女巫攻击可通过聚类分析识别，包括K-means（基于7维行为向量、轮廓系数筛选）、DBSCAN（二维密度特征、噪声点检测）、时序图谱（Louvain社区发现、结构异常子图）及多视角融合（三算法投票+zk-SNARKs验证）。
币圈加密货币主流交易平台官网注册地址推荐：
Binance币安：
欧易OKX：
火币htx：
Gateio芝麻开门：
一、女巫攻击与聚类分析的关联原理
女巫攻击指单个实体伪装成多个独立节点参与网络活动，其行为在数据层面常呈现高度同质性。聚类分析可基于IP地理分布、交易时间戳、Gas消耗模式、调用函数签名等维度识别异常密集簇群。同一物理设备控制的多个地址往往在行为序列上表现出极低的欧氏距离或高余弦相似度。
二、基于行为特征的K-means聚类识别法
该方法通过量化节点交互特征构建多维向量空间，强制划分固定数量的簇，利用簇内紧凑性暴露伪造身份集群。
1、提取每个地址的7日行为向量：包括平均交易间隔标准差、合约调用深度均值、外部调用占比、ERC-20转账熵值、首次交互区块高度。
2、对全部向量执行Z-score标准化，消除量纲差异。
3、设定k=50，运行K-means迭代至收敛，记录每个簇的轮廓系数。
4、筛选轮廓系数低于0.15且簇内地址数超阈值（如≥8）的簇，标记为高风险女巫候选集。
三、基于密度的DBSCAN聚类识别法
该方法不预设簇数量，能自动发现任意形状的恶意行为聚集区，并将离散作弊节点识别为噪声点，适用于动态变化的攻击模式。
1、构造二维特征空间：横轴为“地址创建后72小时内交易频次”，纵轴为“与前10个高频交互地址的Jaccard相似度均值”。
2、设置邻域半径ε=0.08，MinPts=6，运行DBSCAN算法。
3、将被归类为噪声的地址单独导出，若某地址在连续3个检测周期内均被标为噪声，且其EOA私钥未签署过任何链下签名，则触发人工复核流程。
四、时序图谱聚类识别法
将地址视为图节点，交易关系为有向边，通过社区发现算法识别结构异常子图，女巫团伙常表现为高内聚低耦合的孤立子图。
1、以最近30天交易构建有向图，节点权重设为出度与入度之和。
2、使用Louvain算法进行模块度优化，获取初始社区划分。
3、对每个社区计算平均路径长度与聚类系数比值，比值低于0.35且社区内节点数≥12的，判定为潜在女巫协同集群。
4、提取该社区所有节点的创建区块时间戳，若标准差小于120区块，增强判定置信度。
五、多视角融合聚类验证法
单一聚类易受特征偏移影响，需交叉验证不同算法输出结果，提升识别鲁棒性。
1、分别运行K-means、DBSCAN、谱聚类三种算法，获得三组簇标签。
2、对每个地址统计其在三组标签中被划入高风险簇的次数。
3、设定投票阈值为2，得票≥2的地址进入灰名单，暂停其参与空投申领及治理投票权限。
4、灰名单地址需完成链上零知识证明（zk-SNARKs），证实其控制权唯一性后方可解除限制。
