선택한 단어 수는 입니다.
최소 단어 이상 선택하여야 합니다.
최소 단어 이상 선택하여야 합니다.
선택한 단어 수는 30입니다.
최대 10 단어까지만 선택 가능합니다.
최대 10 단어까지만 선택 가능합니다.
문제 정의
- 반면에 Named List는 확보하는데 있어서 기술적으로 어려움이 없다. 그래서 우리는 Named List를 많이 확보하기 보다는 TxMon이 실현 가능하다는 것을 입증하는데 초점을 두었다. 실질적으로 TxMon을 운영하기 위해서는 충분한 Named List를 확보하고 불법 거래의 가능성이 높은 비트코인을 Unnamed List로 지속적으로 추가할 때, 불법거래 추적의 가능성을 높일 것이다.
- 예를 들면, 정부의 승인을 받은 암호화폐 거래소의 주소들이나 비트코인 결재가 가능한 온라인 쇼핑몰 및 오프라인 상점들로 개인정보 확인이 가능한 주소들이 Named List에 해당된다. 본 논문에서는 TxMon의 유효성을 검증하기 위한 실험용 주소를 저장하였다.
- 우리는 TxMon이 마이닝 풀과 최신 블록에서 Unnamed List가 Named List와 거래할 때, 이를 제대로 모니터링하는지 여부를 테스트하였다. 먼저 우리는 bithumb.
가설 설정
- ④ ③에서 추출한 모든 거래 내역을 월별로 분석하면, DPR User들의 공통적인 특징은 DPR의 비트코인 주소와 거래 빈도가 높을 것이다. 거래 빈도가 높은 비트코인 주소 중에서 DPR의 비트코인 주소가 아닌 것들을 DPR 후보군(Candidate)으로 설정하며, 이 후보군은 불법거래와 관련성이 높은 비트코인 주소로 추정할 수 있다.
제안 방법
- DPR User와 DPR 후보군을 추출하는 과정에서 코인 믹싱과 관련된 거래를 제외하였으며, DPR 후보군 예측에 정확성을 높여 유의미한 threshold를 구하기 위해 전체 거래내역에서 필터링 하였으며, 실험 결과는 다음 장에서 상세히 설명하겠다.
- DPR의 경우 FBI가 압수한 비트코인 주소에서 “DPR Seized Coins”으로 태그되어 있는 거래의 송신 주소들이다. DPR이 소유한 비트코인 주소 리스트를 기반으로 Silk Road 사용자의 비트코인 주소와 추가적으로 불법거래에 사용된 후보군의 비트코인 주소를 추출하였다. Address DB에 Named List로 저장되는 비트코인 주소는 익명성이 제거되어 신원을 확인할 수 있는 주소들을 나타낸다.
- 우리는 이 논문에서 불법거래로 의심되는 비트코인 거래를 추적하고 모니터링하는 도구(TxMon)를 제안하였다. TxMon은 불법거래로 의심되는 비트코인 주소리스트를 기반으로 이들 주소의 거래 내역을 분석한다. 분석을 통해 불법거래와 연관성이 높은 비트코인 주소를 예측하여 추가적으로 확보하고, 이를 불법거래로 의심되는 비트코인 주소와 함께 Unnamed List1)로 관리한다.
- ⑥ Real DPR User의 거래내역을 바탕으로 불법거래의 가능성이 높은 비트코인 주소, 즉 후보군을 예측하고자 Real DPR User의 거래내역의 타게팅 조건을 다르게 실험하였다. 즉, 예측의 정확도를 높이기 위해 추적대상을 줄이는 작업을 실시하였다.
- 하지만 이렇게 개발할 경우 데이터 처리를 위해 추가적인 개발이 많이 필요하다. 그래서 우리는 비트코인 정보를 제공하는 blockchain.info에서 Open API Service를 이용하여 개발하였다. Open API 조회로 인해서 개발한 코드의 양이 많이 줄어들었지만 해당 서비스로 질의를 요청하는 횟수가 제한되기 때문에 정보 조회를 위한 시간이 많이 소요되었고, 쿼리 요청에 대한 오류가 있는 경우 이를 우회하기 위한 예외처리를 구현해야 했다.
- 비트코인의 개별 거래정보는 블록 단위로 결합하여 앞의 블록정보를 포함해 해시를 만들어 불가역적인 데이터 블록을 만들고 체인으로 연결하였으며, 네트워크에서 공유한다. 따라서 기존의 중앙 서버 구조에서 제3의 신뢰 기관이 수행하는 보증을 네트워크를 구성하는 모든 노드에서 담당하여 과거의 모든 이력을 검증함으로써 이중 사용 문제를 해결하였다. 비트코인은 공개키(Public Key Infrastructure) 암호화 방식을 기반으로 거래가 이루어지는데, 비트코인 소유자는 주소 역할을 하는 공개키와 거래 승인 시 디지털 서명에 이용하는 개인키로 구성된 한 쌍의 키 값을 갖고 있다[2].
- com 암호화폐 거래소에서 비트코인을 구매한 다음 이 주소를 Unnamed List로 간주하여 Unnamed List에 추가하였다. 또한 우리가 비트코인을 보내는 주소를 Named List로 간주하여 Named List에 추가하였다. 이후 Unnamed List에서 Named List로 비트코인을 입금하였으며, 이 불법거래 내역이 발생하고 20초 뒤에 TxMon은 알람을 발생시켜 실시간 추적을 성공적으로 할 수 있음을 Fig.
- 이들 주소들은 불법거래를 제공하는 범죄자들의 비트코인 주소일 확률이 높다. 마지막으로 불법거래를 수행한 비트코인 주소 리스트와 함께 불법거래의 가능성이 높은 비트코인 주소를 Unnamed List로 모티터링하여 범죄자를 검거할 수 있는 단서를 제공한다. 범죄자를 검거하기 위해서는 Unnamed List를 관리하는 것 뿐만 아니라 탈익명화된 비트코인 주소들을 Named List4)에 추가한 후에 Unnamed List의 거래정보를 모니터링하다가 Named List와 거래를 수행할 때, 이를 포착한다면 Unnamed List의 해당 범죄자를 검거할 수 있다.
- TxMon의 분석 및 모니터링을 위한 입력값은 비트코인 주소로 Unnamed List와 Named List로 나뉜다. 먼저 Unnamed List를 위해 본 논문에서는 DPR이 소유한 비트코인 주소 리스트를 기반으로 진행되었다. DPR의 경우 FBI가 압수한 비트코인 주소에서 “DPR Seized Coins”으로 태그되어 있는 거래의 송신 주소들이다.
- 우리는 TxMon이 마이닝 풀과 최신 블록에서 Unnamed List가 Named List와 거래할 때, 이를 제대로 모니터링하는지 여부를 테스트하였다. 먼저 우리는 bithumb.com 암호화폐 거래소에서 비트코인을 구매한 다음 이 주소를 Unnamed List로 간주하여 Unnamed List에 추가하였다. 또한 우리가 비트코인을 보내는 주소를 Named List로 간주하여 Named List에 추가하였다.
- 비트코인은 P2P 기반으로 거래정보를 블록체인에 저장하고, 네트워크 참여자들이 PoW(Proof of Work, 작업증명) 합의 알고리즘에 따라 거래 내역이 포함된 블록의 유효성을 검증한다.
- ② DPR 주소로 비트코인을 송금한 비트코인 주소들은 DPR User(Silk Road 가입자)의 비트코인 주소로 DPR은 불법행위의 제공자, DPR User는 불법행위의 의뢰자가 된다. 실제로 DPR은 거래의 중개자로 불법행위의 제공자가 아니라고 볼 수도 있으나, 본 논문에서는 DPR을 불법행위를 돕는 서비스의 제공자, DPR User는 해당 서비스 이용자로 분류하였다.
- 우리가 제안하는 TxMon은 불법거래와 연관성이 높은 비트코인 주소를 예측하여 추가적으로 확보하고, 이를 불법거래로 의심되는 비트코인 주소와 함께 Unnamed List로 관리한다. 또한 TxMon은 Unnamed List를 실시간 모니터링하여 Unnamed List의 신원 추적 및 식별이 가능한 시점에는 TxMon 운영자가 해당 정보를 확인하고, 알람 기능을 제공한다.
- 우리는 DPR 사례를 통해 불법거래를 한 비트코인 주소를 식별하였을 때, 해당 비트코인 주소를 기반으로 불법거래로 의심되는 비트코인 주소를 추적하는 것이 가능한지 확인하였다.
- 우리는 이 논문에서 불법거래로 의심되는 비트코인 거래를 추적하고 모니터링하는 도구(TxMon)를 제안하였다. TxMon은 불법거래로 의심되는 비트코인 주소리스트를 기반으로 이들 주소의 거래 내역을 분석한다.
- 우리는 이러한 문제점을 해결하기 위해 다음과 같은 추론을 기반으로 불법거래와 연관성이 높은 비트코인 주소를 추적하였다. 첫째, 이미 불법거래로 식별된 비트코인 주소들은 소유자가 확인되어 탈익명화 되었으므로 다시 사용되지 않을 가능성이 높다는 점이다.
- info에서 실시간으로 제공하는 마이닝 풀의 거래내역을 보여주는 사이트를 후킹하였다. 이를 위해 Chrome 확장 프로그램으로 CSP(콘텐츠 보안 정책)를 사용 중지하고, 자바 스크립트 콜백 함수를 overwrite하였다. 보다 구체적으로, 우리는 미확인 거래내역(Unconfirmed Transaction)을 보여주는 사이트의 자바 스크립트를 분석하여 신규 거래내역이 추가될 때 수행되는 콜백 함수을 발견하였다.
- ⑥ Real DPR User의 거래내역을 바탕으로 불법거래의 가능성이 높은 비트코인 주소, 즉 후보군을 예측하고자 Real DPR User의 거래내역의 타게팅 조건을 다르게 실험하였다. 즉, 예측의 정확도를 높이기 위해 추적대상을 줄이는 작업을 실시하였다. Real DPR User의 월별 거래횟수가 일정기준 이상인 경우 코인 믹싱이나 시스템에서 자동적으로 생성되는 거래로 판단하여 분석 대상에서 제외하였다.
대상 데이터
- ① 우리는 blockchain.info에서 FBI가 DPR로부터 압수한 비트코인을 “DPR Seized Coins”으로 기록하여 송금한 주소인 “1FfmbHfnpaZjKFvyi1okTjJJusN455paPH”에서 DPR 리스트를 Fig. 5와 같이 추출하였으며, DPR 주소는 총 3,558개였다.
- 불법거래를 의뢰한 범죄자들의 비트코인 주소를 추출한 이후에는 해당 비트코인 주소에서 수행한 모든 거래 내역을 조회한다. 그리고 모든 거래 내역을 월별 기준으로 수신 주소 중 가장 많은 빈도수가 있는 비트코인 주소들을 선정한다. 그렇게 되면 불법거래를 의뢰하는 범죄자들이 공통적으로 거래를 많이 한 비트코인 주소들을 알 수 있다.
성능/효과
- DPR User가 동일한 DPR에게 월별 10건 이상의 거래를 하였다는 것은 Public DPR이 1회의 거래에만 사용되고 끝난 것이 아니기 때문에 Silk Road 내에서 공개된 비트코인 주소로 판단할 수 있고 그만큼 추적이 용이하기 때문이다. 3,538개의 DPR 주소 중에서 월별 10건 이상의 거래가 발생한 Public DPR은 총 65개였다. Fig.
- 또한 TxMon은 Unnamed List를 실시간 모니터링하여 Unnamed List의 신원 추적 및 식별이 가능한 시점에는 TxMon 운영자가 해당 정보를 확인하고, 범죄 수사를 진행할 수 있도록 알람 기능을 제공한다. TxMon의 유효성을 검증하기 위해서 우리는 DPR2)의 거래내역을 기반으로 평가를 진행한 결과, 불법거래로 추정되는 비트코인 주소 가운데 40%가 실제 DPR이었고, 재현율은 67%임을 확인할 수 있었다. 이와 같이 TxMon은 범죄혐의가 있는 비트코인 주소 리스트를 기반으로 해당 주소와 거래한 모든 비트코인 주소 중에서 범죄와 관련성이 높은 비트코인 주소를 추정하고, 이 주소와 관련된 거래를 지속적으로 추적하여 비트코인 범죄수사에 도움을 줄 수 있다.
- ② DPR 주소로 비트코인을 송금한 비트코인 주소들은 DPR User(Silk Road 가입자)의 비트코인 주소로 DPR은 불법행위의 제공자, DPR User는 불법행위의 의뢰자가 된다. 실제로 DPR은 거래의 중개자로 불법행위의 제공자가 아니라고 볼 수도 있으나, 본 논문에서는 DPR을 불법행위를 돕는 서비스의 제공자, DPR User는 해당 서비스 이용자로 분류하였다.
- 따라서 이들 비트코인 주소로부터 범죄 관련성이 높은 주소들을 추가적으로 식별해 추적할 수 있다면 범죄자를 검거하거나 추가 범죄를 예방할 수 있다. 둘째, 마약과 같은 불법거래는 사용자들의 중독성으로 인해 주기적으로 비트코인 거래가 발생한다는 점이다. 불법거래를 하는 사용자들이 주기적으로 비슷한 거래를 한다면, 이로부터 아직 식별되지 않은 불법거래를 추정할 수 있다.
- 2에서 설명한 빈도수의 조건을 부여하였을 경우에는 DPR이 포함되는 확률이 점차 개선되는 것을 볼 수 있다. 분석결과 월별 DPR User의 거래횟수가 10보다 큰 것을 제외하였을 때, 40%의 확률로 가장 많은 DPR을 포함하는 것을 알수 있었다.
- 앞에서 가장 높은 정확성을 보인 10건 이하의 거래를 발생하는 Real DPR User를 기준으로 수신자의 월별 빈도수를 증가(count(receiver)>1, 5, 10)시키면서 재현율을 측정할 때, Fig. 10에서와 같이 수신자의 월별 빈도수가 10 이상인 경우에 재현율이 66.53%로 가장 높은 것을 알 수 있었다.
- 11에서 보는 바와 같이 정확성은 떨어졌지만 재현율은 더 높아진 것을 알 수 있었다. 우리가 DPR이 검거된 이후의 정보에 대해서 정확히 알 수 없다고 하더라도 TxMon은 DPR User의 거래내역으로부터 불법거래를 예측하고, 후보군을 모니터링할 수 있었으며, 연도별 추이에서 Fig. 11이 보여주는 것처럼 지속적으로 DPR을 포함하고 있는 것을 알 수 있었다. 추출된 DPR의 정확도는 2013년 40%보다 더 떨어졌지만, 재현율이 더 올라간 것은 2013년 DPR 체포 이후로 DPR의 비트코인 주소가 줄어들었기 때문이다.
- 우리는 DPR이 2013년 10월 체포된 이후에도 FBI 주소에서 “DPR Seized Coins”이 지속적으로 압수되는 것을 확인할 수 있었으며, 해당하는 비트코인 주소를 추출하였다.
- 또한 TxMon은 Unnamed List를 실시간 모니터링하여 Unnamed List의 신원 추적 및 식별이 가능한 시점에는 TxMon 운영자가 해당 정보를 확인하고, 알람 기능을 제공한다. 우리는 TxMon의 유효성을 검증하기 위해서 DPR 사례의 거래내역을 기반으로 평가를 진행하였으며, 불법거래로 추정되는 비트코인 주소 가운데 40%가 실제 DPR이었고, 재현율은 67%임을 확인할 수 있었다. 또한 실제로 비트코인을 송금하였을 때, TxMon은 마이닝 풀에서 해당 거래내역을 탐지하여 실시간 알람을 발생시켰다.
- 우리는 이러한 문제점을 해결하기 위해 다음과 같은 추론을 기반으로 불법거래와 연관성이 높은 비트코인 주소를 추적하였다. 첫째, 이미 불법거래로 식별된 비트코인 주소들은 소유자가 확인되어 탈익명화 되었으므로 다시 사용되지 않을 가능성이 높다는 점이다. 따라서 이들 비트코인 주소로부터 범죄 관련성이 높은 주소들을 추가적으로 식별해 추적할 수 있다면 범죄자를 검거하거나 추가 범죄를 예방할 수 있다.
- 만약 다른 불법 커뮤니티의 비트코인 거래 내역이 Silk Road의 비트코인 거래 내역과 차이가 있다면, 정확성과 재현율을 높이기 위한 데이터 필터링 조건의 수정이 필요하다. 하지만 본 논문이 제안하는 프로세스를 따라서 Real User를 추출하고 불법거래의 가능성이 높은 후보군을 찾아서 모니터링하는 접근방식은 여전히 유효할 것이다. 만약 다른 불법 커뮤니티 사례를 추가로 확보한다면, 이 논문에서 고려하지 못한 데이터의 특성이나 패턴을 찾을 수 있고, 이를 TxMon에 반영하여 프로세스를 개선할 수 있다.
후속연구
- 실질적으로 TxMon을 운영하기 위해서는 충분한 Named List를 확보하고 불법 거래의 가능성이 높은 비트코인을 Unnamed List로 지속적으로 추가할 때, 불법거래 추적의 가능성을 높일 것이다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.