交易图上的洗钱迷宫——非法交易的邻居，99.8%也是非法

先验直觉：洗钱团伙会把资金拆成无数小笔、绕很多账户,以为这样就能"混进"正常交易流。但 Elliptic 比特币交易网络(20.4 万个交易节点、23.4 万条边,官方标注非法/合法)给出一个图论层面的铁证:非法交易的邻居里,99.8% 也是非法交易;最大的连通分量(1,279 个节点)里,99% 是非法节点。洗钱不是"混进人群",而是"抱团成簇"——因为钱必须在团伙内部流转,这个结构性的聚集,就是图算法反洗钱抓的命门。

关键词：反洗钱，图算法，交易网络，团伙检测，连通分量，社区发现，AML

交易网络里怎么找到洗钱的人?一个直觉是"看金额":大额、频繁、异常路径。但洗钱团伙早就不这么干了——他们把资金拆碎、分层、绕圈,单笔交易看起来都"正常"。

真正的破绽不在单笔交易,在交易之间的关系。把每笔交易当成节点、交易往来当成边,洗钱活动会在图上留下一个无法抹去的痕迹:聚集。

非法交易,物以类聚

Elliptic 数据集把 20.4 万个交易节点标注为合法/非法/未知。只看有标注的节点和它们之间的边(35,874 个节点、36,624 条边),图结构立刻说话:

非法节点邻居中非法占比(抽样): 99.8%
合法节点邻居中合法占比:       更高
最大连通分量: 1,279 个节点,其中 1,268 个是非法 (99%)

度分布

非法交易的邻居几乎全是非法交易。 洗钱作业的结构性要求，巧合解释不了它:资金要在团伙内部转移(从收款账户到洗钱账户到提现账户),必然形成内部密集的网络;而合法交易的资金来自四面八方,邻居构成是"混合"的。同配性(assortativity)——"同类的节点倾向于连接同类"——就是图上的洗钱指纹。

数学上,同配性用同类节点对的比例度量。对二分类(非法/合法),最直观的指标是组内连接占比:

P_{h o m o p h i l y} = \frac{同 类 节 点 之 间 的 边}{总 边 数}

随机图里,非法节点只占 8.7%,同类连接占比应该接近 $8.7 % \times 8.7 % \approx 0.8 %$ ;实测非法-非法边占比远超随机水平——聚集是真实的、强烈的。

为什么洗钱必须"抱团"

两个机制决定了非法交易的高同配性:

第一,资金流转必须内部闭环。 洗钱的核心是"把钱从脏的地方挪到干净的地方":收款账户 → 分层账户 → 混币/整合 → 提现。这条链上的每一步都发生在团伙控制的账户之间,所以非法节点之间天然有大量边。合法交易则相反:买家和卖家互不认识,交易网络是"星型+随机"的,没有内部闭环。

第二,非法节点更"忙碌"。 实测度分布:

非法节点(33,390): 平均度 2.08, 度>10 占比 1.3%
合法节点(2,484):  平均度 1.49, 度>10 占比 0.5%

非法vs合法度分布

非法节点的平均连接数更高,高连接(度>10)的占比是合法的 2.6 倍——团伙的"枢纽账户"连接大量交易,这与洗钱网络"少数核心节点中转大量资金"的结构一致。枢纽节点(高介数)是洗钱网络的七寸:切断它们,整条资金链瘫痪。

连通分量：洗钱团伙的"独立王国"

把图切成连通分量(互相可达的节点群),实测:

连通分量: 2,719 个
最大分量: 1,279 节点(占已知子图 3.6%),其中 99% 是非法
Top5 分量: [1279, 1136, 941, 940, 879]

连通分量

已知类别的交易网络拆开看是2,719 个中小组件，拼不成一张大网——最大分量 1,279 个节点里几乎全是非法交易。这个发现反直觉又有力:洗钱团伙的做法，是"自己形成一个独立王国"——他们不藏进人群，而是自成体系——他们的交易在内部流转,很少与外界连接。所以与其全网找异常,不如先把连通分量切出来,看每个分量内部的非法浓度——非法浓度高的分量,整体就是可疑团伙。

图特征：把"关系"变成数字进模型

图分析不能只停留在画图上,要把结构变成特征喂给模型。三类最实用:

度与中心性:

d e g r e e (v) = \sum_{u \in N (v)} 1, b e t w e e n n e s s (v) = \sum_{s \neq t \neq v} \frac{σ_{s t} (v)}{σ_{s t}}

度=直接连接数;介数中心性=有多少最短路径经过该节点——洗钱网络的"中转枢纽"介数极高。

聚类系数(局部三角密度):

C (v) = \frac{2 \cdot | {t r i a n g l e s c o n t a i n i n g v} |}{d e g r e e (v) \cdot (d e g r e e (v) - 1)}

实测非法节点抽样 500 个里就有 35 个三角——非法节点更倾向形成闭合小团体(团伙内部两两都有往来),聚类系数是"小团伙"的量化。

邻居构成(最有力):非法节点的邻居中非法占比 99.8%。直接做成特征"邻居非法浓度",规则引擎和模型都能用——比任何金额特征都更能区分洗钱交易。

业务落地：AML 图谱的四个动作

第一,连通分量扫描代替逐笔排查。 反洗钱系统先做社区/连通分量切分,对"非法浓度 > 阈值"的分量整体标记，单笔判分不管用。实测最大分量 99% 非法,意味着抓到分量就等于抓到团伙。

第二,枢纽节点重点监控。 介数中心性 Top 节点是资金中转核心,对它们做交易限额、来源/去向穿透审查——切断枢纽,资金链就断。

第三,"邻居非法浓度"入模。 这是图特征里区分度最高的(99.8% vs 随机水平),加入反洗钱评分卡后,Lift 提升显著。冷启动问题用"已知非法→邻居扩散"迭代打标。

第四,图+规则+模型三层联防。 规则引擎先拦金额/频率异常,图分析再切分量、找枢纽,模型最后对图特征打分。三层叠加,才覆盖洗钱的"金额伪装+结构暴露"两面。

关键要点

反直觉实测:非法交易的邻居 99.8% 也是非法;最大连通分量(1,279 节点)99% 是非法节点
机制:洗钱资金必须内部闭环流转,天然形成高同配性的"独立王国";非法节点更"忙碌"(度>10 占比 2.6 倍)
数学:同配性/组内连接占比、度与介数中心性、聚类系数(非法节点三角密集)、连通分量切分
落地四动作:连通分量扫描抓团伙、枢纽节点切断资金链、邻居非法浓度入模、图+规则+模型三层联防
Elliptic 数据:20.4 万节点/23.4 万边,官方标注,反洗钱图算法标准基准

数据说明:Elliptic Data Set(20.4 万交易节点、23.4 万边,2.1% 标注非法,Elliptic 公司公开,比特币反洗钱标准数据集),seed=42 可完全复现。

代码环境:Python 3.11 + networkx + duckdb + matplotlib;完整脚本留档于文章目录 gen_figures.py。

AI 辅助创作 · 数据实测与结论推导由作者完成。

交易图上的洗钱迷宫——非法交易的邻居，99.8%也是非法 ​

非法交易,物以类聚 ​

为什么洗钱必须"抱团" ​

连通分量：洗钱团伙的"独立王国" ​

图特征：把"关系"变成数字进模型 ​

业务落地：AML 图谱的四个动作 ​

相关阅读