廖 茜，顧益軍

中國人民公安大學(xué) 信息網(wǎng)絡(luò)安全學(xué)院，北京 102600

作為區(qū)塊鏈技術(shù)最具代表性的應(yīng)用，比特幣是近十年在數(shù)字貨幣投資領(lǐng)域和研究領(lǐng)域最熱門的話題之一。依托加密算法、POW共識機制和P2P分布式網(wǎng)絡(luò)技術(shù)，比特幣具有去中心化、分散化、匿名性、總體運營安全等特點。正是基于這些特性，加之?dāng)?shù)字資產(chǎn)監(jiān)管法律規(guī)制的不健全，比特幣被眾多不法分子利用，導(dǎo)致了暗網(wǎng)交易[1]、勒索詐騙[2-3]、洗錢[4]等一系列網(wǎng)絡(luò)、金融犯罪。2017年頻繁爆發(fā)的全球性比特幣勒索案件就是被不法分子利用的典型[5]。因此，分析交易數(shù)據(jù)、研究比特幣網(wǎng)絡(luò)異常交易的檢測方法對于公安機關(guān)和有關(guān)監(jiān)管部門規(guī)范交易行為、保障網(wǎng)絡(luò)空間安全、強化金融治理具有迫切的現(xiàn)實意義。

1 相關(guān)工作

異常檢測是數(shù)據(jù)挖掘領(lǐng)域研究的一個重要問題，機器學(xué)習(xí)的發(fā)展為挖掘異常交易提供了廣闊的思路。比特幣系統(tǒng)中的異常被研究者們定義為不正?；虿惶赡艿目梢汕闆r[6]，如勒索詐騙、黑客攻擊、暗網(wǎng)交易等。當(dāng)前，學(xué)術(shù)界的異常交易檢測工作普遍是依托交易數(shù)據(jù)構(gòu)建的網(wǎng)絡(luò)結(jié)構(gòu)對交易節(jié)點提取異常行為模式相關(guān)特征，構(gòu)建多維特征向量，再運用機器學(xué)習(xí)的方式加以檢測。斯坦福大學(xué)的有關(guān)學(xué)者早在2013年就開始了采用機器學(xué)習(xí)技術(shù)對公開可用的比特幣交易數(shù)據(jù)加以深入探究，其中Hirshman等人[7]針對比特幣系統(tǒng)中的洗錢和“混幣”服務(wù)，在使用Kmeans聚類方法對用戶初步分析后提出基于結(jié)構(gòu)特征相似性的無監(jiān)督算法RoIX將節(jié)點進一步角色分類。由于缺乏數(shù)據(jù)標(biāo)簽，作者的研究雖然在追蹤“混幣”服務(wù)方面效果不佳，卻發(fā)現(xiàn)各聚類中心存在一定的異常交易行為，為進一步發(fā)現(xiàn)交易數(shù)據(jù)中的異常模式奠定了基礎(chǔ)。Pham等人[8]在交易圖和用戶圖上嘗試使用LOF算法構(gòu)建檢測模型，論文根據(jù)冪率分布初步確定了比特幣系統(tǒng)中存在異常用戶。然后利用LOF算法進一步細化定位到存在的異常用戶；Monamo等人[9]在文獻[8]基礎(chǔ)上嘗試了在聚類的同時可以實現(xiàn)異常檢測的算法trimmed-Kmeans，實驗結(jié)果表明，在相同的研究條件下，trimmed-Kmeans更具優(yōu)勢；由于trimmed-Kmeans是基于全局的異常檢測算法，Monamo等人[10]在文獻[9]的基礎(chǔ)上引入基于近鄰的異常檢測算法kd-trees，對比兩類算法的檢測效果；沈蒙等人[11]以分析交易動機為切入點，設(shè)計了兩類典型異常交易行為的判定規(guī)則并利用子圖匹配技術(shù)實現(xiàn)了比特幣異常交易行為識別算法。曾雅倩[12]利用Elliptic公司公開的比特幣交易數(shù)據(jù)，基于交易實體的多維特征和交易流構(gòu)建半監(jiān)督分類模型圖卷積神經(jīng)網(wǎng)絡(luò)，為探究比特幣反洗錢監(jiān)測模型提供了建模思路。Omer[13]利用比特幣客戶端提供的原始數(shù)據(jù)創(chuàng)建數(shù)據(jù)集，并使用IForest、CBLOF等5種經(jīng)典的無監(jiān)督檢測算法分析惡意交易。論文首次采用集成學(xué)習(xí)的思想建模，將多種異構(gòu)基學(xué)習(xí)器在簡單平均策略下并行集成。對比單一的檢測方式，集成學(xué)習(xí)方法在AUC值等綜合檢測性能方面顯示了出眾的效果。

綜上所述，由于交易數(shù)據(jù)量大、無實體認證導(dǎo)致獲取盡可能多的用戶標(biāo)簽困難，現(xiàn)有研究多從傳統(tǒng)的無監(jiān)督學(xué)習(xí)視角出發(fā)，集成學(xué)習(xí)的應(yīng)用僅限于將異構(gòu)基學(xué)習(xí)器并行疊加最后以簡單平均策略輸出結(jié)果。集成學(xué)習(xí)作為近年來機器學(xué)習(xí)領(lǐng)域的研究熱點，已有很多學(xué)者將集成學(xué)習(xí)運用于異常檢測[14-15]，以提高模型的檢測能力。由于數(shù)據(jù)在高維空間分布較為稀疏，無關(guān)特征的存在會干擾異常檢測的效果，Lazarevic等人[16]提出了最早的集成異常檢測框架feature bagging。類似于隨機森林算法，feature bagging通過從原始特征集中抽取特征子集來訓(xùn)練多個基學(xué)習(xí)器，并最終采用一定的策略組合所有的基學(xué)習(xí)器以提高模型對高維數(shù)據(jù)的整體檢測性能。Aggarwal等人[17]在集成分析廣泛應(yīng)用于高維數(shù)據(jù)離群點檢測的基礎(chǔ)上探究了集成異常檢測的理論基礎(chǔ)——偏方差理論。同時，作者提出了兩種新的基學(xué)習(xí)器平衡組合策略：AOM、Threshold-Sum以達到在集成系統(tǒng)中權(quán)衡方差與偏差的效果。由于為了增加學(xué)習(xí)器的多樣性而不加選擇地組合準(zhǔn)確性較低的基學(xué)習(xí)器可能會降低集成方法的整體性能，Rayana等人[18]提出順序集成方法SELECT對異構(gòu)基學(xué)習(xí)器選擇性地組合，相比于比非選擇性集成算法更具可靠性和穩(wěn)定性。為了進一步平衡集成學(xué)習(xí)系統(tǒng)的多樣性和準(zhǔn)確性，Campos等人[19]首次將有監(jiān)督的提升方法boosting應(yīng)用到無監(jiān)督集成異常檢測場景中。因為缺乏數(shù)據(jù)標(biāo)簽，boosting方法在異常檢測中應(yīng)用較少，現(xiàn)有研究基于bagging和feature bagging方法對基學(xué)習(xí)器并行集成較多。然而現(xiàn)有的并行集成方法缺乏選擇性地組合基學(xué)習(xí)器導(dǎo)致表現(xiàn)優(yōu)異的基學(xué)習(xí)器難以發(fā)揮優(yōu)勢，組合之后的模型只能達到較為一般的效果。同時，現(xiàn)有的大部分算法是以全局的角度出發(fā)，較少細致地關(guān)注數(shù)據(jù)的局部性。針對這兩方面的問題，Zhao等人[20]提出基于局部動態(tài)選擇組合的并行集成異常檢測算法（locally selective combination in parallel outlier ensemble，LSCP），采用局部異常因子算法LOF并設(shè)置不同超參數(shù)以實現(xiàn)基學(xué)習(xí)器的多樣性，通過定義局部區(qū)域和偽標(biāo)簽生成方式為每個數(shù)據(jù)點選擇鄰域空間中表現(xiàn)最佳的基學(xué)習(xí)器作為最終結(jié)果輸出。對比傳統(tǒng)的基學(xué)習(xí)器合并策略，LSCP算法達到了權(quán)衡方差與偏差的效果，表現(xiàn)出更好的泛化能力。

鑒于LSCP算法在集成過程中考慮了“動態(tài)選擇”和“局部性”，本文借助LSCP算法進行比特幣網(wǎng)絡(luò)異常交易檢測。針對LSCP算法為實現(xiàn)系統(tǒng)多樣性采用的是對同構(gòu)基學(xué)習(xí)器設(shè)置不同的超參數(shù)的方法，未曾嘗試在系統(tǒng)中使用異構(gòu)的基學(xué)習(xí)器。一般而言，大規(guī)模數(shù)據(jù)往往存在多種類型的異常點，為提高集成學(xué)習(xí)的檢測性能，要求基學(xué)習(xí)器應(yīng)“好而不同”[21]。單一的LOF算法通過計算每個樣本相對于其周圍樣本點的相對密度來度量異常程度，對全局異常點的檢測效果較差，而且對稀疏分布下的異常簇不敏感。為此，本文在LSCP算法中融入LOF算法、經(jīng)典的KNN算法和文獻[13]中采用的5種無監(jiān)督異常檢測算法，利用異構(gòu)基學(xué)習(xí)器對不同異常類型的敏感性，提升檢測模型的整體性能。實驗結(jié)果表明，與單一的檢測算法和簡單平均策略的集成方法相比，本文方法在比特幣異常交易檢測任務(wù)中具有更好的綜合性能。

2 基于LSCP的比特幣異常交易檢測方法

2.1 原理介紹

目前將集成學(xué)習(xí)應(yīng)用到異常檢測領(lǐng)域通常是將若干個基學(xué)習(xí)器并行疊加，然后將多個基學(xué)習(xí)器的結(jié)果以投票法、均值法等結(jié)合策略輸出，這些結(jié)合策略未對基學(xué)習(xí)器加以選擇，導(dǎo)致表現(xiàn)優(yōu)異的基學(xué)習(xí)器檢測能力被掩蓋，性能較差的基學(xué)習(xí)器對整體性能的影響較大，互補性不足。同時，基學(xué)習(xí)器的結(jié)合策略一般是從全局角度出發(fā)，而強調(diào)數(shù)據(jù)的局部性可以使檢測結(jié)果更加精確、細致。LSCP算法的基本思想是：對一個數(shù)據(jù)點的異常程度進行預(yù)測時，先定位到該點的局部區(qū)域，利用偽標(biāo)簽對所有基學(xué)習(xí)器在局部區(qū)域的表現(xiàn)加以評估，最后選擇在局部區(qū)域具有優(yōu)異表現(xiàn)的基學(xué)習(xí)器進行二次合并作為該點的輸出結(jié)果。雖然異常檢測與有標(biāo)簽的分類問題有差異，Aggarwal等人[17]證明偏差-方差理論同樣適用于集成異常檢測領(lǐng)域。從偏差-方差理論的角度出發(fā)，LSCP算法根據(jù)局部區(qū)域動態(tài)地為每個數(shù)據(jù)點挑選最佳的基學(xué)習(xí)器，能夠達到降低整體偏差的效果；而基學(xué)習(xí)器的多樣性和根據(jù)偽標(biāo)簽的評估情況二次合并多個最優(yōu)基學(xué)習(xí)器作為最終結(jié)果，可以降低系統(tǒng)方差，減小對數(shù)據(jù)變化的敏感性。因此，LSCP算法對異常數(shù)據(jù)的檢測具有良好的泛化性能和準(zhǔn)確性。

現(xiàn)有的無監(jiān)督異常檢測算法大致可分為以下主要幾類：（1）基于最近鄰的技術(shù)；（2）基于聚類的方法；（3）基于統(tǒng)計的方法；（4）基于子空間技術(shù)；（5）基于模型的方法。針對大規(guī)模數(shù)據(jù)異常類型的多樣化，為了借助異構(gòu)基學(xué)習(xí)器增加集成系統(tǒng)的多樣性和對不同異常類型的敏感性，并與文獻[13]進行效果比對，本文在LSCP算法中融入上述5種研究視角的7種經(jīng)典的無監(jiān)督異常檢測算法，如表1所示。

表1 異構(gòu)基學(xué)習(xí)器的具體算法Table 1 Specific algorithm of heterogeneous learner

2.2 實現(xiàn)步驟

為實現(xiàn)比特幣網(wǎng)絡(luò)異常交易的更有效檢測，本文采用融合異構(gòu)基學(xué)習(xí)器的LSCP算法，算法1為LSCP算法的偽代碼，具體實現(xiàn)步驟如下：

算法1LSCP算法

輸入：訓(xùn)練集Xtrain∈Rn×d；測試集Xtest∈Rm×d；

r個異構(gòu)基學(xué)習(xí)器；t為特征子集的個數(shù)；

k為局部區(qū)域內(nèi)滿足條件的訓(xùn)練樣本數(shù)。

輸出：Xtest的異常分數(shù)。

1.利用訓(xùn)練集Xtrain分別訓(xùn)練r個異構(gòu)基學(xué)習(xí)器，將結(jié)果合并為異常分數(shù)矩陣O(Xtrain)

2.生成Xtrain的偽標(biāo)簽target

3.forinXtestdo

6. forT rinTdo

9. end for

10. 最相似的前x個基學(xué)習(xí)器T*x

12.end for

（1）訓(xùn)練多個異構(gòu)基學(xué)習(xí)器。具體的，對比特幣交易數(shù)據(jù)集采用留出法劃分訓(xùn)練集與測試集，Xtrain∈Rn×d表示由n個點、d維特征向量的訓(xùn)練數(shù)據(jù)構(gòu)成的特征矩陣，Xtest∈Rm×d表示由m個點、d維特征向量的測試數(shù)據(jù)構(gòu)成的特征矩陣。LSCP算法首先借助一定參數(shù)設(shè)置下的r個異構(gòu)基學(xué)習(xí)器訓(xùn)練數(shù)據(jù)，產(chǎn)生異常分數(shù)集T={T1,T2,…,T r}。其中，T r(·)表示第r個基學(xué)習(xí)器對交易數(shù)據(jù)點的異常分數(shù)向量。異構(gòu)基學(xué)習(xí)器對訓(xùn)練數(shù)據(jù)進行異常評分并Z-score標(biāo)準(zhǔn)化后的異常分數(shù)矩陣表示為O(Xtrain)。

（2）定義偽標(biāo)簽生成方式。為了在缺乏數(shù)據(jù)標(biāo)簽的情況下采用偽標(biāo)簽評估基學(xué)習(xí)器的檢測能力，本文采用所有基學(xué)習(xí)器輸出結(jié)果的最大值作為交易數(shù)據(jù)點的偽標(biāo)簽，最大程度地保留數(shù)據(jù)點的異常特性。即：

（3）定義局部區(qū)域。為了從數(shù)據(jù)的局部性出發(fā)到達更加細致的檢測效果，算法對一個新數(shù)據(jù)點檢測時，先對所有基學(xué)習(xí)器在這個點鄰域空間的表現(xiàn)進行評估，并認為基學(xué)習(xí)器相應(yīng)地在這個點也會有同樣的表現(xiàn)。因此，為了確定數(shù)據(jù)點的鄰域空間需要對局部區(qū)域加以定義。將測試數(shù)據(jù)點的局部區(qū)域ψj定義為k個最近訓(xùn)練數(shù)據(jù)點的集合。k值并不固定，取決于滿足條件的訓(xùn)練樣本的數(shù)量。類似于Feature bagging思想，為減少高維空間中不相關(guān)特征的干擾并降低計算復(fù)雜度，采用特征子集挑選滿足條件的訓(xùn)練樣本點。具體實現(xiàn)如下：

①隨機選擇t組維度范圍為的特征子空間。

②對于每一組特征子空間，通過計算歐氏距離在訓(xùn)練集中獲取與最近的k個訓(xùn)練樣本點。

③將步驟②中出現(xiàn)次數(shù)超過的樣本作為的局部區(qū)域ψj。

（4）得到測試數(shù)據(jù)點的局部區(qū)域后ψj，利用訓(xùn)練好的基學(xué)習(xí)器生成該局部區(qū)域的異常分數(shù)矩陣

（5）得到局部區(qū)域ψj的數(shù)據(jù)點的偽標(biāo)簽，生成目標(biāo)向量targetψj，即：

（6）為了選擇在數(shù)據(jù)點上表現(xiàn)優(yōu)異的基學(xué)習(xí)器，計算異常分數(shù)矩陣O(ψj)的每個列向量和目標(biāo)向量targetψj之間的皮爾遜相關(guān)系數(shù)，選擇與目標(biāo)向量最相似的前x個基學(xué)習(xí)器。

（7）最后進行基學(xué)習(xí)器二次選擇組合，根據(jù)選擇的x個基學(xué)習(xí)器，計算測試數(shù)據(jù)的異常分數(shù)，將x個異常分數(shù)的平均值作為的最終異常分數(shù)，以降低偽標(biāo)簽定義方式帶來的隨機性和方差，提升算法的可靠性。具體實現(xiàn)流程如圖1所示，其中淺色區(qū)域可以通過緩存讀取，深色區(qū)域需要重新計算。

圖1 基于LSCP算法的比特幣異常交易檢測流程Fig.1 Bitcoin abnormal transaction detection process based on LSCP algorithm

3 實驗分析

3.1 數(shù)據(jù)集與特征提取

本文使用比特幣公開交易數(shù)據(jù)進行實驗研究。該數(shù)據(jù)集由Omer（https://ieee-dataport.org/open-access/bitcoin-transactions-data-2011-2013）公布，從bitcoin core客戶端的blk.dat文件提取而來，包含了2011年至2013年的交易流信息，具體字段說明如表2所示。在現(xiàn)有比特幣相關(guān)研究領(lǐng)域，由于缺乏完整的標(biāo)簽信息，大多以半手工方式標(biāo)注數(shù)據(jù)集。比特幣權(quán)威論壇Bitcoin Forum（https://bitcointalk.org/index.php?topic=576337）公布了2011年至2013年期間的歷史非法交易，其涵蓋了BTC盜竊、BTC黑客攻擊和BTC丟失等各類案件的詳細信息，包括涉案金額、日期、交易ID等。本文借助Python編寫的爬蟲在該論壇對非法交易進行采集，并借鑒文獻[22]的方式將非法交易及其子交易標(biāo)注為異常（1），其余交易則標(biāo)注為正常（0）。經(jīng)統(tǒng)計，數(shù)據(jù)集中包含108個異常類，30 248 026個正常類，異常類的比例約為0.000 35%。

表2 特征說明表Table 2 Feature list

利用交易流信息，本文使用python-igraph包（版本0.7.0）構(gòu)建以交易為節(jié)點的有向無環(huán)網(wǎng)絡(luò)圖，并在此基礎(chǔ)上提取7種有代表性的節(jié)點異常行為模式相關(guān)特征：

（1）交易網(wǎng)絡(luò)特征：入度、出度。

（2）交易資金特征：總接收數(shù)額、總發(fā)送數(shù)額、平均接收數(shù)額、平均發(fā)送數(shù)額、凈余數(shù)額。

3.2 實驗步驟

為驗證本文方法的優(yōu)越性，本文將組成異構(gòu)基學(xué)習(xí)器的各無監(jiān)督檢測算法、上述異構(gòu)基學(xué)習(xí)器在簡單平均策略下并行集成的檢測方法（Avg-Ensemble）作為實驗對照組。實驗在Windows 10系統(tǒng)、3.0 GHz Inter Core i5處理器、Python3.6.3環(huán)境下運行，步驟如下：

（1）讀入數(shù)據(jù)并進行預(yù)處理。讀入數(shù)據(jù)，檢查數(shù)據(jù)的格式、查看數(shù)據(jù)的分布情況。針對提取的各交易特征具有較高的偏度和峰度值，實驗過程中使用對數(shù)變換對各數(shù)據(jù)特征進行轉(zhuǎn)換，降低較高的偏度和峰度值對后續(xù)建模分析產(chǎn)生的不利影響。在此基礎(chǔ)上，本文采用更適用于處理有異常值的穩(wěn)健標(biāo)準(zhǔn)化方法對交易數(shù)據(jù)的多維特征標(biāo)準(zhǔn)化。

（2）考慮到數(shù)據(jù)整體規(guī)模較大且樣本類別分布不平衡程度較為嚴重，本文對正常類交易進行簡單隨機抽樣，與所有異常類樣本構(gòu)成正負比例為1∶500的新數(shù)據(jù)集，以在保證實驗合理性的同時減少計算開銷。為避免隨機因素影響、降低抽樣誤差，簡單隨機抽樣20次以構(gòu)造20個子數(shù)據(jù)集，最終以實驗平均值反映檢測效果。圖2為數(shù)據(jù)分割示意圖。

圖2 數(shù)據(jù)分割示意圖Fig.2 Data segmentation diagram

（3）將每個子數(shù)據(jù)集采用留出法以7∶3的比例劃分訓(xùn)練集、測試集，劃分時對正負類別的樣本進行隨機分層取樣，確保訓(xùn)練集、測試集中各類樣本分布與子數(shù)據(jù)集相同。

（4）為避免子數(shù)據(jù)集類別不平衡影響檢測性能，采用SMOTE算法在訓(xùn)練集上對少數(shù)類樣本即異常交易進行過采樣，最佳采樣比作為實驗參數(shù)進行調(diào)優(yōu)。

（5）在各子數(shù)據(jù)集的訓(xùn)練集中利用各算法迭代訓(xùn)練模型，采用Hyperopt超參數(shù)優(yōu)化技術(shù)以最大化AUC值為目標(biāo)函數(shù)進行逐步調(diào)參，選取最優(yōu)參數(shù)組。

（6）利用最優(yōu)參數(shù)訓(xùn)練而成的模型在測試集中依據(jù)異常分數(shù)閾值預(yù)測各交易點的分類結(jié)果。

（7）由于數(shù)據(jù)集高度不均衡，并且在公安實戰(zhàn)中與正常行為相比更關(guān)注異常突發(fā)狀況，與整體預(yù)測效果相比更關(guān)注預(yù)警、處理的及時性，因此本文選取AUC值、召回率Recall、檢測結(jié)果的前n項的準(zhǔn)確率Precision@k作為泛化性能評估指標(biāo)。這些評估指標(biāo)在異常檢測領(lǐng)域也得到廣泛使用[15，23]。依據(jù)測試集的分類結(jié)果計算各評估指標(biāo)值，最終檢測效果由20個子數(shù)據(jù)集計算平均值得到。

3.3 實驗結(jié)果對比與分析

20個子數(shù)據(jù)集上的AUC值、召回率Recall、Precision@k結(jié)果如表3所示。綜合表3可知，在各評估指標(biāo)上，每個算法在不同的子數(shù)據(jù)集中表現(xiàn)趨于穩(wěn)定，沒有嚴重的波動情況，這說明了在大規(guī)模的數(shù)據(jù)集中對正樣本多次抽樣并未造成數(shù)據(jù)分布的較大差異，由數(shù)據(jù)抽樣而造成的誤差程度較小。

由表3可以看出，對比所有單一的檢測算法，LOF、KNN和PCA在三個評估指標(biāo)中均表現(xiàn)不佳，HBOS、CBLOF和AutoEncoder表現(xiàn)能力相當(dāng)且較為出色。原因可能是，KNN和LOF均是基于近鄰的算法，KNN認為異常點的K近鄰距離更大，LOF算法利用K近鄰的距離將異常值建模為鄰域密度相關(guān)的函數(shù)。而在子數(shù)據(jù)集訓(xùn)練前期，SMOTE算法通過線性插值的方式在兩個少數(shù)類樣本之間生成新的樣本，這種數(shù)據(jù)生成方式一定程度上改變了數(shù)據(jù)集的原始分布，從而導(dǎo)致基于近鄰的思想對異常樣本的敏感性降低。PCA和AutoEncoder均是基于重構(gòu)誤差來定義數(shù)據(jù)的異常程度，但是Auto-Encoder在使用非線性激活函數(shù)時克服了PCA線性的限制，可以學(xué)習(xí)到更為復(fù)雜的數(shù)據(jù)投影，因此AutoEncoder相比于PCA具有更加優(yōu)異的表現(xiàn)。

表3 LSCP與基準(zhǔn)算法對比結(jié)果Table 3 Comparison results between LSCP and benchmark algorithms

由于在異常檢測領(lǐng)域，與將所有數(shù)據(jù)點進行單純的二分類相比更在乎排序結(jié)果中異常值最高的K個點是不是更異常，所以本文選取Precision@k作為重要的評價指標(biāo)。由圖所示，從大多子數(shù)據(jù)集可以看出，Avg-Ensemble雖然在召回率上具有一定優(yōu)勢，AUC值上也有較好的表現(xiàn)，但是在Precision@k指標(biāo)上卻處于最低水平。這說明，Avg-Ensemble雖然能將大部分異常交易正確分類，卻不能將它們置于靠前的異常排名中以盡早發(fā)現(xiàn)加以處理，其對異常交易的檢測能力有待提升，以達到更加精準(zhǔn)、細致的效果。對比融入異構(gòu)基學(xué)習(xí)器的LSCP算法和其他算法在三個評價指標(biāo)中的值可以看出，LSCP算法即使在沒有處于最高水平的情況中也與最高水平相差不大。雖然并不總是優(yōu)于其他方法，但是整體性能優(yōu)于其他方法，對異常比特幣交易的檢測具有較好的可靠性和穩(wěn)定性。為了避免抽樣誤差對實驗結(jié)果造成的影響，本文對各算法在20個子數(shù)據(jù)集中的表現(xiàn)計算平均值以得到最終的檢測效果。各算法在三個評估指標(biāo)中的平均值如圖3所示。

圖3 LSCP與基準(zhǔn)算法綜合效果對比Fig.3 Comprehensive effect of LSCP and benchmark comparison method

由圖3顯示，Avg-Ensemble雖然在召回率上具有出眾水平，但在AUC值上與表現(xiàn)最佳的單一檢測算法HBOS水平相當(dāng)，且在Precision@k方面表現(xiàn)最差，未能達到理想的檢測效果。融入異構(gòu)基學(xué)習(xí)器的LSCP算法對異常交易的總體檢測召回率與Avg-Ensemble相差不大，比單一的檢測算法提升了至少9個百分點。在AUC指標(biāo)方面，LSCP方法比次優(yōu)算法HBOS提高了約4個百分點。同時，LSCP方法在Precision@k上比次優(yōu)算法HBOS提升了約1個百分點。實驗結(jié)果表明，LSCP算法對異常比特幣交易檢測的綜合能力比其余基準(zhǔn)算法出色，具有良好的泛化性能。這證明，LSCP方法由于在集成系統(tǒng)中考慮了局部性的概念并針對大規(guī)模數(shù)據(jù)多樣的異常類型充分利用異構(gòu)基學(xué)習(xí)器對不同異常類型的敏感性，在最終的選擇過程中對不同的交易數(shù)據(jù)點

動態(tài)性選擇表現(xiàn)優(yōu)異的基學(xué)習(xí)器，因此解決了不同算法在特定異常類型上的局限性，進一步提升了集成學(xué)習(xí)的優(yōu)勢。

4 結(jié)束語

本文將LSCP算法應(yīng)用于比特幣網(wǎng)絡(luò)異常交易檢測，并在LSCP算法中融入了近鄰、聚類、深度學(xué)習(xí)等目前在該領(lǐng)域常用的算法思想，以提升對不同異常類型的敏感程度，達到動態(tài)選擇和局部細致的效果。結(jié)果表明，本文方法在AUC值、召回率Recall、Precision@k上整體優(yōu)于基準(zhǔn)算法，具有優(yōu)異的綜合性能，在公安工作中具有重要的實際意義。事實上，本文方法在為數(shù)據(jù)點確定局部區(qū)域的過程中需要較長時間，今后的研究可以考慮優(yōu)化局部區(qū)域定義方法，以加快在大規(guī)模比特幣交易數(shù)據(jù)中的檢測速度。