Graphmetriken und Muster

Sobald Sie einen Transaktionsgraphen haben, benötigen Sie Möglichkeiten, darin das Wesentliche zu erkennen, ohne Tausende von Kanten von Hand zu prüfen. Graphmetriken fassen zusammen, wie sich jeder Knoten verhält, und wiederkehrende Formen wie Peel-Ketten, Fan-outs und Zyklen weisen auf bestimmte Aktivitäten hin: Auszahlungen, die Verteilung gestohlener Gelder, Layering oder künstliches Volumen. In dieser Lektion geht es um die Metriken und Muster, die Analysten am häufigsten verwenden, wie sie berechnet werden und warum keines davon für sich allein ein Beweis ist.

Grad und Wertfluss

Die einfachsten Metriken sind Zählwerte und Summen pro Knoten, berechnet über ein festgelegtes Zeitfenster und für einen einzelnen Vermögenswert:

• Eingangsgrad: Anzahl der verschiedenen Gegenparteien, die an den Knoten gesendet haben. Ausgangsgrad: Anzahl der Gegenparteien, an die er gesendet hat.
• Gewichteter Grad: insgesamt empfangener und gesendeter Wert.
• Durchlaufquote: ausgehender Wert ÷ eingehender Wert innerhalb des Zeitfensters. Eine Quote nahe 1 in Verbindung mit einer kurzen Haltedauer kennzeichnet eine Zwischenadresse, die empfangene Werte weiterleitet, anstatt sie zu behalten.
• Aktivitätszeitraum und Haltedauer: erste und letzte Aktivität sowie die Zeit zwischen Empfang und Versand.

Diese Metriken allein können viele Rollen voneinander unterscheiden. Eine persönliche Wallet hat einen niedrigen Grad und hält Gelder wochenlang. Eine Einzahlungsadresse einer Börse weist einige Zuflüsse von verschiedenen Absendern und Abflüsse zu einem Ziel auf, der Sweep-Wallet der Börse. Eine Hot Wallet hat Ein- und Ausgangsgrade im Zehntausenderbereich. Eine Geldwäsche-Zwischenadresse hat oft einen Eingangsgrad von 1, einen Ausgangsgrad von 2 bis 20, eine Durchlaufquote nahe 1 und eine Haltedauer von Minuten.

Die folgende Abfrage erstellt dieses Profil für einen Monat mit Kanten der nativen Kryptowährung und verwendet dabei die Kantenliste aus der Lektion Transaktionsgraphen: Knoten, Kanten und Richtung.

WITH io AS (                                   -- eine Zeile pro Seite jeder Kante
  SELECT dst AS address, src AS peer, amount AS amt_in, 0 AS amt_out, block_timestamp AS ts
  FROM edges WHERE asset = 'ETH'
  UNION ALL
  SELECT src, dst, 0, amount, block_timestamp
  FROM edges WHERE asset = 'ETH'
)
SELECT address,
       COUNT(DISTINCT CASE WHEN amt_in  > 0 THEN peer END) AS in_degree,
       COUNT(DISTINCT CASE WHEN amt_out > 0 THEN peer END) AS out_degree,
       SUM(amt_in) AS value_in,
       SUM(amt_out) AS value_out,
       SUM(amt_out) / NULLIF(SUM(amt_in), 0) AS pass_through,
       MIN(ts) AS first_seen, MAX(ts) AS last_seen
FROM io
WHERE ts >= TIMESTAMP '2026-03-01' AND ts < TIMESTAMP '2026-04-01'
GROUP BY address
HAVING COUNT(DISTINCT CASE WHEN amt_out > 0 THEN peer END) >= 20;

Die CTE wandelt jede Kante in zwei Zeilen um, eine für den Empfänger und eine für den Absender, sodass eine einzige GROUP BY-Klausel beide Richtungen liefert. NULLIF vermeidet eine Division durch null bei Adressen, die nur senden. Die HAVING-Klausel behält Knoten mit ausgeprägtem Fan-out bei. Beachten Sie, dass der Zeitfilter nur für die Aktivitäten jedes Knotens innerhalb des Zeitfensters gilt: Eine im Februar finanzierte Adresse weist im März eine Durchlaufquote weit über 1 auf.

Zentralität

Zentralität misst, wie wichtig ein Knoten für die Struktur des Graphen ist, nicht nur, wie aktiv er ist.

In einem Untersuchungs-Teilgraphen ist eine Adresse mit hoher Betweenness, aber mäßigem Grad oft der interessanteste Knoten: der Sammelpunkt, zu dem jeder Verteilungspfad zurückführt, oder die einzige Brücke zwischen einem Diebstahl-Cluster und den Börsen, über die die Gelder ausgezahlt wurden. Berechnen Sie die Zentralität auf einem eingegrenzten Teilgraphen, wobei Dienste als Endpunkte behandelt werden. Auf der gesamten Blockchain dominieren Börsen und beliebte Verträge jedes Ranking und liefern keine neuen Erkenntnisse. Graphbibliotheken berechnen diese Metriken direkt; mit einfachem SQL lässt sich der Grad berechnen, nicht jedoch die Betweenness-Zentralität.

Fan-in und Fan-out

Fan-out bedeutet, dass ein Knoten innerhalb kurzer Zeit an viele sendet; Fan-in bedeutet, dass viele an einen Knoten senden. Beides ist normal: Börsen bündeln Auszahlungen (Fan-out) und kehren Einzahlungsadressen zusammen (Fan-in), Mining-Pools zahlen Prämien aus und Projekte verteilen Airdrops. Bei der Nachverfolgung geht es darum, wer die Beteiligten sind und was als Nächstes geschieht:

• Verteilung: Eine Diebstahladresse verteilt Gelder per Fan-out auf Dutzende neuer Adressen mit ähnlichen Beträgen, die jeweils keine Vorgeschichte haben. Die Ähnlichkeit der Beträge und die neu angelegten Empfänger unterscheiden dies von einer geschäftlichen Auszahlung.
• Sammlung: Viele Opfer eines Betrugs zahlen an eine Adresse (Fan-in), die anschließend den Gesamtbetrag weiterleitet.
• Konsolidierung: In UTXO-Blockchains ist eine Fan-in-Transaktion, die viele Outputs gemeinsam ausgibt, ebenfalls ein Hinweis für das Clustering (siehe die Lektion Die Heuristik des gemeinsamen Inputs zur Eigentumszuordnung).

Peel-Ketten

Eine Peel-Kette, beschrieben in der Studie „A Fistful of Bitcoins“ aus dem Jahr 2013 von Meiklejohn und Kollegen, beginnt mit einem großen Betrag an einer Adresse. Bei jeder Transaktion wird ein kleiner Betrag „abgeschält“ und der große Rest an eine neue Adresse gesendet, die den Vorgang wiederholt. Eine typische Kette mit einer Gebühr von 0,01 BTC pro Schritt:

Erkennbare Anzeichen: Jede Transaktion hat einen Input und zwei Outputs; ein Output ist deutlich größer und wird bald erneut ausgegeben, und zwar in einer Transaktion mit derselben Struktur; die Transaktionen weisen denselben Skripttyp und dieselben Wallet-Fingerabdrücke auf; und zwischen den Sprüngen liegen Minuten oder wenige Blöcke. Eine Studie von Gong, Chow, Yiu und Ting aus dem Jahr 2023 („Analyzing the Peeling Chain Patterns on the Bitcoin Blockchain“) ergab, dass bei etwa 71 % der Transaktionen in den identifizierten Ketten weniger als 1 % des Inputs abgeschält wurde und etwa 79 % der Ketten innerhalb eines Tages entstanden.

Für die Nachverfolgung ist entscheidend, dass der Restbetrag den Großteil des Werts enthält. Daher verfolgt der Analyst die Kette und protokolliert jeden abgeschälten Betrag als Auszahlungsstelle. Peel-Ketten sind nicht grundsätzlich illegal: Eine gewöhnliche Wallet, die eine Reihe von Rechnungen aus einem großen Guthaben bezahlt, erzeugt dieselbe Form. Das gilt auch für manche Hot Wallets von Diensten, die Auszahlungen einzeln tätigen.

Layering und Round-Tripping

Layering ist die Phase der Geldwäsche, in der Gelder durch viele Transaktionen bewegt werden, um sie von ihrem Ursprung zu distanzieren. On-Chain zeigt es sich in langen Ketten aus kurzlebigen, neuen Adressen, schnellen Sprüngen (oft automatisiert und nur wenige Minuten auseinander), Aufteilungen und erneuten Zusammenführungen, Tauschvorgängen zwischen Vermögenswerten und Bewegungen über mehrere Blockchains hinweg. Kein einzelner Sprung ist verdächtig; verdächtig ist die Kombination.

Round-Tripping bezeichnet einen Wert, der einen Knoten verlässt und nach dem Durchlaufen anderer Knoten zu ihm oder zu einem von derselben Partei kontrollierten Knoten zurückkehrt. In der Graphentheorie handelt es sich um einen Zyklus. Kurze Zyklen zwischen wenigen Adressen können das scheinbare Handelsvolumen eines Tokens oder eines NFT künstlich erhöhen (Wash-Trading), eine Zahlungshistorie vortäuschen oder dieselben Gelder über einen Dienst wiederverwenden, damit sie neu wirken. Die Zyklenerkennung funktioniert am besten in einem Entitätsgraphen, da eine Partei, die Gelder an eine andere eigene Adresse zurückführt, erst nach dem Clustering einen Zyklus bildet.

Motiverkennung

Ein Motiv ist eine kleine Teilgraph-Form, die häufiger vorkommt, als durch Zufall zu erwarten wäre. Analysten und Geldwäscheforscher verwenden ein gemeinsames Vokabular von Motiven; ein weit verbreiteter synthetischer Datensatz zum Training von Erkennungsmodellen (Altman und Kollegen, NeurIPS 2023) erzeugt acht Motive: Fan-out, Fan-in, Gather-Scatter, Scatter-Gather, Zyklus, bipartit, Stack und zufällig.

• Scatter-Gather: Eine Quelle teilt Gelder auf mehrere Zwischenadressen auf, die alle an ein Ziel weiterleiten. Die Zwischenadressen fügen Sprünge hinzu, ohne die Eigentumsverhältnisse zu ändern.
• Gather-Scatter: Viele Quellen laufen an einem Knoten zusammen, der anschließend den Gesamtbetrag verteilt – typisch für eine Sammeladresse bei einem Betrug.
• Stack: Zwei Schichten von Zwischenadressen hintereinander, wobei jede vollständig mit der nächsten verbunden ist.

Motivabfragen werden üblicherweise als Musterabfrage in einer Graphdatenbank oder als Reihe von Self-Joins auf der Kantenliste mit Zeitbedingungen formuliert (der Gather-Schritt muss auf den Scatter-Schritt folgen). Der wichtigste Parameter ist das Zeitfenster: Scatter-Gather innerhalb einer Stunde ist ein starkes Signal; dieselbe Form über ein Jahr hinweg gehört zum alltäglichen Geschäftsverkehr.

Signale, keine Schlussfolgerungen

Jedes Muster in dieser Lektion hat harmlose Erklärungen. Behandeln Sie jedes als Anlass, genauer hinzusehen, kombinieren Sie mehrere unabhängige Signale, bevor Sie eine Schlussfolgerung ziehen, und dokumentieren Sie die verwendeten Schwellenwerte (Gradgrenzen, Zeitfenster, Betragstoleranzen), damit andere Analysten Ihre Analyse nachvollziehen und hinterfragen können.

Prüfungsschwerpunkt: Eingangsgrad, Ausgangsgrad, gewichteter Grad, Durchlaufquote und Haltedauer sowie ihre Aussage über die Rollen von Knoten; Gradzentralität, Betweenness-Zentralität und PageRank sowie der Grund, sie auf einem eingegrenzten Teilgraphen zu berechnen; Fan-in und Fan-out sowie ihre legitimen und illegalen Formen; die Struktur und erkennbaren Anzeichen einer Peel-Kette und der Grund, dem Restbetrag zu folgen; Layering und Round-Tripping (Zyklen) sowie der Grund, warum Zyklen oft erst in einem Entitätsgraphen sichtbar werden; das Motivvokabular einschließlich Scatter-Gather und Gather-Scatter; sowie die Tatsache, dass Muster Signale sind, die einer Bestätigung und dokumentierten Schwellenwerten bedürfen.