一种基于无监督学习技术的数字货币交易溯源方法和装置

1.本发明涉及计算机技术领域，特别是指一种基于无监督学习技术的数字货币交易溯源方法和装置。


背景技术：

2.作为区块链思想的最初实现，以数字货币为首的数字货币发展迅速，交易规模不断攀升，同时，数字货币的去中心化特点和匿名性质，以及它允许用户在世界任何地方即时发送资金的便利性，为犯罪分子进行洗钱、黑市交易等违法行为提供了可乘之机，因此对非法数字货币，尤其是数字货币的交易溯源技术的研究十分有必要。
3.现有的数字货币交易溯源技术主要分为两个研究方向：交易层溯源技术和网络层溯源技术。交易层溯源技术是指通过对交易记录的分析，发现匿名交易地址之间的某种关系，如：“共同输入，找零地址”，利用启发式对可能属于同一实体的匿名地址进行聚类，或通过观察交易行为，实现符合特定模式的交易聚类。这种溯源技术只能实现同一实体的地址聚类，无法获得该实体的真实身份信息。
4.网络层溯源技术是指通过搜集数字货币网络层流量的信息，分析交易在网络中的传播路径，建立交易与产生该交易的节点ip之间的映射。
5.现有技术的一种利用无监督学习的网络层溯源技术中，基于路由攻击的方法，利用as级别的监听者，以一种不被察觉的方式截取目标节点发送的数据包，并采用了一种无监督学习算法-隔离森林，对目标节点创建的交易进行检测。实验表明，截取了50％的目标节点连接的as级攻击者可以以90％的召回率和0.003％的假阳性率对目标节点创建的交易进行去匿名化。
6.在现有的数字货币溯源技术中，交易层溯源技术仅实现可能属于同一实体的交易地址聚类，无法获得数字货币匿名用户的身份信息，去匿名化程度不够；而基于无监督学习的溯源技术主要利用网络流量分析和异常检测算法识别节点创建的交易，也存在溯源精度低的问题，另外检测数据中可能存在多种异常行为，这种目标行为之外的异常作为噪声数据，基于单纯的无监督学习的检测算法无法将其与目标行为进行区分。


技术实现要素：

7.有鉴于此，本发明的目的在于提出一种基于无监督学习技术的数字货币交易溯源方法和装置，相比于现有的基于无监督学习的溯源技术，能提高数字货币交易溯源精度。
8.基于上述目的，本发明提供一种基于无监督学习技术的数字货币交易溯源方法，包括：
9.截获目标节点与其对等节点之间发送或接收的数字货币交易流量；
10.针对截获的流量所涉及的每笔数字货币交易，统计所述目标节点发送的交易广播消息、接收的交易请求消息的数量，并根据统计的消息的数量构建该笔数字货币交易的特征向量；
11.对于各笔数字货币交易的特征向量，运用无监督异常检测算法进行异常检测；
12.根据异常检测结果，溯源每笔数字货币交易是否为所述目标节点创建。
13.可选的，在所述运用无监督异常检测算法进行异常检测后，还包括：
14.对异常检测结果中的各笔数字货币交易，进行流量的时序关系分析，识别并过滤出所述目标节点的转发交易后，得到经过过滤的异常检测结果；以及
15.所述根据异常检测结果，溯源每笔数字货币交易是否为所述目标节点创建，具体包括：
16.将经过过滤的异常检测结果中的各笔数字货币交易，识别为所述目标节点创建的数字货币交易。
17.可选的，所述统计所述目标节点发送的交易广播消息、接收的交易请求消息的数量，并根据统计的消息的数量构建该笔数字货币交易的特征向量，具体包括：
18.构建的该笔数字货币交易的特征向量包括：inv_num，getdata_num，ratio，sum；
19.其中，inv_num，getdata_num分别表示针对该笔数字货币交易统计出的目标节点发送的交易广播消息的数量、接收的交易请求消息的数量，ratio表示inv_num与getdata_num之比，sum表示inv_num与getdata_num之和。
20.可选的，在所述构建该笔数字货币交易的特征向量后，还包括：
21.对所述特征向量进行扩充：
22.将通过无监督学习算法计算出的所述特征向量的输出概率扩充到所述特征向量后，得到扩充后的特征向量。
23.可选的，所述对异常检测结果中的各笔数字货币交易，进行流量的时序关系分析，利用启发式识别并过滤出所述目标节点的转发交易，具体包括：
24.对于包含同一交易哈希值的所述目标节点发送和接收的交易广播消息，若分析出接收的交易广播消息早于发送的交易广播消息，则识别该交易哈希值所对应的数字货币交易，为所述目标节点的转发交易；
25.对于包含同一交易哈希值的所述目标节点发送和接收的交易请求消息，若分析出发送的交易请求消息早于接收的交易请求消息，则识别该交易哈希值所对应的数字货币交易，为所述目标节点的转发交易；
26.对于包含同一交易哈希值的所述目标节点发送的交易广播消息和交易请求消息，若分析出发送的交易请求消息早于发送的交易广播消息，则识别该交易哈希值所对应的数字货币交易，为所述目标节点的转发交易。
27.可选的，所述对于各笔数字货币交易的特征向量，运用无监督异常检测算法进行异常检测，具体包括：
28.对于各笔数字货币交易的特征向量，运用基于无监督学习的隔离森林异常检测算法进行异常检测。
29.可选的，所述对于各笔数字货币交易的特征向量，运用基于无监督学习的隔离森林异常检测算法进行异常检测，具体包括：
30.基于各笔数字货币交易的特征向量，构建若干二叉搜索树，组成隔离森林；
31.针对每笔数字货币交易的特征向量，将该笔数字货币交易的特征向量在所述隔离森林的每个二叉搜索树进行遍历；并
32.针对每个二叉搜索树，确定该特征向量在该二叉搜索树所在位置到根节点的路径长度；
33.根据在每个二叉搜索树中确定的路径长度，计算该特征向量的异常得分；
34.根据所述异常得分判断该该笔数字货币交易是否异常，并将异常的数字货币交易添加到异常集合中输出。
35.本发明还提供一种基于无监督学习技术的数字货币交易溯源装置，包括：
36.流量获取模块，用于截获目标节点发送或接收的数字货币交易流量；
37.特征向量构建模块，用于针对截获的流量所涉及的每笔数字货币交易，统计所述目标节点发送的交易广播消息、接收的交易请求消息的数量，并根据统计的消息的数量构建该笔数字货币交易的特征向量；
38.异常检测模块，用于对于各笔数字货币交易的特征向量，运用无监督异常检测算法进行异常检测；
39.交易溯源模块，用于根据异常检测结果，溯源每笔数字货币交易是否为所述目标节点创建。
40.本发明还提供一种电子设备，包括中央处理单元、信号处理和存储单元，以及存储在信号处理和存储单元上并可在中央处理单元上运行的计算机程序，其中，所述中央处理单元执行如上所述的基于无监督学习技术的数字货币交易溯源方法。
41.本发明的技术方案中，截获目标节点与其对等节点之间发送或接收的数字货币交易流量；针对截获的流量所涉及的每笔数字货币交易，统计所述目标节点发送的交易广播消息、接收的交易请求消息的数量，并根据统计的消息的数量构建该笔数字货币交易的特征向量；对于各笔数字货币交易的特征向量，运用无监督异常检测算法进行异常检测；根据异常检测结果，溯源每笔数字货币交易是否为所述目标节点创建。
42.由于基于广播与请求消息数量构建的特征向量，可以反映创建的交易与转发的交易之间的显著差异，因此利用构建的特征向量，通过基于无监督学习的无监督异常检测算法进行目标节点创建交易与转发交易的识别，相比于现有的基于无监督学习的溯源技术，能大大提高数字货币交易溯源精度。
43.此外，基于无监督异常检测的检测算法，针对目标节点能够从该节点广播出的交易中识别出疑似目标节点自身创建的交易，缩小交易检测的匿名集大小；亦即，利用隔离森林算法构建异常检测模型，能够基于无监督学习实现粗粒度的异常样本点识别，即可疑的节点自身创建交易的检测。
44.进一步，本发明技术方案，在无监督异常检测算法的粗粒度的识别基础上，还对交易在数字货币网络中传播的时序关系进行了分析，提出了基于启发式判断的节点转发交易识别方法，即消除无监督异常检测算法的识别结果中的噪声方法，从初步的无监督异常检测算法的异常检测结果中识别并过滤可能存在的节点转发交易，更进一步提高节点自创建的交易的识别度，即更进一步提高数字货币交易溯源精度。
附图说明
45.为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本
发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
46.图1为现有技术的数字货币网络中交易广播与请求过程的示意图；
47.图2为本发明实施例提供的基于无监督学习技术的数字货币交易溯源方法流程图；
48.图3为本发明实施例提供的截获数字货币交易流量的示意图；
49.图4为本发明实施例提供的一种基于无监督学习的隔离森林异常检测算法进行异常检测的方法流程图；
50.图5为本发明实施例提供的一种基于无监督学习技术的数字货币交易溯源装置的内部结构框图；
51.图6为本发明实施例提供的一种基于无监督学习技术的数字货币交易溯源方法的实验结果示意图；
52.图7为本发明实施例提供的一种电子设备硬件结构示意图。
具体实施方式
53.为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明进一步详细说明。
54.需要说明的是，除非另外定义，本发明实施例使用的技术术语或者科学术语应当为本公开所属领域内具有一般技能的人士所理解的通常意义。本公开中使用的“第一”、“第二”以及类似的词语并不表示任何顺序、数量或者重要性，而只是用来区分不同的组成部分。“包括”或者“包含”等类似的词语意指出现该词前面的元件或者物件涵盖出现在该词后面列举的元件或者物件及其等同，而不排除其他元件或者物件。“连接”或者“相连”等类似的词语并非限定于物理的或者机械的连接，而是可以包括电性的连接，不管是直接的还是间接的。“上”、“下”、“左”、“右”等仅用于表示相对位置关系，当被描述对象的绝对位置改变后，则该相对位置关系也可能相应地改变。
55.本发明的发明人考虑到，当节点进行数字货币交易，即将本节点拥有的数字货币发送到接收方的数字货币地址时，需要在对等网络中广播这笔交易，网络中的其它节点会对这笔交易进行转发和验证，最终这笔交易被添加到区块链“账本”中。
56.如图1所示，当节点创建或收到一笔新的交易后，会将该笔交易的哈希值包含在交易广播消息(比如inv消息)中发送给网络中的对等节点，首次接收到该交易的对等节点会返回包含该笔交易的哈希值的交易请求消息(比如getdata消息)来请求完整交易信息，最后，节点会发送交易响应信息(比如tx消息)来响应来自对等节点的交易请求消息。
57.通过对数字货币流量的分析，发明人观察到：相比于转发交易，节点自身创建的交易的传播模式更为独特，因此，本发明技术方案利用节点创建交易与转发交易在广播与请求消息数量上的显著差异构建特征向量；
58.也就是说，相比于转发交易，数字货币节点自身创建交易在网络层中传播时的表现更为异常，这种异常主要体现在交易广播消息和请求消息的数量上，因此，本发明技术方案基于这种异常表现，从网络流量中提取特征值，构建特征向量与空间。
59.基于上述的分析，本发明的技术方案中，截获目标节点与其对等节点之间发送或
接收的数字货币交易流量；针对截获的流量所涉及的每笔数字货币交易，统计所述目标节点发送的交易广播消息、接收的交易请求消息的数量，并根据统计的消息的数量构建该笔数字货币交易的特征向量；对于各笔数字货币交易的特征向量，运用无监督异常检测算法进行异常检测；根据异常检测结果，溯源每笔数字货币交易是否为所述目标节点创建。
60.由于基于广播与请求消息数量构建的特征向量，可以反映创建的交易与转发的交易之间的显著差异，因此利用构建的特征向量，通过基于无监督学习的无监督异常检测算法进行目标节点创建交易与转发交易的识别，相比于现有的基于无监督学习的溯源技术，能大大提高数字货币交易溯源精度。
61.下面结合附图详细说明本发明实施例的技术方案。
62.本发明实施例提供的一种基于无监督学习技术的数字货币交易溯源方法，流程如图2所示，包括如下步骤：
63.步骤s201：截获目标节点与其对等节点之间发送或接收的数字货币交易流量。
64.具体地，可以如图3所示，依赖as(自治域)或ixp(互联网交换中心)级别的攻击者捕获数字货币交易流量，他们在数字货币网络(比如比特币网络)中担任托管不同节点的主机之间的中间人角色，可以在不被察觉的情况下截获数字货币网络(比如比特币网络)中位于不同as中的数字货币节点(比如比特币节点)之间的流量；即攻击者在截获目标节点与其部分对等节点连接的情况进行流量采集。
65.也就是说，可以在目标节点所在自治域的入口或出口网关处，截获目标节点发送或接收的网络层的数字货币交易流量。
66.步骤s202：针对截获的流量所涉及的每笔数字货币交易，构建该笔数字货币交易的特征向量。
67.本步骤中，针对截获的流量所涉及的每笔数字货币交易，统计所述目标节点发送的交易广播消息、以及收到的交易请求消息的数量，并根据统计的消息的数量构建该笔数字货币交易的特征向量。
68.具体地，针对截获的流量，分析流量中出现的数字货币消息类型，主要关注三种消息类型：交易广播消息、交易请求消息，tx消息；并从这些类型的消息中解析出交易的哈希值。相同哈希值的消息属于同一笔数字货币交易。从消息中解析出交易的哈希值后，建立该交易的哈希值与该消息的对应关系；基于交易的哈希值与消息的对应关系，可以统计出所述流量中每一个交易的哈希值所对应的目标节点发送的交易广播消息的数量，以及每一个交易的哈希值所对应的目标节点收到的交易请求消息的数量，即针对截获的流量所涉及的每笔数字货币交易，统计出所述目标节点发送的交易广播消息、收到的交易请求消息的数量。
69.对于一笔数字货币交易，节点发送的交易广播消息数量inv_num，相比于转发的交易，节点会将自身创建的交易广播给更多的对等节点；
70.对于一笔数字货币交易，节点收到的交易请求消息数量getdata_num，对等节点只会对自己从未收到过的交易发送交易请求消息，相比于转发的交易，更多的对等节点会向节点请求其自身创建的交易。
71.对于一笔数字货币交易，节点收到的交易请求消息数量getdata_num与发送的交易广播消息数量inv_num之比ratio，即一笔交易的广播数量与请求数量之比，相比于转发
交易，节点自身创建的交易应具有更高的请求广播比，即请求/广播。
72.对于一笔数字货币交易，节点发送的交易广播消息数量与收到的交易请求消息数量之和sum，相比于转发的交易，节点自身创建的交易具有更高的消息数量之和。
73.由此，在示例性的实施例中，基于针对一笔数字货币交易统计出的目标节点发送的交易广播消息、接收的交易请求消息的数量，构建的该笔数字货币交易的特征向量可以包括：inv_num，getdata_num，ratio，sum；
74.其中，inv_num，getdata_num分别表示针对该笔数字货币交易统计出的目标节点发送的交易广播消息的数量、接收的交易请求消息的数量，ratio表示inv_num与getdata_num之比，sum表示inv_num与getdata_num之和。
75.即构建的特征向量x＝[inv_num，getdata_num，ratio，sum]；
[0076]
其中n表示所述流量涉及的数字货币交易的数量，d表示特征向量x中的特征值数量，表示n
×
d大小的实数矩阵空间。
[0077]
作为一种更优的实施方式，还可对所述特征向量进行扩充：利用无监督表示学习，将特征向量x通过无监督学习算法(比如，隔离森林isolation forest算法)计算的输出概率score(x)扩充到特征向量中，得到扩充后的特征向量x_new；也就是说，将通过无监督学习算法计算出的所述特征向量的输出概率扩充到所述特征向量后，得到扩充后的特征向量。
[0078]
即扩充后的特征向量x_new＝[x，score(x)]＝[inv_num，getdata_num，ratio，sum，score(x)]；
[0079][0080]
步骤s203：对于各笔数字货币交易的特征向量，运用无监督异常检测算法进行异常检测；
[0081]
本步骤中，对于各笔数字货币交易的特征向量，可以运用现有的无监督异常检测算法进行异常检测；比如，运用基于无监督学习的隔离森林异常检测算法进行异常检测，或者运用基于无监督学习的单分类支持向量机异常检测算法进行异常检测，或者运用基于无监督学习的自编码器异常检测算法进行异常检测。
[0082]
在一个示例性的实施例中，对于各笔数字货币交易的特征向量(或扩充后的特征向量)，运用基于无监督学习的隔离森林异常检测算法进行异常检测，具体方法流程，如图4所示，包括如下子步骤：
[0083]
子步骤s401：基于各笔数字货币交易的特征向量，构建若干二叉搜索树，组成隔离森林；
[0084]
本子步骤中，将各笔数字货币交易的特征向量(或扩充后的特征向量)分为若干个子数据集，用以分别构建若干个二叉搜索树：在使用一个子数据集构建一个二叉搜索树的过程如下：
[0085]
从子数据集中的各特征向量获取第i个特征值，使用获取的各特征值递归地构建二叉搜索树：在构建的二叉搜索树中，将小于当前根结点的特征值放入左孩子节点，将大于当前根结点的特征值放入右孩子结点，直到二叉搜索树到达指定高度或仅剩一个特征值；在构建的二叉搜索树中，特征值所在节点对应于该特征值所属特征向量；其中，i为大于0、
小于n的随机数，n为特征向量中特征值的总数。
[0086]
由构建的若干二叉搜索树组成隔离森林。
[0087]
子步骤s402：针对每笔数字货币交易的特征向量，将该笔数字货币交易的特征向量在所述隔离森林的每个二叉搜索树进行遍历，确定该特征向量在二叉搜索树所在位置到根节点的路径长度；
[0088]
本子步骤中，针对一笔数字货币交易的特征向量(或扩充后的特征向量)，对于当前待遍历的二叉搜索树，从所述特征向量中获取第j个特征值，使用第j个特征值在该二叉搜索树中遍历，确定该特征值插入该二叉搜索树的节点，进而确定该节点到该二叉搜索树的根节点的路径长度；其中，该二叉搜索树是根据各笔数字货币交易的特征向量中的第j个特征值构建的。
[0089]
子步骤s403：根据在每个二叉搜索树中确定的路径长度，计算该特征向量的异常得分；
[0090]
本子步骤中，对于一笔数字货币交易的特征向量(或扩充后的特征向量)，在每个二叉搜索树中在确定所述特征向量的路径长度后，运用统计学方法计算平均路径长度；进而根据计算的平均路径长度，确定该笔数字货币交易的特征向量的异常得分。通常而言，平均路径长度越大，异常得分则越多。
[0091]
子步骤s404：根据所述异常得分判断该笔数字货币交易是否异常，并将异常的数字货币交易添加到异常集合中输出。
[0092]
本子步骤中，若该笔数字货币交易的特征向量(或扩充后的特征向量)的异常得分大于设定阈值，则判断该笔数字货币交易异常，并将判断为异常的数字货币交易添加到异常集合中；
[0093]
将异常集合作为异常检测结果输出。
[0094]
步骤s204：根据异常检测结果，溯源每笔数字货币交易是否为所述目标节点创建。
[0095]
本步骤中，可以将异常检测结果中的数字货币交易，溯源为所述目标节点创建的，即识别为所述目标节点创建的交易。
[0096]
作为一种更优的实施方式，可以将运用无监督异常检测算法得到异常检测结果作为粗粒度的异常交易识别，即可疑异常交易，即疑似的目标节点创建的交易；进而对异常检测结果中的各笔数字货币交易，基于启发式判断进行节点转发交易识别，即对异常检测结果中的各笔数字货币交易，进行流量的时序关系分析，识别并过滤出所述目标节点的转发交易：
[0097]
对于包含同一交易哈希值的所述目标节点发送和接收的交易广播消息，若分析出接收的交易广播消息早于发送的交易广播消息，则识别该交易哈希值所对应的数字货币交易，为所述目标节点的转发交易；
[0098]
对于包含同一交易哈希值的所述目标节点发送和接收的交易请求消息，若分析出发送的交易请求消息早于接收的交易请求消息，则识别该交易哈希值所对应的数字货币交易，为所述目标节点的转发交易；
[0099]
对于包含同一交易哈希值的所述目标节点发送的交易广播消息和交易请求消息，若分析出发送的交易请求消息早于发送的交易广播消息，则识别该交易哈希值所对应的数字货币交易，为所述目标节点的转发交易。
[0100]
将识别出的转发交易从异常检测结果中过滤出来，从而提高根据异常检测结果，进行交易溯源的精确率。
[0101]
基于上述的基于无监督学习技术的数字货币交易溯源方法，本发明实施例提供的一种基于无监督学习技术的数字货币交易溯源装置，其内部结构如图5所示，包括：流量获取模块501、特征向量构建模块502、交易溯源模块503；
[0102]
其中，流量获取模块501用于截获目标节点与其对等节点之间发送或接收的数字货币交易流量；
[0103]
特征向量构建模块502用于针对截获的流量所涉及的每笔数字货币交易，统计所述目标节点发送的交易广播消息、接收交易请求消息的数量，并根据统计的消息的数量构建该笔数字货币交易的特征向量；
[0104]
更优地，特征向量构建模块502还可对所述特征向量进行扩充：将通过无监督学习算法计算出的所述特征向量的输出概率扩充到所述特征向量后，得到扩充后的特征向量。
[0105]
交易溯源模块503用于对于特征向量构建模块502构建的各笔数字货币交易的特征向量，运用无监督异常检测算法进行异常检测；根据异常检测结果，溯源每笔数字货币交易是否为所述目标节点创建，即识别该笔数字货币交易是否为所述目标节点创建；
[0106]
更优地，交易溯源模块503在对于各笔数字货币交易的特征向量，运用无监督异常检测算法进行异常检测后，对异常检测结果中的各笔数字货币交易，进行流量的时序关系分析，识别并过滤出所述目标节点的转发交易后，将经过过滤的异常检测结果中的各笔数字货币交易，溯源为所述目标节点创建的，即将上述交易识别为所述目标节点创建的交易。
[0107]
上述的基于无监督学习技术的数字货币交易溯源装置中各模块的功能的实现方法可参考上述图2、4所示流程各步骤中的方法，此处不再赘述。
[0108]
本发明的基于无监督学习技术的数字货币交易溯源技术，操作难度低，不需要部署大量的探针节点，溯源代价以及对计算机网络资源的消耗非常低，该技术利用节点自身创建交易与转发交易在流量和网络消息数量上的差异构建特征空间，并通过无监督表示学习增强特征向量的表示，同时相比于单纯的无监督方法，与基于时序分析的启发式的结合起到了很好的降噪效果，能够有效提高溯源精度。使用本发明的溯源方法，即使只采集目标节点与其一半或者更少对等节点之间的连接(connections)下的流量，也能以85％以上的精确率(precision)和100％的召回率(recall)对目标节点创建的交易进行识别，如图6所示。其中，本方法的评估指标定义如下：
[0109][0110][0111][0112]
图7示出了本实施例所提供的一种更为具体的电子设备硬件结构示意图，该设备可以包括：处理器1010、存储器1020、输入/输出接口1030、通信接口1040和总线1050。其中
处理器1010、存储器1020、输入/输出接口1030和通信接口1040通过总线1050实现彼此之间在设备内部的通信连接。
[0113]
处理器1010可以采用通用的cpu(central processing unit，中央处理器)、微处理器、应用专用集成电路(application specific integrated circuit，asic)、或者一个或多个集成电路等方式实现，用于执行相关程序，以实现本说明书实施例所提供的基于无监督学习技术的数字货币交易溯源方法。
[0114]
存储器1020可以采用rom(read only memory，只读存储器)、ram(random access memory，随机存取存储器)、静态存储设备，动态存储设备等形式实现。存储器1020可以存储操作系统和其他应用程序，在通过软件或者固件来实现本说明书实施例所提供的技术方案时，相关的程序代码保存在存储器1020中，并由处理器1010来调用执行。
[0115]
输入/输出接口1030用于连接输入/输出模块，可以与非线性接收机相连，从非线性接收机接收信息，实现信息输入及输出。输入输出/模块可以作为组件配置在设备中(图中未示出)，也可以外接于设备以提供相应功能。其中输入设备可以包括键盘、鼠标、触摸屏、麦克风、各类传感器等，输出设备可以包括显示器、扬声器、振动器、指示灯等。
[0116]
通信接口1040用于连接通信模块(图中未示出)，以实现本设备与其他设备的通信交互。其中通信模块可以通过有线方式(例如usb、网线等)实现通信，也可以通过无线方式(例如移动网络、wifi、蓝牙等)实现通信。
[0117]
总线1050包括一通路，在设备的各个组件(例如处理器1010、存储器1020、输入/输出接口1030和通信接口1040)之间传输信息。
[0118]
需要说明的是，尽管上述设备仅示出了处理器1010、存储器1020、输入/输出接口1030、通信接口1040以及总线1050，但是在具体实施过程中，该设备还可以包括实现正常运行所必需的其他组件。此外，本领域的技术人员可以理解的是，上述设备中也可以仅包含实现本说明书实施例方案所必需的组件，而不必包含图中所示的全部组件。
[0119]
本发明的技术方案中，截获目标节点与其对等节点之间发送或接收的数字货币交易流量；针对截获的流量所涉及的每笔数字货币交易，统计所述目标节点发送的交易广播消息、接收的交易请求消息的数量，并根据统计的消息的数量构建该笔数字货币交易的特征向量；对于各笔数字货币交易的特征向量，运用无监督异常检测算法进行异常检测；根据异常检测结果，溯源每笔数字货币交易是否为所述目标节点创建。
[0120]
由于基于广播与请求消息数量构建的特征向量，可以反映数字货币网络中节点创建的交易与转发的交易之间的显著差异，因此利用构建的特征向量，通过基于无监督学习的无监督异常检测算法进行目标节点创建交易与转发交易的识别，相比于现有的基于无监督学习的溯源技术，能大大提高数字货币交易溯源精度。
[0121]
此外，基于无监督异常检测的检测算法，针对目标节点能够从该节点广播出的交易中识别出疑似目标节点自身创建的交易，缩小交易检测的匿名集大小；亦即，利用隔离森林算法构建异常检测模型，能够基于无监督学习实现粗粒度的异常样本点识别，即可疑的节点自身创建交易的检测。
[0122]
进一步，本发明技术方案，在无监督异常检测算法的粗粒度的识别基础上，还对交易在数字货币网络中传播的时序关系进行了分析，提出了基于启发式判断的节点转发交易识别方法，即消除无监督异常检测算法的识别结果的噪声方法，从初步的无监督异常检测
算法的异常检测结果中识别并过滤可能存在的节点转发交易，更进一步提高节点自创建的交易的识别度，即更进一步提高数字货币交易溯源精度。
[0123]
本实施例的计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(pram)、静态随机存取存储器(sram)、动态随机存取存储器(dram)、其他类型的随机存取存储器(ram)、只读存储器(rom)、电可擦除可编程只读存储器(eeprom)、快闪记忆体或其他内存技术、只读光盘只读存储器(cd-rom)、数字多功能光盘(dvd)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。
[0124]
所属领域的普通技术人员应当理解：以上任何实施例的讨论仅为示例性的，并非旨在暗示本公开的范围(包括权利要求)被限于这些例子；在本发明的思路下，以上实施例或者不同实施例中的技术特征之间也可以进行组合，步骤可以以任意顺序实现，并存在如上所述的本发明的不同方面的许多其它变化，为了简明它们没有在细节中提供。
[0125]
另外，为简化说明和讨论，并且为了不会使本发明难以理解，在所提供的附图中可以示出或可以不示出与集成电路(ic)芯片和其它部件的公知的电源/接地连接。此外，可以以框图的形式示出装置，以便避免使本发明难以理解，并且这也考虑了以下事实，即关于这些框图装置的实施方式的细节是高度取决于将要实施本发明的平台的(即，这些细节应当完全处于本领域技术人员的理解范围内)。在阐述了具体细节(例如，电路)以描述本发明的示例性实施例的情况下，对本领域技术人员来说显而易见的是，可以在没有这些具体细节的情况下或者这些具体细节有变化的情况下实施本发明。因此，这些描述应被认为是说明性的而不是限制性的。
[0126]
尽管已经结合了本发明的具体实施例对本发明进行了描述，但是根据前面的描述，这些实施例的很多替换、修改和变型对本领域普通技术人员来说将是显而易见的。例如，其它存储器架构(例如，动态ram(dram))可以使用所讨论的实施例。
[0127]
本发明的实施例旨在涵盖落入所附权利要求的宽泛范围之内的所有这样的替换、修改和变型。因此，凡在本发明的精神和原则之内，所做的任何省略、修改、等同替换、改进等，均应包含在本发明的保护范围之内。