JP7309242B2 - 暗号通貨取引の分析方法及び装置 - Google Patents

Description

本開示は、機械学習モデルを用いて暗号通貨の不正なアドレスを検出するための方法及び装置に関する。さらに詳しく、本開示は、機械学習モデルを生成するために予め取得された不正なアドレスに関する情報及び良好なアドレスに関する情報から特徴情報を導出する。

暗号通貨（ｃｒｙｐｔｏｃｕｒｒｅｎｃｙ）は、交換手段として機能するように設計されたデジタル資産であり、ブロックチェーン（ｂｌｏｃｋｃｈａｉｎ）技術で暗号化され、分散発行され、一定のネットワーク上で通貨として使用できる電子情報である。暗号通貨は、中央銀行が発行するものではなく、ブロックチェーン技術に基づいて、金銭的価値がデジタル方式で表示された電子情報であって、インターネット上のＰ２Ｐ方式で分散保存されて運用・管理される。暗号通貨を発行して管理する重要な手法は、ブロックチェーン（ｂｌｏｃｋｃｈａｉｎ）技術である。ブロックチェーンは、継続して増え続ける記録（ブロック）の一覧表であり、ブロックは、暗号化方法を用いて連結されるので、セキュリティが確保される。各ブロックは、典型的には、前のブロックの暗号ハッシュ、タイムスタンプと取引データを含んでいる。ブロックチェーンは、最初からデータの修正に対する抵抗力を有しており、両当事者間の取引を有効且つ永久的に証明できる公開された分散帳簿である。従って、暗号通貨は、不正操作防止を基に透明な運用が可能である。

そのほか、暗号通貨は、従来の通貨とは異なり、匿名性を有しているので、送金した人と送金された人以外の第三者は、取引履歴を一切知ることができないという特徴がある。口座の匿名性のために取引の流れを追跡することが困難であり（Ｎｏｎ－ｔｒａｃｋａｂｌｅ）、送金記録、集金記録などの一切の記録はすべて公開されているものの、取引主体を知ることはできない。

暗号通貨は、前述したような自由性及び透明性のために、従来の基軸通貨を代替することのできる代案であると言われており、従来の通貨に比較して安価な手数料と簡単な送金手続きのために国際間取引などに効果的に用いられることができると考えられる。但し、その匿名性のために、暗号通貨は、不正な取引に用いられるなど、犯罪の手段として悪用されることもある。

また、暗号通貨取引のデータは膨大であるので、不正な取引の特徴を手動で判別し、詐欺主体を特定することが困難であるといった課題があった。これに関して、機械学習を用いると、膨大なデータの関係を自動的に学習することができる。

よって、機械学習を用いて暗号通貨を犯罪手段として用いる取引主体を特定する方法が求められている。

本開示の機械学習モデルを用いて暗号通貨の不正なアドレスを検出するための方法は、データベースから、不正な取引に用いられたとラベル付けされた不正なアドレス（ｓｃａｍ ａｄｄｒｅｓｓｅｓ）に関する情報及び通常の取引に用いられたとラベル付けされた良好なアドレス（ｂｅｎｉｇｎ ａｄｄｒｅｓｓｅｓ）に関する情報を取得するステップと、不正なアドレスに関する情報に基づいて、同じユーザが所有していると判定された不正なアドレスグループに関する情報を取得するステップと、不正なアドレスグループに基づいて、マネーロンダリングに用いられるミュール（ｍｕｌｅ）アドレスグループに関する情報を取得するステップと、良好なアドレスに関する情報、不正なアドレスグループに関する情報、またはミュールアドレスグループに関する情報のうち少なくとも１つに基づいて、良好なアドレス、不正なアドレスグループまたはミュールアドレスグループに含まれたそれぞれのアドレスに対応する特徴情報を取得するステップと、それぞれのアドレスに対応する特徴情報及びそれぞれのアドレスに対応するラベル情報を機械学習することで、機械学習モデルを生成するステップとを含むことを特徴とする。

本開示の機械学習モデルを用いて暗号通貨の不正なアドレスを検出するための方法において、ミュールアドレスグループに関する情報を取得するステップは、不正なアドレスグループに関する情報に基づいて、不正なアドレスグループに含まれた第１の不正なアドレスに関連する暗号通貨の流れを取得するステップと、第１の不正なアドレスから暗号通貨が送付され、不正なアドレスグループまたは不正なアドレスグループとは異なる不正なアドレスグループに含まれた第２の不正なアドレスに到達するまで経由するアドレスの集まりをミュールアドレスグループとして判定するステップとを含むことを特徴とする。

本開示の機械学習モデルを用いて暗号通貨の不正なアドレスを検出するための方法において、特徴情報を取得するステップは、良好なアドレスに関する情報、不正なアドレスグループに関する情報、及びミュールアドレスグループに関する情報に基づいて、良好なアドレスまたは不正なアドレスグループに含まれた目標アドレスの最初の取引から最後の取引までの時間を示す第１の特徴情報を取得するステップを含むことを特徴とする。

本開示の機械学習モデルを用いて暗号通貨の不正なアドレスを検出するための方法において、特徴情報を取得するステップは、良好なアドレスまたは不正なアドレスグループに含まれた目標アドレスの暗号通貨の預入から暗号通貨の送付までにかかる時間の平均を示す第２の特徴情報を取得するステップを含むことを特徴とする。

本開示の機械学習モデルを用いて暗号通貨の不正なアドレスを検出するための方法において、特徴情報を取得するステップは、良好なアドレスまたは不正なアドレスグループに含まれた目標アドレスが暗号通貨を預入する第１の取引の数に対して、第１の取引で暗号通貨を送付する出発地アドレスの数を示す第１のアドレス数情報を取得するステップと、第１の取引の数に対して、第１の取引で暗号通貨を預入する目的地アドレスの数を示す第２のアドレス数情報を取得するステップと、目標アドレスが暗号通貨を送付する第２の取引の数に対して、第２の取引で暗号通貨を送付する出発地アドレスの数を示す第３のアドレス数情報を取得するステップと、第２の取引の数に対して、第２の取引で暗号通貨を預入する目的地アドレスの数を示す第４のアドレス数情報を取得するステップと、第１のアドレス数情報、第２のアドレス数情報、第３のアドレス数情報、及び第４のアドレス数情報を第３の特徴情報として判定するステップとを含むことを特徴とする。

本開示の機械学習モデルを用いて暗号通貨の不正なアドレスを検出するための方法において、特徴情報を取得するステップは、良好なアドレスまたは不正なアドレスグループに含まれた目標アドレスが暗号通貨を預入した暗号通貨全体に対して、目標アドレスが含まれたアドレスグループから暗号通貨を直接預入した暗号通貨の割合を示す第１の割合情報を取得するステップと、目標アドレスが暗号通貨を預入した暗号通貨全体に対して、暗号通貨取引サービスで暗号通貨を直接預入した暗号通貨の割合を示す第２の割合情報を取得するステップと、目標アドレスが暗号通貨を預入した暗号通貨全体に対して、不正なアドレスグループに含まれた第１のアドレスから暗号通貨を直接預入した暗号通貨の割合を示す第３の割合情報を取得するステップと、目標アドレスが暗号通貨を預入した暗号通貨全体に対して、ミュールアドレスグループに含まれた第２のアドレスから暗号通貨を直接預入した暗号通貨の割合を示す第４の割合情報を取得するステップと、第１の割合情報、第２の割合情報、第３の割合情報、及び第４の割合情報を第４の特徴情報として判定するステップとを含むことを特徴とする。

本開示の機械学習モデルを用いて暗号通貨の不正なアドレスを検出するための方法において、特徴情報を取得するステップは、良好なアドレスまたは不正なアドレスグループに含まれた目標アドレスが暗号通貨を送付した暗号通貨全体に対して、目標アドレスが含まれたアドレスグループに暗号通貨を直接送付した暗号通貨の割合を示す第５の割合情報を取得するステップと、目標アドレスが暗号通貨を送付した暗号通貨全体に対して、暗号通貨取引サービスで暗号通貨を直接送付した暗号通貨の割合を示す第６の割合情報を取得するステップと、目標アドレスが暗号通貨を送付した暗号通貨全体に対して、不正なアドレスグループに含まれた第１のアドレスに暗号通貨を直接送付した暗号通貨の割合を示す第７の割合情報を取得するステップと、目標アドレスが暗号通貨を預入した暗号通貨全体に対して、ミュールアドレスグループに含まれた第２のアドレスに暗号通貨を直接送付した暗号通貨の割合を示す第８の割合情報を取得するステップと、第５の割合情報、第６の割合情報、第７の割合情報、及び第８の割合情報を第５の特徴情報として判定するステップとを含むことを特徴とする。

本開示の機械学習モデルを用いて暗号通貨の不正なアドレスを検出するための方法において、特徴情報を取得するステップは、良好なアドレスまたは不正なアドレスグループに含まれた目標アドレスが暗号通貨を送付した暗号通貨全体に対して、暗号通貨取引サービスで暗号通貨を間接送付した暗号通貨の割合を示す第９の割合情報を取得するステップと、目標アドレスが暗号通貨を送付した暗号通貨全体に対して、不正なアドレスグループに含まれた第１のアドレスに暗号通貨を間接送付した暗号通貨の割合を示す第１０の割合情報を取得するステップと、目標アドレスが暗号通貨を預入した暗号通貨全体に対して、ミュールアドレスグループに含まれた第２のアドレスに暗号通貨を間接送付した暗号通貨の割合を示す第１１の割合情報を取得するステップと、第９の割合情報、第１０の割合情報、及び第１１の割合情報を第６の特徴情報として判定するステップとを含むことを特徴とする。

本開示において、機械学習モデルを用いて暗号通貨の不正なアドレスを検出するための方法は、新しい暗号通貨アドレスを取得するステップと、新しい暗号通貨アドレスに関する新しい特徴情報を取得するステップと、新しい特徴情報を機械学習モデルに適用して、新しい暗号通貨アドレスが、不正なアドレスであるか否かを判定するステップとを含むことを特徴とする。

本開示において、機械学習モデルを用いて暗号通貨の不正なアドレスを検出するための方法は、新しい暗号通貨アドレスが、不正なアドレスグループに含まれた場合、新しい暗号通貨アドレスの不正リスクを５に判定するステップと、新しい暗号通貨アドレスが、不正なアドレスグループに含まれた第１のアドレスと直接暗号通貨を取引した場合、新しい暗号通貨アドレスの不正リスクを４に判定するステップと、新しい暗号通貨アドレスが、不正なアドレスグループに含まれた第１のアドレスと間接的に暗号通貨を取引した場合、新しい暗号通貨アドレスの不正リスクを３に判定するステップと、機械学習モデルに基づいて、新しい暗号通貨アドレスが、不正なアドレスであると判定された場合、新しい暗号通貨アドレスの不正リスクを２に判定するステップと、新しい暗号通貨アドレスに取引履歴がない場合、新しい暗号通貨アドレスの不正リスクを１に判定するステップと、リスクが１から５に分類されていない場合、新しい暗号通貨アドレスの不正リスクを０に判定するステップとを含むことを特徴とする。

さらに、前述のような不正なアドレスを検出するための方法を実現するためのプログラムは、コンピュータ可読記録媒体に記録されてもよい。

本開示の一実施形態に係る不正なアドレス検出装置のブロック図である。 本開示の一実施形態に係る不正なアドレス検出装置を示す図である。 本開示の一実施形態に係る不正なアドレス検出装置を示すブロック図である。 本開示の一実施形態に係る不正なアドレス検出装置の動作を示すフローチャートである。 本開示の一実施形態に従ってミュールアドレスグループに関する情報を取得する方法を示すフローチャートである。 本開示の一実施形態に従ってミュールアドレスグループに関する情報を取得する過程を示すフローチャートである。 本開示の一実施形態に従ってミュールアドレスグループに関する情報を取得する過程を示すフローチャートである。 本開示の一実施形態に従ってミュールアドレスグループに関する情報を取得する過程を示すフローチャートである。 本開示の一実施形態に従って特徴情報を取得する過程を示す説明図である。 本開示の一実施形態に係る不正なアドレス検出装置１００の動作を示すブロック図である。

開示された実施形態の利点、特徴及びそれらを達成する方法は、添付図面と共に後述する実施形態を参照することにより明確になるであろう。しかしながら、本開示は、以下に開示する実施形態に限定されるものではなく、様々な形態で実現することができ、これらの実施形態は、単に本開示が完全なものとなるように、本開示の属する技術分野における通常の知識を有する者に発明の範囲を完全に理解させるために提供するものに過ぎない。

本明細書で用いられる用語について簡単に説明し、開示された実施形態について詳しく説明する。

本明細書で用いられる用語は、本開示における機能を考慮しつつ、可能な限り現在広く用いられている一般的な用語を選択しているが、これは関連分野に属する技術者の意図または判例、新しい技術の出現などによって変わり得る。また、特定の場合は、出願人が任意に選定した用語もあり、その場合、該当する発明の詳細な説明部分においてその意味を詳しく記載する。よって、本開示で用いられる用語は、単なる用語の名称ではなく、その用語が有する意味と本開示の全体に亘った内容に基づいて定義されるべきである。

本明細書における単数の表現は、文脈からみて明らかに単数であると特定しない限り、複数の表現を含む。また、複数の表現は、文脈からみて明らかに複数であると特定しない限り、単数の表現を含む。

明細書全体において、ある部分がある構成要素を「含む」という場合、これは特に断らない限り、他の構成要素を除外するのではなく、他の構成要素をさらに含んでもよいことを意味する。

さらに、本明細書で用いられる「部」なる用語は、ソフトウェアまたはハードウェアコンポーネントを意味し、「部」は、所定の役割を果たす。但し、「部」は、ソフトウェアまたはハードウェアに限定される意味ではない。「部」は、アドレス指定可能な記憶媒体に含まれるように構成されてもよく、１つまたはそれ以上のプロセッサを再生するように構成されてもよい。よって、一例として、「部」は、ソフトウェアコンポーネント、オブジェクト指向ソフトウェアコンポーネント、クラスコンポーネント、及びタスクコンポーネントなどのコンポーネントと、プロセス、関数、属性、プロシージャ、サブルーチン、プログラムコードのセグメント、ドライバ、ファームウェア、マイクロコード、回路、データ、データベース、データ構造、テーブル、アレイ、及び変数とを含む。コンポーネント及び「部」の中で提供される機能は、より少ない数のコンポーネント及び「部」で組み合わせられるか、あるいは更なるコンポーネントと「部」に再度分離されてもよい。

本開示の一実施形態によれば、「部」は、プロセッサ及びメモリで実現されてもよい。「プロセッサ」なる用語は、汎用プロセッサ、中央処理装置（ＣＰＵ）、マイクロプロセッサ、デジタル信号プロセッサ（ＤＳＰ）、コントローラ、マイクロコントローラ、状態マシンなどを含むように広く解釈されるべきである。ある環境では、「プロセッサ」は、特定用途向け集積回路（ＡＳＩＣ）、プログラマブルロジックデバイス（ＰＬＤ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）などを指してもよい。「プロセッサ」なる用語は、例えば、ＤＳＰとマイクロプロセッサの組み合わせ、複数のマイクロプロセッサの組み合わせ、ＤＳＰコアと結合した１つ以上のマイクロプロセッサの組み合わせ、または他の任意のそのような構成の組み合わせなどの処理装置の組み合わせを指してもよい。

「メモリ」なる用語は、電子情報を記憶可能な任意の電子コンポーネントを含むように広く解釈されるべきである。用語メモリは、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、不揮発性ランダムアクセスメモリ（ＮＶＲＡＭ）、プログラマブル読み出し専用メモリ（ＰＲＯＭ）、消去可能プログラマブル読み出し専用メモリ（ＥＰＲＯＭ）、電気的消去可能ＰＲＯＭ（ＥＥＰＲＯＭ）、フラッシュメモリ、磁気または光学データ記憶装置、レジスタなどのようなプロセッサ可読媒体の様々な種類を指してもよい。プロセッサがメモリから情報を読み取り、及び／またはメモリに情報を書き込むことができる場合、メモリは、プロセッサと電子通信状態にあると称される。プロセッサに集積されたメモリは、プロセッサと電子通信状態にある。

以下では、添付図面を参照して、本開示の属する技術分野における通常の知識を有する者が容易に実施できるように、実施例について詳しく説明する。なお、図面において、本開示を明確に説明するために、説明に関係ない部分は省略する。

図１は、本開示の一実施形態に係る不正なアドレス検出装置１００のブロック図である。

図１を参照すると、一実施形態に係る不正なアドレス検出装置１００は、データ学習部１１０またはデータ認識部１２０のうち少なくとも１つを含む。前述したような不正なアドレス検出装置１００は、プロセッサ及びメモリを含む。

データ学習部１１０は、データセットを用いてターゲットタスク（ｔａｒｇｅｔ ｔａｓｋ）を実行するための機械学習モデルを学習する。データ学習部１１０は、データセット及びターゲットタスクに関するラベル情報を受信する。データ学習部１１０は、データセットとラベル情報との関係について機械学習を行うことで機械学習モデルを取得する。データ学習部１１０が取得した機械学習モデルは、データセットを用いてラベル情報を生成するためのモデルである。

データ認識部１２０は、データ学習部１１０の機械学習モデルを受信して記憶する。データ認識部１２０は、入力データに機械学習モデルを適用してラベル情報を出力する。また、データ認識部１２０は、入力データ、ラベル情報、及び機械学習モデルによって出力された結果を機械学習モデルを更新するために用いる。

データ学習部１１０及びデータ認識部１２０のうち少なくとも１つは、少なくとも１つのハードウェアチップの形態で作製され、電子装置に搭載される。例えば、データ学習部１１０及びデータ認識部１２０のうち少なくとも１つは、人工知能（ＡＩ；ａｒｔｉｆｉｃｉａｌ ｉｎｔｅｌｌｉｇｅｎｃｅ）のための専用ハードウェアチップの形態で作られてもよく、あるいは既存の汎用プロセッサ（例えば、ＣＰＵまたはａｐｐｌｉｃａｔｉｏｎ ｐｒｏｃｅｓｓｏｒ）またはグラフィック専用プロセッサ（例えば、ＧＰＵ）の一部として作製され、既に説明した様々な電子装置に搭載されてもよい。

また、データ学習部１１０及びデータ認識部１２０は、個別の電子装置にそれぞれ搭載される。例えば、データ学習部１１０及びデータ認識部１２０のうちの一方は電子装置に含まれ、他方はサーバに含まれてもよい。また、データ学習部１１０及びデータ認識部１２０は、有線または無線を介して、データ学習部１１０が構築した機械学習モデル情報をデータ認識部１２０に提供してもよく、データ認識部１２０に入力されたデータを、追加学習データとしてデータ学習部１１０に提供してもよい。

さらに、データ学習部１１０及びデータ認識部１２０のうち少なくとも１つは、ソフトウェアモジュールで実現される。データ学習部１１０及びデータ認識部１２０のうち少なくとも一方がソフトウェアモジュール（またはインストラクション（ｉｎｓｔｒｕｃｔｉｏｎ）を含むプログラムモジュール）で実現される場合、ソフトウェアモジュールは、メモリまたはコンピュータで読み取り可能な非一時的に読み取り可能な記録媒体（ｎｏｎ－ｔｒａｎｓｉｔｏｒｙ ｃｏｍｐｕｔｅｒ ｒｅａｄａｂｌｅ ｍｅｄｉａ）に格納されてもよい。また、その場合、少なくとも１つのソフトウェアモジュールは、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）によって提供されてもよく、所定のアプリケーションによって提供されてもよい。あるいは、少なくとも１つのソフトウェアモジュールの一部はＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）によって提供され、残りの部分は所定のアプリケーションによって提供されてもよい。

本開示の一実施形態に係るデータ学習部１１０は、データ取得部１１１、前処理部１１２、学習データ選択部１１３、モデル学習部１１４、及びモデル評価部１１５を含む。

データ取得部１１１は、機械学習に必要なデータを取得する。学習には多量のデータが必要であるため、データ取得部１１１は、複数のデータを含むデータセットを受信してもよい。

複数のデータのそれぞれにラベル情報が割り当てられる。ラベル情報は、複数のデータのそれぞれを説明する情報であってもよい。ラベル情報は、ターゲットタスク（ｔａｒｇｅｔ ｔａｓｋ）が導出したい情報であってもよい。ラベル情報は、ユーザ入力によって取得したり、メモリから取得したり、機械学習モデルの結果から取得したりしてもよい。例えば、ターゲットタスクが暗号通貨アドレスの取引履歴に関する情報から暗号通貨アドレスが詐欺師の所有するアドレスであるか否かを判定するためのものであれば、機械学習に用いられる複数のデータは、暗号通貨アドレスの取引履歴に関連するデータとなり、ラベル情報は、暗号通貨アドレスが詐欺師の所有するアドレスであるか否かになる。

前処理部１１２は、受信したデータを機械学習に利用できるように、取得したデータを前処理する。前処理部１１２は、後述するモデル学習部１１４が利用できるように、取得したデータセットを予め設定されたフォーマットに加工する。

学習データ選択部１１３は、前処理済みのデータの中から学習に必要なデータを選択する。選択されたデータはモデル学習部１１４に提供される。学習データ選択部１１３は、予め設定された基準に基づいて、前処理済みのデータの中から学習に必要なデータを選択する。また、学習データ選択部１１３は、後述するモデル学習部１１４による学習によって予め設定された基準に基づいてデータを選択してもよい。

モデル学習部１１４は、データセットに基づいて所定のラベル情報を出力するかに関する基準を学習する。また、モデル学習部１１４は、データセット及びデータセットに対するラベル情報を学習データとして用いることで機械学習を行う。さらに、モデル学習部１１４は、予め取得された機械学習モデルを追加利用して機械学習を行ってもよい。その場合、予め取得された機械学習モデルは予め構築されたモデルである。例えば、機械学習モデルは、基本学習データを入力して事前に構築されたモデルであってもよい。

機械学習モデルは、学習モデルの適用分野、学習の目的または装置のコンピュータ性能などを考慮して構築される。機械学習モデルは、例えば、神経回路網（Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）に基づくモデルであってもよい。例えば、Ｄｅｅｐ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ（ＤＮＮ）、Ｒｅｃｕｒｒｅｎｔ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ（ＲＮＮ）、Ｌｏｎｇ Ｓｈｏｒｔ－Ｔｅｒｍ Ｍｅｍｏｒｙ ｍｏｄｅｌｓ（ＬＳＴＭ）、ＢＲＤＮＮ（Ｂｉｄｉｒｅｃｔｉｏｎａｌ Ｒｅｃｕｒｒｅｎｔ Ｄｅｅｐ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）、Ｃｏｎｖｏｌｕｔｉｏｎａｌ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋｓ（ＣＮＮ）などのモデルが機械学習モデルとして用いられてもよいが、これらに限定されるものではない。

様々な実施形態によれば、モデル学習部１１４は、予め構築された機械学習モデルが複数存在する場合、入力された学習データと基本学習データとの関連性の高い機械学習モデルを学習する機械学習モデルとして決定する。その場合、基本学習データは、データの種類ごとに予め分類されていてもよく、機械学習モデルは、データの種類ごとに予め構築されていてもよい。例えば、基本学習データは、学習データが生成された場所、学習データが生成された時間、学習データのサイズ、学習データの生成者、学習データ中のオブジェクトの種類などのような様々な基準で予め分類されている。

また、モデル学習部１１４は、例えば、誤差逆伝搬法（ｅｒｒｏｒ ｂａｃｋ－ｐｒｏｐａｇａｔｉｏｎ）または傾斜降下法（ｇｒａｄｉｅｎｔ ｄｅｓｃｅｎｔ）を含む学習アルゴリズムなどを用いて機械学習モデルを学習する。

さらに、モデル学習部１１４は、例えば、学習データを入力値とする教師あり学習（ｓｕｐｅｒｖｉｓｅｄ ｌｅａｒｎｉｎｇ）によって機械学習モデルを学習する。また、モデル学習部１１４は、例えば、特に指導を受けることなくターゲットタスク（ｔａｒｇｅｔ ｔａｓｋ）のために必要なデータの種類を自ら学習することにより、ターゲットタスクのための基準を発見する教師なし学習（ｕｎｓｕｐｅｒｖｉｓｅｄ ｌｅａｒｎｉｎｇ）によって、機械学習モデルを取得する。さらに、モデル学習部１１４は、例えば、学習に伴うターゲットタスクの結果が正しいかどうかに関するフィードバックを利用する強化学習（ｒｅｉｎｆｏｒｃｅｍｅｎｔ ｌｅａｒｎｉｎｇ）によって、機械学習モデルを学習する。

また、機械学習モデルが学習されると、モデル学習部１１４は、学習済みの機械学習モデルを記憶する。その場合、モデル学習部１１４は、学習済みの機械学習モデルをデータ認識部１２０を含む電子装置のメモリに記憶してもよい。あるいは、モデル学習部１１４は、学習済みの機械学習モデルを電子装置と有線または無線ネットワークで接続されたサーバのメモリに記憶してもよい。

学習済みの機械学習モデルが記憶されるメモリは、例えば、電子装置の少なくとも１つの他の構成要素に関連する命令またはデータを併せて記憶する。さらに、メモリは、ソフトウェア及び／またはプログラムを記憶する。プログラムは、例えば、カーネル、ミドルウェア、アプリケーションプログラミングインターフェース（ＡＰＩ）及び／またはアプリケーションプログラム（または「アプリケーション」）などを含んでもよい。

モデル評価部１１５は、機械学習モデルに評価データを入力し、評価データから出力された結果が所定の基準を満たさない場合、モデル学習部１１４に再学習させる。その場合、評価データは、機械学習モデルを評価するために予め設定されたデータであってもよい。

例えば、モデル評価部１１５は、評価データに対する学習済みの機械学習モデルの結果のうち、認識結果が不正確である評価データの数または割合が予め設定された閾値を超える場合、所定の基準を満たさないと評価する。例えば、所定の基準が比率２％と定義された場合、学習済みの機械学習モデルが合計１０００個の評価データのうち２０個を超える評価データに対して誤認識結果を出力すると、モデル評価部１１５は、学習済みの機械学習モデルが適切ではないと評価する。

なお、学習済みの機械学習モデルが複数存在する場合、モデル評価部１１５は、それぞれの学習済みの機械学習モデルに対して所定の基準を満たすか否かを評価し、所定の基準を満たすモデルを最終機械学習モデルとして決定する。その場合、所定基準を満たすモデルが複数ある場合、モデル評価部１１５は、評価スコアの高い順に予め設定されたいずれか１つまたは所定数のモデルを最終機械学習モデルとして決定する。

さらに、データ学習部１１０中のデータ取得部１１１、前処理部１１２、学習データ選択部１１３、モデル学習部１１４、及びモデル評価部１１５のうち少なくとも１つは、少なくとも１つのハードウェアチップの形態で作製され、電子装置に搭載される。例えば、データ取得部１１１、前処理部１１２、学習データ選択部１１３、モデル学習部１１４、及びモデル評価部１１５のうち少なくとも１つは、人工知能（ＡＩ；ａｒｔｉｆｉｃｉａｌ ｉｎｔｅｌｌｉｇｅｎｃｅ）のための専用のハードウェアチップの形態で作製されてもよく、あるいは既存の汎用プロセッサ（例えば、ＣＰＵまたはａｐｐｌｉｃａｔｉｏｎ ｐｒｏｃｅｓｓｏｒ）またはグラフィック専用プロセッサ（例えば、ＧＰＵ）の一部として作製され、前述の様々な電子装置に搭載されてもよい。

また、データ取得部１１１、前処理部１１２、学習データ選択部１１３、モデル学習部１１４、及びモデル評価部１１５は、１つの電子装置に搭載されてもよく、あるいは別途の電子装置にそれぞれ搭載されてもよい。例えば、データ取得部１１１、前処理部１１２、学習データ選択部１１３、モデル学習部１１４、及びモデル評価部１１５の一部は電子装置に含まれ、残りの一部はサーバに含まれる。

また、データ取得部１１１、前処理部１１２、学習データ選択部１１３、モデル学習部１１４、及びモデル評価部１１５のうち少なくとも１つは、ソフトウェアモジュールで実現される。データ取得部１１１、前処理部１１２、学習データ選択部１１３、モデル学習部１１４、及びモデル評価部１１５のうち少なくとも１つがソフトウェアモジュール（または、インストラクション（ｉｎｓｔｒｕｃｔｉｏｎ）を含むプログラムモジュール）で実現される場合、ソフトウェアモジュールは、コンピュータで読み取り可能な非一時的に読み取り可能な記録媒体（ｎｏｎ－ｔｒａｎｓｉｔｏｒｙ ｃｏｍｐｕｔｅｒ ｒｅａｄａｂｌｅ ｍｅｄｉａ）に格納されてもよい。また、その場合、少なくとも１つのソフトウェアモジュールは、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）によって提供されてもよく、所定のアプリケーションによって提供されてもよい。あるいは、少なくとも１つのソフトウェアモジュールの一部はＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）によって提供され、残りの部分は所定のアプリケーションによって提供されてもよい。

本開示の一実施形態に係るデータ認識部１２０は、データ取得部１２１、前処理部１２２、認識データ選択部１２３、認識結果提供部１２４、及びモデル更新部１２５を含む。

データ取得部１２１は、入力データを受信する。前処理部１２２は、取得した入力データを認識データ選択部１２３または認識結果提供部１２４で利用できるように、取得した入力データを前処理する。

認識データ選択部１２３は、前処理済みのデータの中から必要なデータを選択する。選択されたデータは認識結果提供部１２４に提供される。認識データ選択部１２３は、予め設定された基準に基づいて、前処理済みのデータの中から一部または全部を選択する。また、認識データ選択部１２３は、モデル学習部１１４による学習によって予め設定された基準に基づいてデータを選択してもよい。

認識結果提供部１２４は、選択されたデータを機械学習モデルに適用して結果データを取得する。機械学習モデルは、モデル学習部１１４によって生成された機械学習モデルであってもよい。認識結果提供部１２４は、結果データを出力する。

モデル更新部１２５は、認識結果提供部１２４によって提供される認識結果に対する評価に基づいて、機械学習モデルを更新する。例えば、モデル更新部１２５は、認識結果提供部１２４によって提供される認識結果をモデル学習部１１４に提供することにより、モデル学習部１１４に機械学習モデルを更新させる。

なお、データ認識部１２０中のデータ取得部１２１、前処理部１２２、認識データ選択部１２３、認識結果提供部１２４、及びモデル更新部１２５のうち少なくとも１つは、少なくとも１つのハードウェアチップの形態で作製され、電子装置に搭載される。例えば、データ取得部１２１、前処理部１２２、認識データ選択部１２３、認識結果提供部１２４、及びモデル更新部１２５のうち少なくとも１つは、人工知能（ＡＩ；ａｒｔｉｆｉｃｉａｌ ｉｎｔｅｌｌｉｇｅｎｃｅ）のための専用のハードウェアチップの形態で作製されてもよく、あるいは既存の汎用プロセッサ（例えば、ＣＰＵまたはａｐｐｌｉｃａｔｉｏｎ ｐｒｏｃｅｓｓｏｒ）またはグラフィック専用プロセッサ（例えば、ＧＰＵ）の一部として作製され、前述の様々な電子装置に搭載されてもよい。

また、データ取得部１２１、前処理部１２２、認識データ選択部１２３、認識結果提供部１２４、及びモデル更新部１２５は、１つの電子装置に搭載されてもよく、あるいは別途の電子装置にそれぞれ搭載されてもよい。例えば、データ取得部１２１、前処理部１２２、認識データ選択部１２３、認識結果提供部１２４、及びモデル更新部１２５の一部は電子装置に含まれ、残りの一部はサーバに含まれる。

さらに、データ取得部１２１、前処理部１２２、認識データ選択部１２３、認識結果提供部１２４、及びモデル更新部１２５のうち少なくとも１つは、ソフトウェアモジュールで実現される。データ取得部１２１、前処理部１２２、認識データ選択部１２３、認識結果提供部１２４、及びモデル更新部１２５のうち少なくとも１つがソフトウェアモジュール（または、インストラクション（ｉｎｓｔｒｕｃｔｉｏｎ）を含むプログラムモジュール）で実現される場合、ソフトウェアモジュールは、コンピュータで読み取り可能な非一時的に読み取り可能な記録媒体（ｎｏｎ－ｔｒａｎｓｉｔｏｒｙ ｃｏｍｐｕｔｅｒ ｒｅａｄａｂｌｅ ｍｅｄｉａ）に格納されてもよい。また、その場合、少なくとも１つのソフトウェアモジュールは、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）によって提供されてもよく、所定のアプリケーションによって提供されてもよい。あるいは、少なくとも１つのソフトウェアモジュールの一部はＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）によって提供され、残りの部分は所定のアプリケーションによって提供されてもよい。

以下では、データ学習部１１０のデータ取得部１１１、前処理部１１２、及び学習データ選択部１１３が学習データを受信して処理する方法及び装置についてより詳しく説明する。

図２は、本開示の一実施形態に係る不正なアドレス検出装置を示す図である。

不正なアドレス検出装置１００は、プロセッサ２１０及びメモリ２２０を含む。プロセッサ２１０は、メモリ２２０に記憶された命令語を実行する。

前述したように、不正なアドレス検出装置１００は、データ学習部１１０またはデータ認識部１２０を含む。データ学習部１１０またはデータ認識部１２０は、プロセッサ２１０及びメモリ２２０によって実現される。

図３は、本開示の一実施形態に係る不正なアドレス検出装置を示すブロック図である。また、図４は、本開示の一実施形態に係る不正なアドレス検出装置の動作を示すフローチャートである。

不正なアドレス検出装置１００のプロセッサ２１０は、メモリ２２０に記憶された命令語に基づく機械学習を用いて暗号通貨の不正なアドレスを検出するために、以下のステップを行う。

不正なアドレス検出装置１００は、データベース３１０から、不正な取引に用いられたとラベル付けされた不正なアドレス（ｓｃａｍ ａｄｄｒｅｓｓｅｓ）に関する情報３１１及び通常の取引に用いられたとラベル付けされた良好なアドレス（ｂｅｎｉｇｎ ａｄｄｒｅｓｓｅｓ）に関する情報３１２を取得するステップ４１０を行う。

データベース３１０は、不正なアドレスに関する情報３１１及び良好なアドレスに関する情報３１２を格納する。不正なアドレスに関する情報及び良好なアドレスに関する情報は、不正なアドレス検出装置１００のデータ取得部１１１、前処理部１１２、または学習データ選択部１１３に基づいてデータベース３１０に格納される。

データベース３１０は、不正なアドレス検出装置１００に含まれていてもよい。また、データベース３１０は、不正なアドレス検出装置１００の外部にあってもよい。不正なアドレス検出装置１００は、有無線通信を用いてデータベース３１０から情報を取得する。

不正なアドレスに関する情報３１１及び良好なアドレスに関する情報３１２には、不正なアドレス及び良好なアドレスのアドレス、取引履歴が含まれる。さらに、不正なアドレスに関する情報３１１及び良好なアドレスに関する情報３１２は、不正なアドレス及び良好なアドレスに関するラベル情報を意味してもよい。不正なアドレスに関する情報及び良好なアドレスに関する情報に含まれたラベル情報は、「不正」で示されるか、あるいは「良好」で示される。

不正なアドレス検出装置１００は、不正なアドレスに関する情報３１１に基づいて、同じユーザが所有していると判定された不正なアドレスグループに関する情報を取得するステップ４２０を行う。

不正なアドレス検出装置１００は、アドレスグループ取得部３２０を含む。アドレスグループ取得部３２０は、予め取得されたアドレスの取引履歴に基づいて同じユーザが所有しているアドレスをさらに抽出し、同じユーザが所有しているアドレスをクラスター化（ｃｌｕｓｔｅｒｉｎｇ）またはグループ化する。

アドレスグループ取得部３２０は、不正なアドレスグループ取得部３２１及びミュールアドレスグループ取得部３２２を含む。

不正なアドレスグループ取得部３２１は、データベース３１０に含まれた不正なアドレスに関する情報３１１に基づいて、同じユーザが所有していると判定された不正なアドレスをグループ化する。例えば、不正なアドレス検出装置１００は、暗号通貨アドレスのグループ化のために、取引の送付アドレスとして用いられる暗号通貨アドレスに対応する秘密鍵（ｐｒｉｖａｔｅ ｋｅｙ）の所有有無で送付アドレスの集合をグループ化するマルチ入力ヒューリスティックアルゴリズムを用いてもよい。あるいは、不正なアドレス検出装置１００は、送金後に残高の返還を受けるアドレスを用いて、同じ所有者であると推定される複数のアドレスをグループ化するアドレス変更ヒューリスティックアルゴリズムを用いてもよい。また、不正なアドレス検出装置１００は、他にもユーザが定義したヒューリスティックアルゴリズムを用いてもよい。さらに、不正なアドレス検出装置１００は、ユーザ命令によってアドレスのフィルタリング及び／またはアドレスのグループ化を行ってもよい。

不正なアドレス検出装置１００のミュールアドレスグループ取得部３２２は、不正なアドレスグループに基づいて、マネーロンダリングに用いられるミュールアドレスグループ（ｍｕｌｅ ｃｌｕｓｔｅｒ）に関する情報を取得するステップ４３０を行う。ミュールアドレスグループに関する情報を取得する方法については、図５を参照してより詳しく説明する。ミュールアドレスグループに関する情報は、ミュールアドレスグループに含まれたアドレスの取引履歴またはアドレスを含む。さらに、ミュールアドレスグループに関する情報は、ラベル情報を含む。例えば、ラベル情報は「ミュール」を示してもよい。

不正なアドレス検出装置１００は、アドレスグループ情報取得部３３０をさらに含む。アドレスグループ情報取得部３３０は、サービスアドレスグループに関する情報を取得する。サービスアドレスは、暗号通貨の取引所のアドレスを意味してもよい。アドレスグループ情報取得部３３０は、例えば、「ｗａｌｌｅｔＥｘｐｌｏｒｅｒ．ｃｏｍ」からサービスアドレスグループに関する情報を取得してもよい。

不正なアドレス検出装置１００の特徴抽出部３４０は、良好なアドレスに関する情報、不正なアドレスグループに関する情報、またはミュールアドレスグループに関する情報のうち少なくとも１つに基づいて、良好なアドレスまたは不正なアドレスグループに含まれたそれぞれのアドレスに対応する特徴情報を取得するステップ４４０を行う。特徴情報は、良好なアドレスに関する情報、不正なアドレスグループに関する情報、またはミュールアドレスグループに関する情報に含まれる取引履歴に基づいて取得する。特徴情報については、図８を参照してより詳しく説明する。

不正なアドレス検出装置１００のモデル学習部３５０は、それぞれのアドレスに対応する特徴情報及びそれぞれのアドレスに対応するラベル情報を機械学習することで、機械学習モデル３６０を生成するステップ４５０を行う。

不正なアドレス検出装置１００は、学習済みの機械学習モデル３６０をメモリに記憶する。また、不正なアドレス検出装置１００は、機械学習モデル３６０を他の不正なアドレス検出装置１００に送信してもよい。

図５は、本開示の一実施形態に従ってミュールアドレスグループに関する情報を取得する方法を示すフローチャートである。図６ないし図８は、本開示の一実施形態に従ってミュールアドレスグループに関する情報を取得する過程を示すフローチャートである。

不正なアドレス検出装置１００のミュールアドレスグループ取得部３２２は、不正なアドレスグループに関する情報３１１に基づいて、不正なアドレスグループに含まれた第１の不正なアドレスに関連する暗号通貨の流れを取得するステップ５１０を行う。

図６を参照すると、不正なアドレス検出装置１００は、データベース３１０から、第１の不正なアドレス６１１に関連する暗号通貨の流れを取得する。不正なアドレス検出装置１００は、第１の不正なアドレス６１１からアドレス６２１，６２２，６２５または６２６に暗号通貨が送付される流れを取得する。

不正なアドレス検出装置１００は、第１の不正なアドレス６１１から暗号通貨が送付され、上記の不正なアドレスグループまたは上記の不正なアドレスグループとは異なる不正なアドレスグループに含まれた第２の不正なアドレスに到達するまで経由するアドレスの集まりをミュールアドレスグループとして判定するステップ５２０を行う。

統計的に、不正なアドレスは、不正なアドレスとミュールアドレスを介して暗号通貨を取引することが多い。また、良好なアドレスは、良好なアドレス同士で暗号通貨を取引する場合が圧倒的に多い。よって、不正なアドレス検出装置１００は、不正なアドレスの間に含まれている中間アドレスをミュールアドレスとして判定する。

第１の不正なアドレス６１１から暗号通貨が送付され、中間アドレスを経て良好なアドレスのうちの１つに到達する場合、不正なアドレス検出装置１００は、中間アドレスをミュールアドレスとして判定することを保留する。すなわち、不正なアドレス検出装置１００は、不正なアドレス同士の取引で暗号通貨を運ぶ役割をする中間アドレスをミュールアドレスとして判定してもよく、不正なアドレスと良好なアドレスとの間の取引に含まれた中間アドレスをミュールアドレスとして判定することを保留してもよい。

不正なアドレス検出装置１００は、第１の不正なアドレス６１１から不正なアドレスグループ６３０に含まれたアドレス６３１，６３２，６３３に暗号通貨が到達するまでの取引履歴を追跡する。不正なアドレスグループ６３０は、第１の不正なアドレス６１１を含む不正なアドレスグループ６３０である。しかしながら、これに限定されるものではなく、不正なアドレスグループ６３０は、第１の不正なアドレス６１１が含まれてはいないものの、不正なアドレスグループとして判定された他の不正なアドレスグループであってもよい。

不正なアドレス検出装置１００は、第１の不正なアドレス６１１から不正なアドレスグループ６３０に含まれたアドレス６３１，６３２，６３３に暗号通貨が到達するまで経由したアドレス６２１，６２２，６２５，６２６をミュールアドレスとして取得する。また、不正なアドレス検出装置１００は、不正なアドレスグループ６３０に含まれた第１の不正なアドレス６１１以外の他の不正なアドレス６１２から不正なアドレスグループに含まれたアドレス６３１，６３２，６３３に暗号通貨が到達するまで経由したアドレス６２３，６２４，６２７，６２８をミュールアドレスとして取得する。不正なアドレス検出装置１００は、不正なアドレスグループ６３０に含まれたすべてのアドレスに対して、このような過程を繰り返す。

図７を参照すると、前述の過程を繰り返して、不正なアドレス検出装置１００は、アドレス６２１，６２２，６２３，６２４，６２５，６２６，６２７，６２８をミュールアドレスとして取得する。不正なアドレス検出装置１００は、アドレス６２１，６２２，６２３，６２４，６２５，６２６，６２７，６２８の取引履歴に基づいて、アドレスグループを区別する。例えば、第１のアドレスグループ６２１，６２２，６２３，６２５，６２６と第２のアドレスグループ６２４，６２７，６２８とは、互いに取引履歴を持たない。不正なアドレス検出装置１００は、第１のアドレスグループ及び第２のアドレスグループを異なるグループとしてまとめる。不正なアドレス検出装置１００は、第１のアドレスグループを第１のミュールアドレスグループとして判定し、第２のアドレスグループを第２のミュールアドレスグループとして判定する。

図８を参照すると、不正なアドレス検出装置１００は、第１のミュールアドレスグループ８１０に含まれるアドレス６２１，６２２，６２３，６２５，６２６に関する情報に基づいて、同じユーザが所有しているアドレス８１１をさらに検出する。例えば、不正なアドレス検出装置１００は、暗号通貨アドレスのグループ化のために、取引の送付アドレスとして用いられる暗号通貨アドレスに対応する秘密鍵（ｐｒｉｖａｔｅ ｋｅｙ）の所有有無で送付アドレスの集合をグループ化するマルチ入力ヒューリスティックアルゴリズムを用いてもよい。あるいは、不正なアドレス検出装置１００は、送付後に残高の返還を受けるアドレスを用いて、同じ所有者であると推定される複数のアドレスをグループ化するアドレス変更ヒューリスティックアルゴリズムを用いてもよい。また、不正なアドレス検出装置１００は、他にもユーザが定義したヒューリスティックアルゴリズムを用いてもよい。さらに、不正なアドレス検出装置１００は、ユーザ命令によってアドレスのフィルタリング及び／またはアドレスのグループ化を行ってもよい。

不正なアドレス検出装置１００は、第２のミュールアドレスグループ８２０に含まれるアドレス６２４，６２７，６２８に関する情報に基づいて、同じユーザが所有しているアドレス８２１，８２２をさらに検出する。

図９は、本開示の一実施形態に従って特徴情報を取得する過程を示す説明図である。

不正なアドレス検出装置１００は、良好なアドレスに関する情報、不正なアドレスグループに関する情報、またはミュールアドレスグループに関する情報のうち少なくとも１つに基づいて、良好なアドレスまたは不正なアドレスグループに含まれたそれぞれのアドレスに対応する特徴情報を取得するステップ４４０を行う。不正なアドレス検出装置１００は、良好なアドレスに関する情報、不正なアドレスグループに関する情報、またはミュールアドレスグループに関する情報のうち少なくとも１つに基づいて、目標アドレス９３０の取引履歴を取得する。目標アドレス９３０は、ＡＤＤＲ４である。

図９を参照すると、ライン９３１を中心に、左は目標アドレス９３０が暗号通貨を預入した取引履歴であり、右は目標アドレス９３０が暗号通貨を送付した取引履歴である。

図９では説明の便宜のために、暗号通貨の単位としてＢＴＣを用いた。これは、暗号通貨の一種であるビットコイン（登録商標）の単位である。しかしながら、本開示はビットコイン（登録商標）に限定されるものではなく、他の暗号通貨に同じ説明が適用されてもよい。

目標アドレス９３０は、取引Ａ（９２１）によってサービスアドレスであるＡＤＤＲ１（９１１）から２ＢＴＣの暗号通貨を預入する。ここで、サービスアドレスは、取引所のアドレスを意味してもよい。

目標アドレス９３０は、取引Ｂ（９２２）によって目標アドレス９３０と同じ所有者のアドレスであるＡＤＤＲ２（９１２）から５ＢＴＣの暗号通貨を預入する。同時に、目標アドレス９３０は、取引Ｂ（９２２）によって、ミュールアドレスであるＡＤＤＲ３（９１３）から３ＢＴＣの暗号通貨を預入する。すなわち、目標アドレス９３０は、取引Ｂ（９２２）によって８ＢＴＣ分の暗号通貨を預入する。

目標アドレス９３０は、取引Ｃ（９４１）によってミュールアドレスであるＡＤＤＲ５（９５１）に２ＢＴＣの暗号通貨を送付する。

目標アドレス９３０は、取引Ｄ（９４２）によってサービスアドレスであるＡＤＤＲ６（９５２）に２ＢＴＣの暗号通貨を送付する。同時に、目標アドレス９３０は、取引Ｄ（９４２）によって特定されていないアドレスであるＡＤＤＲ７（９５３）に６ＢＴＣの暗号通貨を送付する。特定されていないアドレスは、不正なアドレス検出装置１００によって良好なアドレス、不正なアドレスグループ、ミュールアドレスグループ、またはサービスアドレスグループとして判定されていないアドレスである。目標アドレス９３０は、取引Ｄ（９４２）によって８ＢＴＣ分の暗号通貨を送付する。

不正なアドレス検出装置１００は、第１の特徴情報を含む特徴情報を取得してもよい。

不正なアドレス検出装置１００は、良好なアドレス情報、不正なアドレスグループに関する情報、及びミュールアドレスグループに関する情報に基づいて、良好なアドレスまたは不正なアドレスグループに含まれた目標アドレス９３０の最初の取引から最後の取引までの時間を示す第１の特徴情報を取得するステップを行う。

例えば、不正なアドレス検出装置１００は、目標アドレス９３０に関する情報に基づいて、取引Ａ（９２１）、取引Ｂ（９２２）、取引Ｃ（９４１）、取引Ｄ（９４２）などの取引履歴を取得する。取引Ａ（９２１）は、２０１９年２月１日に行われ、取引Ｂ（９２２）は、２０１９年３月１日に行われ、取引Ｃ（９４１）は、２０１９年５月１日に行われ、取引Ｄ（９４２）は、２０１９年４月１日に行われた。不正なアドレス検出装置１００は、目標アドレス９３０の最初の取引を取引Ａ（９２１）として判定する。また、不正なアドレス検出装置１００は、目標アドレス９３０の最後の取引を取引Ｃ（９４１）として判定する。さらに、不正なアドレス検出装置１００は、最初の取引から最後の取引までの時間を８９日であると判定する。不正なアドレス検出装置１００は、８９日を示す情報を目標アドレス９３０の第１の特徴情報として取得する。

不正なアドレスの第１の特徴情報は、良好なアドレスの第１の特徴よりも短い傾向がある。よって、不正なアドレス検出装置１００は、第１の特徴情報に基づいて、新しいアドレスが不正なアドレスであるか否かを判定する。

不正なアドレス検出装置１００は、第２の特徴情報を含む特徴情報を取得してもよい。

不正なアドレス検出装置１００は、良好なアドレスまたは不正なアドレスグループに含まれた目標アドレスの暗号通貨の預入から暗号通貨の送付までにかかる時間の平均を示す第２の特徴情報を取得するステップを行う。

例えば、目標アドレス９３０が取引Ａ（９２１）から預入した２ＢＴＣは、取引Ｃ（９４１）によって目標アドレス９３０から送付される。取引Ａ（９２１）と取引Ｃ（９４１）との間の時間は８９日である。また、目標アドレス９３０が取引Ｂ（９２２）から預入した８ＢＴＣは、取引Ｄ（９４２）によって目標アドレス９３０から送付される。取引Ｂ（９２２）と取引Ｄ（９４２）との間の時間は３１日である。よって、目標アドレスの暗号通貨の預入から暗号通貨の送付までにかかる時間の平均は、（３１＋８９）／２＝６０である。不正なアドレス検出装置１００は、６０日を示す情報を目標アドレス９３０の第２の特徴情報として取得する。

不正なアドレスの第２の特徴情報は、良好なアドレスの第２の特徴よりも短い傾向がある。よって、不正なアドレス検出装置１００は、第２の特徴情報に基づいて、新しいアドレスが不正なアドレスであるか否かを判定する。

不正なアドレス検出装置１００は、第３の特徴情報を含む特徴情報を取得してもよい。

不正なアドレス検出装置１００は、良好なアドレスまたは不正なアドレスグループに含まれた目標アドレス９３０が暗号通貨を預入する第１の取引９２１及び９２２の数に対して、第１の取引で暗号通貨を送付する出発地アドレス９１１，９１２，９１３の数を示す第１のアドレス数情報を取得するステップを行う。

例えば、目標アドレス９３０は、取引Ａ（９２１）及び取引Ｂ（９２２）のような２件の取引によって暗号通貨を預入する。取引Ａ（９２１）で暗号通貨を送付する出発地アドレスは、ＡＤＤＲ１（９１１）である。また、取引Ｂ（９２２）で暗号通貨を送付する出発地アドレスは、ＡＤＤＲ２（９１２）及びＡＤＤＲ３（９１３）である。目標アドレス９３０が暗号通貨を預入する取引の数は２つであり、出発地アドレスは３つである。よって、不正なアドレス検出装置１００は、第１のアドレス数情報を３／２＝１．５であると判定する。

不正なアドレス検出装置１００は、第１の取引の数に対して、第１の取引で暗号通貨を預入する目的地アドレスの数を示す第２のアドレス数情報を取得するステップを行う。

例えば、目標アドレス９３０は、取引Ａ（９２１）及び取引Ｂ（９２２）のような２件の取引によって暗号通貨を預入する。取引Ａ（９２１）で暗号通貨を預入する目的地アドレスは、目標アドレス９３０である。また、取引Ｂ（９２２）で暗号通貨を預入する目的地アドレスは、目標アドレス９３０である。目標アドレス９３０が暗号通貨を預入する取引の数は２つであり、目的地アドレスは１つである。よって、不正なアドレス検出装置１００は、第２のアドレス数情報を１／２＝０．５であると判定する。

不正なアドレス検出装置１００は、目標アドレスが暗号通貨を送付する第２の取引の数に対して、第２の取引で暗号通貨を送付する出発地アドレスの数を示す第３のアドレス数情報を取得するステップを行う。

例えば、目標アドレス９３０は、取引Ｃ（９４１）及び取引Ｄ（９４２）のような２件の取引によって暗号通貨を送付する。取引Ｃ（９４１）で暗号通貨を送付する出発地アドレスは、目標アドレス９３０である。また、取引Ｄ（９４２）で暗号通貨を送付する出発地アドレスは、目標アドレス９３０である。目標アドレス９３０が暗号通貨を送付する取引の数は２つであり、出発地アドレスは１つである。よって、不正なアドレス検出装置１００は、第３のアドレス数情報を１／２＝０．５であると判定する。

不正なアドレス検出装置１００は、第２の取引の数に対して、第２の取引で暗号通貨を預入する目的地アドレスの数を示す第４のアドレス数情報を取得するステップを行う。

例えば、目標アドレス９３０は、取引Ｃ（９４１）及び取引Ｄ（９４２）のような２件の取引によって暗号通貨を送付する。取引Ｃ（９４１）で暗号通貨を預入する目的地アドレスは、ＡＤＤＲ５（９５１）である。また、取引Ｄ（９４２）で暗号通貨を預入する目的地アドレスは、ＡＤＤＲ６（９５２）及びＡＤＤＲ７（９５３）である。目標アドレス９３０が暗号通貨を送付する取引の数は２つであり、目的地アドレスは３つである。よって、不正なアドレス検出装置１００は、第４のアドレス数情報を３／２＝１．５であると判定する。

不正なアドレス検出装置１００は、第１のアドレス数情報、第２のアドレス数情報、第３のアドレス数情報、及び第４のアドレス数情報を第３の特徴情報として判定するステップを行う。

不正なアドレスが暗号通貨を預入する取引において、目的地の数は、所定数以下であることが多い。しかしながら、良好なアドレスは、主に取引所で取引をするため、多対多の取引であることが多い。よって、良好なアドレスが暗号通貨を預入する取引において、目的地の数は、所定数以上であることが多い。

また、良好なアドレスに対する出発地の数に対して、不正なアドレスが暗号通貨を送付する取引における出発地の数は、所定数以上であることが多い。これは、不正なアドレスを所有している人は、多くの暗号通貨アドレスを運営しているためである。

不正なアドレス検出装置１００は、第４の特徴情報を含む特徴情報を取得してもよい。

不正なアドレス検出装置１００は、良好なアドレスまたは不正なアドレスグループに含まれた目標アドレス９３０が暗号通貨を預入した暗号通貨全体に対して、目標アドレス９３０が含まれたアドレスグループから暗号通貨を直接預入した暗号通貨の割合を示す第１の割合情報を取得するステップを行う。

良好なアドレスは、所有者を区別することなく、１つのグループとしてまとめる。良好なアドレス全体が、１つの良好なアドレスグループであると言える。しかしながら、これに限定されるものではなく、良好なアドレスを所有者ごとにグループ化してもよい。所有者ごとにグループ化された良好なアドレスを、良好なアドレスグループとしてもよい。

良好なアドレスグループ、不正なアドレスグループ、及びミュールアドレスグループは、それぞれ複数のアドレスグループを含む。目標アドレス９３０が第１の不正なアドレスグループに属している場合、不正なアドレス検出装置１００は、目標アドレス９３０が暗号通貨を預入した暗号通貨全体について、第１の不正なアドレスグループに属するアドレスから暗号通貨を直接預入した暗号通貨の割合を第１の割合情報として取得する。第１の割合は、パーセント、分数または実数で表してもよい。

目標アドレス９３０が暗号通貨を直接預入したということは、途中で他のアドレスを経由することなく、目標アドレス９３０が出発地アドレスから直接暗号通貨を預入したことを意味する。また、目標アドレス９３０がたった１件の取引によって暗号通貨を預入したことを意味する。図９を参照すると、目標アドレス９３０は、取引Ａ（９２１）によってＡＤＤＲ１（９１１）から暗号通貨を預入する。また、目標アドレス９３０は、取引Ｂ（９２２）によってＡＤＤＲ２（９１２）から暗号通貨を預入する。さらに、目標アドレス９３０は、取引Ｂ（９２２）によってＡＤＤＲ３（９１３）から暗号通貨を預入する。よって、図９において、目標アドレス９３０が暗号通貨を直接預入した出発地アドレスは、ＡＤＤＲ１（９１１）、ＡＤＤＲ２（９１２）及びＡＤＤＲ３（９１３）である。

図９を参照すると、目標アドレス９３０が預入した全暗号通貨は、１０ＢＴＣである。目標アドレス９３０が含まれたアドレスグループの他のアドレスであるＡＤＤＲ２（９１２）から直接預入した暗号通貨が５ＢＴＣである場合、第１の割合情報は５０％になる。

不正なアドレス検出装置１００は、目標アドレス９３０が暗号通貨を預入した暗号通貨全体に対して、暗号通貨取引サービスで暗号通貨を直接預入した暗号通貨の割合を示す第２の割合情報を取得するステップを行う。暗号通貨取引サービスは、暗号通貨取引所を意味してもよい。

例えば、図９を参照すると、目標アドレス９３０が預入した全暗号通貨は、１０ＢＴＣである。目標アドレス９３０が暗号通貨取引サービスのアドレスであるＡＤＤＲ１（９１１）から直接預入した暗号通貨が２ＢＴＣである場合、第2の割合情報は２０％になる。

不正なアドレス検出装置１００は、目標アドレス９３０が暗号通貨を預入した暗号通貨全体に対して、不正なアドレスグループに含まれた第１のアドレスから暗号通貨を直接預入した暗号通貨の割合を示す第３の割合情報を取得するステップを行う。

目標アドレス９３０が不正なアドレスグループに含まれた場合、第３の割合情報には、第１の割合情報が含まれる。よって、不正なアドレス検出装置１００は、第３の割合情報を取得する際に、目標アドレス９３０が不正なアドレスグループに含まれた場合、目標アドレス９３０が含まれた不正なアドレスグループとは異なる不正なアドレスグループに含まれた第１のアドレスから直接預入された暗号通貨の多寡に基づいて、第３の割合情報として取得する。しかしながら、これに限定されるものではない。目標アドレス９３０が不正なアドレスグループに含まれた場合、不正なアドレス検出装置１００は、目標アドレス９３０が含まれた不正なアドレスグループ内の第１のアドレスから直接預入された暗号通貨の多寡に基づいて、第３の割合情報を取得する。

不正なアドレス検出装置１００は、目標アドレス９３０が暗号通貨を預入した暗号通貨全体に対して、ミュールアドレスグループに含まれた第２のアドレスから暗号通貨を直接預入した暗号通貨の割合を示す第４の割合情報を取得するステップを行う。

例えば、図９を参照すると、目標アドレス９３０が預入した全暗号通貨は、１０ＢＴＣである。目標アドレス９３０がミュールアドレスグループに含まれた第２のアドレスであるＡＤＤＲ３（９１３）から直接預入した暗号通貨が３ＢＴＣである場合、第4の割合情報は３０％になる。

不正なアドレス検出装置１００は、第１の割合情報、第２の割合情報、第３の割合情報、及び第４の割合情報を第４の特徴情報として判定するステップを行う。

不正なアドレス検出装置１００は、第５の特徴情報を含む特徴情報を取得してもよい。

不正なアドレス検出装置１００は、良好なアドレスまたは不正なアドレスグループに含まれた目標アドレス９３０が暗号通貨を送付した暗号通貨全体に対して、目標アドレス９３０が含まれたアドレスグループに暗号通貨を直接送付した暗号通貨の割合を示す第５の割合情報を取得するステップを行う。

目標アドレス９３０が暗号通貨を直接送付したということは、途中で他のアドレスを経由することなく、目標アドレス９３０が目的地アドレスに直接暗号通貨を送付したことを意味する。また、目標アドレス９３０がたった１件の取引によって暗号通貨を送付したことを意味する。図９を参照すると、目標アドレス９３０は、取引Ｃ（９４１）によってＡＤＤＲ５（９５１）に暗号通貨を送付する。また、目標アドレス９３０は、取引Ｄ（９４２）によってＡＤＤＲ６（９５２）に暗号通貨を送付する。さらに、目標アドレス９３０は、取引Ｄ（９４２）によってＡＤＤＲ７（９５３）に暗号通貨を送付する。よって、図９において、目標アドレス９３０が暗号通貨を直接送付した目的地アドレスは、ＡＤＤＲ５（９５１）、ＡＤＤＲ６（９５２）、及びＡＤＤＲ７（９５３）である。

不正なアドレス検出装置１００は、目標アドレス９３０が暗号通貨を送付した暗号通貨全体に対して、暗号通貨取引サービスで暗号通貨を直接送付した暗号通貨の割合を示す第６の割合情報を取得するステップを行う。

例えば、図９を参照すると、目標アドレス９３０が暗号通貨を送付した全暗号通貨の多寡は、１０ＢＴＣである。また、暗号通貨取引サービスのアドレスであるＡＤＤＲ６（９５２）に直接送付した暗号通貨の多寡は、２ＢＴＣである。よって、不正なアドレス検出装置１００は、第６の割合情報として２０％を取得する。

不正なアドレス検出装置１００は、目標アドレス９３０が暗号通貨を送付した暗号通貨全体に対して、不正なアドレスグループに含まれた第１のアドレスに暗号通貨を直接送付した暗号通貨の割合を示す第７の割合情報を取得するステップを行う。

図９を参照すると、目標アドレス９３０は、取引Ｄ（９４２）及び取引Ｅ（９６０）によって暗号通貨を不正なアドレスであるＡＤＤＲ９（９７２）に暗号通貨を送付した。しかしながら、目標アドレス９３０が不正なアドレスであるＡＤＤＲ９（９７２）に、２つ以上の取引を用いて暗号通貨を送付したので、不正なアドレス検出装置１００は、目標アドレス９３０が不正なアドレスに直接送付しなかったと判定する。

不正なアドレス検出装置１００は、目標アドレスが暗号通貨を預入した暗号通貨全体に対して、ミュールアドレスグループに含まれた第２のアドレスに暗号通貨を直接送付した暗号通貨の割合を示す第８の割合情報を取得するステップを行う。

例えば、図９を参照すると、目標アドレス９３０が暗号通貨を送付した全暗号通貨の多寡は、１０ＢＴＣである。また、ミュールアドレスグループに含まれたアドレスであるＡＤＤＲ５（９５１）に直接送付された暗号通貨の多寡は、２ＢＴＣである。よって、不正なアドレス検出装置１００は、第８の割合情報として２０％を取得する。

不正なアドレス検出装置１００は、第５の割合情報、第６の割合情報、第７の割合情報、及び第８の割合情報を第５の特徴情報として判定するステップを行う。

不正なアドレス検出装置１００は、第６の特徴情報を含む特徴情報を取得してもよい。

不正なアドレス検出装置１００は、良好なアドレスまたは不正なアドレスグループに含まれた目標アドレス９３０が暗号通貨を送付した暗号通貨全体に対して、暗号通貨取引サービスで暗号通貨を間接送付した暗号通貨の割合を示す第９の割合情報を取得するステップを行う。

暗号通貨の間接送付・預入とは、出発地アドレスから送付された暗号通貨が２件以上の取引によって目的地アドレスに到達することを意味する。例えば、図９を参照すると、目標アドレス９３０からＡＤＤＲ８（９７１）またはＡＤＤＲ９（９７２）に暗号通貨が送付されるためには、取引Ｄ（９４２）及び取引Ｅ（９６０）を経る。不正なアドレス検出装置１００は、目標アドレス９３０がＡＤＤＲ８（９７１）またはＡＤＤＲ９（９７２）に暗号通貨を間接送付したと判定する。

間接送付・預入があったか否かを判定するためには、複数のアドレスの取引履歴を確認する必要があるので、不正なアドレス検出装置１００の処理能力が大きく求められる。不正なアドレス検出装置１００は、所定の件数の取引においてアドレス同士に暗号通貨の間接送付・預入があったか否かを判定する。不正なアドレス検出装置１００が所定の件数の取引において間接送付・預入があったか否かを判定することで、不正なアドレス検出装置１００は、間接取引を確認するために処理能力が大幅に消費されることを防止する。例えば、不正なアドレス検出装置１００は、目標アドレス９３０が暗号通貨を送付し、１０件以下の取引において暗号通貨取引サービスで間接送付があったか否かを判定する。

例えば、図９を参照すると、目標アドレス９３０が暗号通貨を送付した全暗号通貨の多寡は、１０ＢＴＣである。目標アドレス９３０は、取引Ｄ（９４２）及び取引Ｅ（９６０）を経て、暗号通貨取引サービスのアドレスであるＡＤＤＲ８（９７１）に２ＢＴＣを間接送付する。不正なアドレス検出装置１００は、第９の割合情報を２０％として判定する。

不正なアドレス検出装置１００は、目標アドレスが暗号通貨を送付した暗号通貨全体に対して、不正なアドレスグループに含まれた第１のアドレスに暗号通貨を間接送付した暗号通貨の割合を示す第１０の割合情報を取得するステップを行う。

例えば、図９を参照すると、目標アドレス９３０が暗号通貨を送付した全暗号通貨の多寡は、１０ＢＴＣである。目標アドレス９３０は、取引Ｄ（９４２）及び取引Ｅ（９６０）を経て、不正なアドレスグループに含まれた第１のアドレスであるＡＤＤＲ９（９７２）に４ＢＴＣを間接送付する。不正なアドレス検出装置１００は、第１０の割合情報を４０％として判定する。

不正なアドレス検出装置１００は、目標アドレスが暗号通貨を預入した暗号通貨全体に対して、ミュールアドレスグループに含まれた第２のアドレスに暗号通貨を間接送付した暗号通貨の割合を示す第１１の割合情報を取得するステップを行う。

不正なアドレス検出装置１００は、第９の割合情報、第１０の割合情報、及び第１１の割合情報を第６の特徴情報として判定するステップを行う。

以上のように、不正なアドレス検出装置１００は、第１の特徴情報ないし第６の特徴情報を取得する。不正なアドレス検出装置１００は、第１の特徴情報ないし第６の特徴情報に基づいて、機械学習モデルを生成するステップ４５０を行う。

図１０は、本開示の一実施形態に係る不正なアドレス検出装置１００の動作を示すブロック図である。

不正なアドレス検出装置１００は、データベース３１０及び特徴抽出部３４０からアドレスのラベル情報１０１１及び特徴情報１０１２を取得する。アドレスのラベル情報１０１１は、「良好」または「不正」で示される。特徴情報１０１２は、第１の特徴情報ないし第６の特徴情報のうち少なくとも１つである。

不正なアドレス検出装置１００は、アドレスのラベル情報１０１１及び特徴情報１０１２に基づいて機械学習モデル３６０を取得する。不正なアドレス検出装置１００は、機械学習モデル３６０をメモリに記憶して後で用いる。また、不正なアドレス検出装置１００は、他の不正なアドレス検出装置に機械学習モデル３６０を送信してもよい。

不正なアドレス検出装置１００は、新しい暗号通貨アドレス１０５０を取得するステップを行う。不正なアドレス検出装置１００は、新しい暗号通貨アドレスに関する新しい特徴情報を取得するステップを行う。不正なアドレス検出装置１００は、新しい特徴情報を予め取得された機械学習モデル３６０に適用して、新しい暗号通貨アドレスが不正なアドレスであるか否かを判定するステップを行う。また、不正なアドレス検出装置１００は、不正なアドレスであるか否かを示す結果情報１０７０を出力する。

不正なアドレス検出装置１００は、機械学習モデルまたは不正なアドレスグループに基づいて、新しい暗号通貨アドレスのリスクに関する情報を出力する。

例えば、不正なアドレス検出装置１００は、新しい暗号通貨アドレスが不正なアドレスグループに含まれている場合、新しい暗号通貨アドレスの不正リスクを５に判定するステップを行う。リスクが５ということは、最も危険であることを意味する。また、リスクは１まで減らすことができ、リスクが１ということは、リスクが低いことを意味する。リスクが０ということは、リスクを判断できないことを示す。本開示では、リスクを０～５で示したが、他の文字または数字で危険であることを示してもよい。

不正なアドレス検出装置１００は、新しい暗号通貨アドレスが、不正なアドレスグループに含まれた第１のアドレスと直接暗号通貨を取引した場合、新しい暗号通貨アドレスの不正リスクを４に判定するステップを行う。第１のアドレスと直接暗号通貨を取引したということは、１件の取引で第１のアドレスが新しい暗号通貨アドレスに暗号通貨を送付するか、あるいは第１のアドレスが新しい暗号通貨アドレスから暗号通貨を預入することを意味する。

不正なアドレス検出装置１００は、新しい暗号通貨アドレスが、不正なアドレスグループに含まれた第１のアドレスと間接的に暗号通貨を取引した場合、新しい暗号通貨アドレスの不正リスクを３に判定するステップを行う。新しい暗号通貨アドレスが第１のアドレスと間接的に暗号通貨を取引したということは、第１のアドレスが１つ以上のアドレスを経由して新しい暗号通貨アドレスに暗号通貨を送付するか、あるいは第１のアドレスが１つ以上のアドレスを経由して新しい暗号通貨アドレスから暗号通貨を預入することを意味する。

間接取引を確認するためには、様々なアドレスの取引履歴を確認しなければならないため、不正なアドレス検出装置１００が間接取引を確認するためには、多くの処理能力が必要となる。不正なアドレス検出装置１００は、新しい暗号通貨アドレスが送付または預入した暗号通貨が所定の件数の取引を行っている間、不正なアドレスグループに含まれた第１のアドレスが出現するか否かを確認し、処理能力が大幅に消費されることを防止する。所定の件数は、不正なアドレス検出装置１００の処理能力に基づいて決定される。例えば、所定の件数は、１０件であってもよい。

不正なアドレス検出装置１００は、機械学習モデルに基づいて、新しい暗号通貨アドレスが不正なアドレスであると判定された場合、新しい暗号通貨アドレスの不正リスクを２に判定するステップを行う。機械学習モデルによる不正なアドレス検出装置１００の結果は、「不正」または「良好」で示される。不正なアドレス検出装置１００は、結果が「不正」である場合、リスクを２に判定する。不正なアドレス検出装置１００は、結果が「良好」である場合、次のステップを確認する。

不正なアドレス検出装置１００は、新しい暗号通貨アドレスが取引履歴を持たない場合、新しい暗号通貨アドレスの不正リスクを１に判定するステップを行う。

不正なアドレス検出装置１００は、リスクが１～５に分類されていない場合、新しい暗号通貨アドレスの不正リスクを０に判定するステップを行う。リスクが０ということは、リスクを判定できないことを示す。

これまで様々な実施形態を挙げて説明した。本発明の属する技術分野における通常の知識を有する者であれば、本発明が、本発明の本質的な特性から逸脱しない範囲で変形された形で実装され得ることを理解できるであろう。よって、開示された実施例は、限定的な観点ではなく、説明的な観点で考慮されるべきである。本発明の範囲は、前述した説明ではなく、特許請求の範囲に示されており、それと同等の範囲内にあるすべての相違点は、本発明に含まれるものと解釈されるべきである。

なお、前述した本発明の実施形態は、コンピュータで実行可能なプログラムとして作成されてもよく、コンピュータで読み取り可能な記録媒体を用いて前記プログラムを動作させる汎用デジタルコンピュータにて実現されてもよい。前記コンピュータで読み取り可能な記録媒体としては、磁気記憶媒体（例えば、ロム、フロッピーディスク、ハードディスクなど）、光学的読取媒体（例えば、シーディーロム、ディブイディなど）のような記憶媒体が含まれる。

Claims (9)

1. 不正なアドレス検出装置において、機械学習を用いて暗号通貨の不正なアドレスを検出するための方法であって、
   データベースから、不正な取引に用いられたとラベル付けされた不正なアドレス（ｓｃａｍ ａｄｄｒｅｓｓｅｓ）に関する情報及び通常の取引に用いられたとラベル付けされた良好なアドレス（ｂｅｎｉｇｎ ａｄｄｒｅｓｓｅｓ）に関する情報を取得するステップと、
   前記不正なアドレスに関する情報に基づいて、同じユーザが所有していると判定された不正なアドレスグループに関する情報を取得するステップと、
   前記不正なアドレスグループに基づいて、マネーロンダリングに用いられるミュール（ｍｕｌｅ）アドレスグループに関する情報を取得するステップと、
   前記良好なアドレスに関する情報、前記不正なアドレスグループに関する情報、またはミュールアドレスグループに関する情報のうち少なくとも１つに基づいて、前記良好なアドレス、前記不正なアドレスグループまたはミュールアドレスグループに含まれたそれぞれのアドレスに対応する特徴情報を取得するステップと、
   前記それぞれのアドレスに対応する特徴情報及び前記それぞれのアドレスに対応するラベル情報を機械学習することで、機械学習モデルを生成するステップとを含み、
   前記特徴情報を取得するステップが、
   前記良好なアドレスに関する情報、前記不正なアドレスグループに関する情報、及び前記ミュールアドレスグループに関する情報に基づいて、前記良好なアドレスまたは前記不正なアドレスグループに含まれた目標アドレスの最初の取引から最後の取引までの時間を示す第１の特徴情報を取得するステップを含むことを特徴とする、不正なアドレス検出方法。
2. 前記ミュールアドレスグループに関する情報を取得するステップが、
   前記不正なアドレスグループに関する情報に基づいて、前記不正なアドレスグループに含まれた第１の不正なアドレスに関連する暗号通貨の流れを取得するステップと、
   前記第１の不正なアドレスから暗号通貨が送付され、前記不正なアドレスグループまたは前記不正なアドレスグループとは異なる不正なアドレスグループに含まれた第２の不正なアドレスに到達するまで経由するアドレスの集まりをミュールアドレスグループとして判定するステップとを含むことを特徴とする、請求項１に記載の不正なアドレス検出方法。
3. 前記特徴情報を取得するステップが、
   前記良好なアドレスまたは前記不正なアドレスグループに含まれた目標アドレスの暗号通貨の預入から暗号通貨の送付までにかかる時間の平均を示す第２の特徴情報を取得するステップを含むことを特徴とする、請求項１に記載の不正なアドレス検出方法。
4. 前記特徴情報を取得するステップが、
   前記良好なアドレスまたは前記不正なアドレスグループに含まれた目標アドレスが暗号通貨を預入する第１の取引の数に対して、前記第１の取引で暗号通貨を送付する出発地アドレスの数を示す第１のアドレス数情報を取得するステップと、
   前記第１の取引の数に対して、前記第１の取引で暗号通貨を預入する目的地アドレスの数を示す第２のアドレス数情報を取得するステップと、
   前記目標アドレスが暗号通貨を送付する第２の取引の数に対して、前記第２の取引で暗号通貨を送付する出発地アドレスの数を示す第３のアドレス数情報を取得するステップと、
   前記第２の取引の数に対して、前記第２の取引で暗号通貨を預入する目的地アドレスの数を示す第４のアドレス数情報を取得するステップと、
   前記第１のアドレス数情報、前記第２のアドレス数情報、前記第３のアドレス数情報、及び前記第４のアドレス数情報を第３の特徴情報として判定するステップとを含むことを特徴とする、請求項１に記載の不正なアドレス検出方法。
5. 前記特徴情報を取得するステップが、
   前記良好なアドレスまたは前記不正なアドレスグループに含まれた目標アドレスが暗号通貨を預入した暗号通貨全体に対して、前記目標アドレスが含まれたアドレスグループから暗号通貨を直接預入した暗号通貨の割合を示す第１の割合情報を取得するステップと、
   前記目標アドレスが暗号通貨を預入した暗号通貨全体に対して、暗号通貨取引サービスで暗号通貨を直接預入した暗号通貨の割合を示す第２の割合情報を取得するステップと、
   前記目標アドレスが暗号通貨を預入した暗号通貨全体に対して、前記不正なアドレスグループに含まれた第１のアドレスから暗号通貨を直接預入した暗号通貨の割合を示す第３の割合情報を取得するステップと、
   前記目標アドレスが暗号通貨を預入した暗号通貨全体に対して、前記ミュールアドレスグループに含まれた第２のアドレスから暗号通貨を直接預入した暗号通貨の割合を示す第４の割合情報を取得するステップと、
   前記第１の割合情報、前記第２の割合情報、前記第３の割合情報、及び前記第４の割合情報を第４の特徴情報として判定するステップとを含むことを特徴とする、請求項１に記載の不正なアドレス検出方法。
6. 前記特徴情報を取得するステップが、
   前記良好なアドレスまたは前記不正なアドレスグループに含まれた目標アドレスが暗号通貨を送付した暗号通貨全体に対して、前記目標アドレスが含まれたアドレスグループに暗号通貨を直接送付した暗号通貨の割合を示す第５の割合情報を取得するステップと、
   前記目標アドレスが暗号通貨を送付した暗号通貨全体に対して、暗号通貨取引サービスで暗号通貨を直接送付した暗号通貨の割合を示す第６の割合情報を取得するステップと、
   前記目標アドレスが暗号通貨を送付した暗号通貨全体に対して、前記不正なアドレスグループに含まれた第１のアドレスに暗号通貨を直接送付した暗号通貨の割合を示す第７の割合情報を取得するステップと、
   前記目標アドレスが暗号通貨を預入した暗号通貨全体に対して、前記ミュールアドレスグループに含まれた第２のアドレスに暗号通貨を直接送付した暗号通貨の割合を示す第８の割合情報を取得するステップと、
   前記第５の割合情報、前記第６の割合情報、前記第７の割合情報、及び前記第８の割合情報を第５の特徴情報として判定するステップとを含むことを特徴とする、請求項１に記載の不正なアドレス検出方法。
7. 前記特徴情報を取得するステップが、
   前記良好なアドレスまたは前記不正なアドレスグループに含まれた目標アドレスが暗号通貨を送付した暗号通貨全体に対して、暗号通貨取引サービスで暗号通貨を間接送付した暗号通貨の割合を示す第９の割合情報を取得するステップと、
   前記目標アドレスが暗号通貨を送付した暗号通貨全体に対して、前記不正なアドレスグループに含まれた第１のアドレスに暗号通貨を間接送付した暗号通貨の割合を示す第１０の割合情報を取得するステップと、
   前記目標アドレスが暗号通貨を預入した暗号通貨全体に対して、前記ミュールアドレスグループに含まれた第２のアドレスに暗号通貨を間接送付した暗号通貨の割合を示す第１１の割合情報を取得するステップと、
   前記第９の割合情報、前記第１０の割合情報、及び前記第１１の割合情報を第６の特徴情報として判定するステップとを含むことを特徴とする、請求項１に記載の不正なアドレス検出方法。
8. 新しい暗号通貨アドレスを取得するステップと、
   前記新しい暗号通貨アドレスに関する新しい特徴情報を取得するステップと、
   前記新しい特徴情報を前記機械学習モデルに適用して、前記新しい暗号通貨アドレスが、不正なアドレスであるか否かを判定するステップとを含むことを特徴とする、請求項１に記載の不正なアドレス検出方法。
9. 前記新しい暗号通貨アドレスが、前記不正なアドレスグループに含まれた場合、前記新しい暗号通貨アドレスの不正リスクを５に判定するステップと、
   前記新しい暗号通貨アドレスが、前記不正なアドレスグループに含まれた第１のアドレスと直接暗号通貨を取引した場合、新しい暗号通貨アドレスの不正リスクを４に判定するステップと、
   前記新しい暗号通貨アドレスが、前記不正なアドレスグループに含まれた第１のアドレスと間接的に暗号通貨を取引した場合、新しい暗号通貨アドレスの不正リスクを３に判定するステップと、
   前記機械学習モデルに基づいて、前記新しい暗号通貨アドレスが、不正なアドレスであると判定された場合、新しい暗号通貨アドレスの不正リスクを２に判定するステップと、
   前記新しい暗号通貨アドレスに取引履歴がない場合、新しい暗号通貨アドレスの不正リスクを１に判定するステップと、
   リスクが１から５に分類されていない場合、新しい暗号通貨アドレスの不正リスクを０に判定するステップとを含むことを特徴とする、請求項８に記載の不正なアドレス検出方法。