簇，則可以明顯降低其原LOF 值；如果某些顯著性洗錢交易行為在小類簇，則其DLOF 仍然會較大.因此，DLOF 算法可以根據類簇信息，平衡顯著性洗錢交易行為的異常值.隱蔽性洗錢交易行為LOF值較低，一般在小類簇中，因此其DLOF 值會相對較大，在一定程度上高于正常交易行為的DLOF值.

4.5 可疑用戶識別

可疑用戶識別基于交易行為異常值找出可疑洗錢用戶和相關異常交易行為（T4），并對用戶的洗錢可疑程度進行量化度量（T5）.可疑用戶識別的難點是檢測可疑洗錢用戶的同時需要排除有偽顯著性洗錢行為的用戶（C2），這類用戶可能是特殊用戶，比如：他們會持續高頻交易，表現出顯著性洗錢交易行為，容易被識別為可疑洗錢用戶.

首先，計算每個用戶的可疑洗錢值并找出相關異常交易行為.取用戶前n個交易行為DLOF 值的均值而非整體均值作為他們的可疑洗錢值，該做法是鑒于洗錢用戶只會在某些時段洗錢.其中，n通過專家的經驗知識得到并在可疑用戶識別中表現良好且n=3.因此，本文將第i號用戶的可疑洗錢值定義為Ui，計算公式如下：

根據上述方法，得到每一用戶的可疑洗錢值及其相關異常交易行為.對高可疑洗錢值的用戶進行分析，發現其中存在一類特殊用戶，這類用戶的DLOF 值長期處于較高水平.交易所專家表示，他們很可能是交易所工作人員或職業操盤手，幾乎每天都會進行大量交易.根據這類用戶的交易習慣總結其交易行為特點，具體是：交易行為數量較多、異常值長期較高、異常值波動較小.基于這三個特點，本文設計了一個檢測該類用戶的方法.首先，對所有高可疑洗錢值的用戶，分別計算交易行為數量、異常均值和異常波動值，然后將滿足一定條件的用戶標記為特殊用戶.具體方法如下.

本文定義第i號用戶的交易行為數量mi，交易行為的異常均值ai，異常波動值zi.ai與zi的計算公式分別如下：

若用戶滿足mi＞k1（異常交易行為數量閾值），ai＞k2（異常交易行為均值閾值），zi＜k3（異常交易行為波動值閾值），k1=300，k2=100，k3=0.4，則標記該用戶為特殊用戶.這3 個閾值皆由專家的經驗指導得出，并在識別交易所特殊用戶的實驗中表現良好.

5 實驗與評估

5.1 實驗準備

本實驗的PC配置為CPUi9-9900K、32GRAM、機械硬盤1.5T.算法采用python 語言實現，軟件運行環境是python 3.7.

本文選擇了如下3 個參考算法用于對比實驗.1）局部異常因子算法（LOF）.LOF算法用來識別顯著性洗錢交易行為，該實驗是為了驗證本文引入聚類算法的必要性.參數k=20，該參數為經驗值.2）基于K-Means 算法的局部異常因子算法（KLOF）［27］.K-Means 算法是一種基于劃分的聚類算法.本實驗是為了對比說明選擇DBSCAN 算法進行聚類的有效性.參數k通過經典的手肘法確定，k=33.3）孤立森林算法（DiForest）.DiForest算法［28］結合了DBSCAN 聚類和iForest 孤立點檢測.本實驗是為了驗證結合DBSCAN 聚類和LOF 孤立點檢測的有效性.DBSCAN 算法的參數ε=4，P=41，iForest 算法的參數nestimators=300，mfeatures=0.6.

上述3 個算法最后輸出的是每一交易行為（用戶）的異常得分.需要給算法結果設定閾值，小于該閾值得分的交易行為（用戶）被認定為異常行為（用戶）.本實驗中，異常交易行為的異常得分閾值a=2 000，洗錢用戶的異常得分閾值b=500.這兩個閾值的設定是考慮到該實驗的正常樣本與異常樣本數量具有極大的不平衡性，同時這也是與交易所專家仔細討論后的結果.專家強調異常交易行為（洗錢用戶）漏檢的風險較高，因此應盡可能降低漏檢風險.

5.2 數據準備

本研究從S 數字貨幣交易所中隨機抽取了1 萬個用戶的脫敏交易數據作為本實驗的測試數據集，并邀請專家對這些數據進行人工瀏覽、分析和標記.測試數據集的時間跨度為2018 年4 月23 日至2020年4 月8 日，共計300 多萬條真實交易記錄.根據專家的標記結果，測試數據集有9 981 個正常用戶（其中包括230 個特殊用戶），47 618 個正常交易行為.初步發現了19 個可疑洗錢用戶和42 個異常交易行為（顯著性異常交易行為24 個，隱蔽性異常交易行為18個）.

5.3 指標說明

本實驗通過混淆矩陣對比了DLOF 算法以及3個基準算法的檢測性能.混淆矩陣是機器學習中總結模型檢測結果的情形分析表，其中，正例是指異常（可疑洗錢）樣本，負例是指正常（非洗錢）樣本.混淆矩陣延伸出準確率（Accuracy）、召回率（Recall）、精確率（Precision）以及F14個評價指標.

5.4 實驗結果

5.4.1 異常交易行為和可疑洗錢用戶檢測結果分析

表3 從交易行為和用戶兩個層面分別展示了4種算法的實驗結果.總的來說，DLOF算法效果最好，它在檢測異常交易行為和可疑洗錢用戶上的4 個評價指標均優于其他算法，LOF 算法的效果次之，DiForest算法的效果最差.

表3 異常交易行為和可疑洗錢用戶檢測實驗結果Tab.3 Experimental results of abnormal transaction behaviors and suspicious traders detection

從指標層面來看，4 個算法的準確率都較高，這是因為正常交易行為（正常用戶）數在總交易行為（用戶）數中占比非常高；召回率差異較大，因為每個算法檢測出的異常交易行為（異常用戶）的數量差異較大，DLOF 算法的召回率明顯高于參考算法；精確率均較低，其原因一是為了降低漏檢風險，優先保證了召回率，二是在交易所的交易數據中異常交易行為（異常用戶）極少；較低的精確率導致了較低的F1值.

從單個算法層面來看，DLOF算法的效果均為最優，這證明了本文算法的有效性.DLOF 算法檢測到29個異常交易行為.分析發現未檢測到的13個異常交易行為大部分具有模式化交易的特征，例如：T341490_12循環5 種小眾數字貨幣的買入交易，且每筆交易的間隔時間幾乎相等；T101022_7連續用不同的小眾數字貨幣以幣幣交易的形式兌換同種數字貨幣，且以“一次大額交易數次小額交易”的模式循環交易.算法檢測失敗的原因可能是在特征提取中沒有考慮到與這些模式化交易行為相關的特征.DLOF算法檢測到12 個可疑洗錢用戶，檢測到了未被其余3個算法檢測到的可疑洗錢用戶.LOF 算法檢測到19個異常交易行為和7 個可疑洗錢用戶，它們均具有明顯的洗錢特征.LOF 算法只檢測到了2 個隱蔽性異常交易行為，這證明了本研究引入DBSCAN 算法的必要性.KLOF 算法只檢測到17 個異常交易行為和6 個可疑洗錢用戶，由此可見，K-Means 算法對于隱蔽性異常交易行為檢測的效果不如DBSCAN 算法，且引入K-Means 算法反而使得對顯著性異常交易行為的檢測效果變差，這大概率因為它不能有效聚類數字貨幣交易行為，以至于許多真實的異常交易行為被劃分至大類簇中，反而減弱了檢測效果.DiForest 算法效果最差，僅檢測到9 個顯著性異常交易行為和4 個具有非常顯著可疑洗錢特征的用戶.分析可能因為該算法對全局離群點敏感，不擅長處理局部異常點，且不適用于高維數據，它每次都是隨機選取一個維度切割數據空間，建完樹后仍有大量維度信息沒有被使用，導致算法可靠性降低.

5.4.2 顯著性和隱蔽性異常交易行為檢測結果分析

表4 為4 個算法的顯著性和隱蔽性異常交易行為檢測的實驗結果.DLOF 算法的表現仍然最好，LOF 和KLOF 算法的效果次之，DiForest 算法的表現相對較差.

表4 顯著性和隱蔽性異常交易行為檢測的實驗結果Tab.4 Experimental results of significant and covert abnormal transaction behaviors detection

在檢測顯著性異常交易行為方面，DLOF 算法檢測到19 個顯著性異常交易行為，可見DLOF 算法在檢測顯著性異常交易行為上較為有效.分析發現該算法未檢測到的5 個顯著性異常交易行為中有2 個的可疑洗錢特征權值較低，而其余3 個具有模式化交易特點，然而在本研究的交易行為特征描述中并沒有與之相關的特征.LOF 算法檢測到17 個顯著性異常交易行為，效果較好但遜于DLOF 算法，這證明用LOF 算法檢測顯著性異常交易行為是有效的，也證明了引入DBSCAN 聚類算法能更有效地檢測顯著性異常交易行為.KLOF 和DiForest 效果較差，分別檢測到14 個和9 個顯著性異常交易行為，且這些異常交易行為的顯著性表現較強.

在檢測隱蔽性異常交易行為方面，DLOF 算法檢測到10個隱蔽性異常交易行為，例如，T74654_13無極端特征值、均在工作時間交易、連續8 次出現同種交易模式（1 次出場后5 至6 次入場）、入場額為整數的交易次數占總入場次數的60%；T295847_27大額資金入場與小額資金入場交替進行、每筆交易時間間隔均為5 min 左右、連續出現相同交易額的出場交易.而LOF和KLOF只分別檢測到了2個和3個隱蔽性異常交易行為，DiForest 算法沒有檢測到.該結果體現了DLOF算法檢測隱蔽性異常交易行為效果較好.

5.4.3 特殊用戶檢測結果分析

特殊用戶是指交易所中的工作人員或職業操盤手，他們幾乎每天都會進行大量交易，這導致他們的異常值容易處在較高水平，非常容易被算法檢測為可疑洗錢用戶，因此需要排除這類用戶對交易所安全員反洗錢工作的干擾.

DLOF 算法做了特殊用戶篩除，然而其余3 個算法并沒有這一步驟.在9 981 個正常用戶中，特殊用戶總共有230 個，DLOF、LOF、KLOF 與DiForest 算法最終輸出的可疑洗錢用戶數分別占特殊用戶總數的12.61%、87.39%、90.87%和95.22%，分別占算法輸出的可疑洗錢用戶數的5.80%、40.2%、41.8% 以及43.8%.由此可見，DLOF算法最終輸出的可疑洗錢用戶中特殊用戶占比非常少，而其他3 個算法輸出的可疑洗錢用戶中特殊用戶均占有非常大的比例，這會給交易所安全員的反洗錢工作帶來嚴重障礙，該實驗結果充分證明了在算法中加入特殊用戶篩除這一步驟的必要性.

除此之外，本研究還進行了一個對比試驗，即在其他3 個算法中也加入特殊用戶篩除這一步驟，實驗結果如表5 所示.4 個算法對特殊用戶的篩除率都較高，其中DLOF 算法效果最好，篩除了230 個特殊用戶中的201 個，4 個算法篩除的相同特殊用戶數達154 個，這些特殊用戶的日均交易次數均超過500 次，日均交易額均超過10 000 CNYT（折算），該實驗結果充分證明了本文特殊用戶篩除方法的有效性.

表5 特殊用戶檢測實驗結果Tab.5 Experimental results of special traders detection

DLOF 算法在上述2 個特殊用戶篩除實驗中的表現均為最優，這證明了該算法可以有效降低特殊用戶對安全員判斷可疑洗錢用戶的干擾，提高他們反洗錢工作的效率.

6 小 結

本文提出了一種面向數字貨幣交易所的洗錢行為檢測方法，來幫助交易所安全員快速且有效地確定可疑洗錢用戶及其相關洗錢交易.首先，定義了用戶的交易行為，綜合考慮了交易時間、交易額、交易幣種、交易類型、重要程度等信息，構建了層次化加權的交易行為特征描述體系.然后，提出了一種改進的LOF 算法檢測出異常交易行為并量化度量異常程度.最后，綜合交易行為的異常檢測結果識別出可疑洗錢用戶.為了評估提出的異常檢測方法，本文使用真實的S 數字貨幣交易所數據集進行實驗，證明了該方法在檢測異常交易行為和識別可疑洗錢用戶中的有效性.

但是，本研究還存在一些局限性，具體如下：

1）參數設定困難.在本研究中，DLOF 算法有3個參數，分別為k、ε、P，其中，參數P描述ε距離內交易行為的數量，該參數極小的變化都會帶來完全不同的實驗結果.若該參數設置過小，則無法有效聚類具有相似特征的交易行為；若設置過大，則密度較大的兩個鄰近簇可能被合并為同一個簇，顯著性與隱蔽性異常交易行為無法得到有效聚類，因此該參數是否設置適當對交易行為的聚類結果有較大影響.本研究的這一參數值主要根據傳統方法如突變點取參法與反復實驗經驗得來，但該參數值未必適用于其他場景數據，研究者仍需根據場景數據的具體情況來設置該值.

2）交易行為特征描述不完全.與交易所專家深入交流討論，確定了本文目前的交易行為特征描述體系.但是洗錢者在數字貨幣交易所中的行為復雜多樣且可能有新的洗錢手法出現，因此，獲得一個相對完整的特征體系非常困難，而且特征體系還需要定期更新.

3）實驗數據集來源單一.通過與S 數字貨幣交易所合作，得到了該交易所的交易數據，并將其用于研究.但難以獲取其他交易所的交易數據.因此本研究的數據來源較為單一，無法確定算法是否具有較好的適應性.

在未來工作中，將繼續研究數字貨幣交易所洗錢行為檢測這一課題，著力解決現有的局限性，同時也希望本文的檢測方法能激發更多相關的研究和應用.