区块链追踪如何运作（以及为何加密货币可被追踪）

核心要点

• 区块链是一份关于每一笔曾经发生的交易的公开、永久的记录。没有什么会被删除，也没有什么会被悄悄修改。
• 加密地址是化名的，而非匿名的。每个地址都承载着一份完整的交易历史，并通过交易所的 KYC 数据和行为模式与真实身份相连接。
• 调查人员使用地址聚类、图谱分析和标记数据库，跨越钱包和链来追随资金，往往是实时进行的。
• 稳定币可以应执法部门的请求被冻结，这使它们对依赖它们的犯罪分子而言，成了一把双刃剑。
• 盗窃发生后的最初 48 小时是最关键的窗口。像 Match Systems 这样的机构直接与交易所协作，在资金被提走之前对其加以标记和冻结，但流程必须立即启动。

本文内容

• 永不遗忘的账本
• 化名，而非匿名
• 调查人员实际如何追踪资金
• 可追踪性背后的数字
• 混币器和隐私币能做什么（以及不能做什么）
• 稳定币：最受青睐的犯罪资产之讽刺
• 致受害者：最初 48 小时该做什么
• 常见问题

永不遗忘的账本

加密安全领域最顽固的误解，就是认为加密货币无法追踪。这是我们在调查中不断遇到的一种臆断，而它一贯地对那些以为无计可施、因而在报案前一等再等的受害者不利。

区块链是一个只可追加（append-only）的公开账本。每一笔曾经发生的交易都被记录下来：发送方地址、接收方地址、金额、时间戳。这些数据被一个把它与之前每一个区块相连接的加密哈希封入一个区块。改动一笔过往交易中的哪怕一个字符，哈希就会断裂，而网络上的每一个节点都会立即察觉。这正是账本不可篡改的原因所在。

像 Etherscan 或 Blockchain.com 这样的区块链浏览器，让这份记录可供公开检索。无需账户，也无需特殊权限。任何地址的全部交易历史，对任何知道去哪里查看的人都是可见的。

窃贼们对此心知肚明，这正是老练的作案者会在盗窃之后花费相当大的力气试图掩盖其踪迹的原因。而这份力气本身就留下了一种模式，模式正是调查人员所解读的东西。

化名，而非匿名

一个区块链地址并不显示姓名。隐私也就到此为止。地址本身有一份完整的公开历史：它曾牵涉的每一笔交易、它曾交互过的每一个钱包、与它关联的每一笔交易所充值。

2013 年，研究者加州大学圣迭戈分校的 Sarah Meiklejohn 购买商品、有意进行暗网交易，并把其中每一笔都在比特币区块链上加以追溯。「加密货币提供真正匿名」这一观念，在基本的学术分析面前便告瓦解。如今调查人员可用的工具，比 Meiklejohn 当年所用的强大了好几个数量级。

我们一贯看到的一种模式：那些以为自己通过在多个钱包间转移资金就成功抹去了踪迹的攻击者，实际上仍留下了一张可读的图谱。每一跳都被记录在案，每一个中间地址都有一段历史。把这些地址与真实身份连接起来，需要交易所的 KYC 数据、行为分析，某些情况下还需要法律程序——但线索本身始终都在。

调查人员实际如何追踪资金

地址聚类

当多个地址在同一笔比特币交易中被用作输入时，它们几乎可以肯定同属一个主人。签署每一个输入都需要相应的私钥，因此共同花费意味着共同控制。这就是共同花费启发式规则（co-spend heuristic），它让分析人员能把大量地址归拢为单一的实体画像。

一项相关的技术是找零地址分析。比特币交易通常会把小额款项以一个新地址退回给发送方。这些找零地址具有可识别的行为指纹，并会被自动归入同一个聚类。

交易图谱分析

地址一经聚类，调查人员便把资金流向绘制成一张图谱：节点是地址，边是交易。被盗资金会被实时地在这张图谱上追随，即便窃贼把资产在数十个中间钱包之间辗转输送。

2025 年 2 月的 Bybit 被黑事件是最清晰的近期例子。Lazarus Group 在单次行动中窃取了 15 亿美元。分析人员随后绘制出一个为期 45 天的洗钱循环，把资金经由跨链桥协议、华语 OTC 柜台和混币服务加以转移。如今该循环已被记录得足够清楚，以至于调查人员能够预判下一步动作，并在资金到达之前就与交易所协调配合。

KYC 触点与交易所配合

大多数被盗资金最终都会到达一个中心化交易所，而交易所要求身份验证。当被追踪的资金到达某个交易所的充值地址时，调查人员会向合规团队提交一份紧急通知。账户随即被标记，提现在等待法律程序期间被封锁。

从 2026 年起，美国交易所被要求通过 1099-DA 表格向国税局（IRS）报告交易数据，进一步缩小了链上化名与现实身份之间的差距。

地址标记

分析公司和调查人员维护着一批标记地址的数据库：被标注为交易所、暗网市场、被制裁实体、已知欺诈行动的钱包。当一笔交易接触到一个被标记的地址时，风险画像便沿着相连的图谱传播开来。

在 Match Systems，我们运营着自有的专有标记数据库，覆盖各主要区块链，既用于实时 AML 合规筛查，也用于活跃的盗窃调查。一个标记数据库的质量，直接影响到调查人员能多快识别出被盗资金正流向何处。

可追踪性背后的数字

混币器和隐私币能做什么（以及不能做什么）

混币服务是我们所遇到的最常见的混淆工具。其前提很直白：把多个用户的资金汇集起来，重新分配到新地址，并打断发送方与接收方之间的直接联系。比特币上的 CoinJoin 交易依据的是同样的原理。

在实践中，混币器增添的是复杂度，而非隐形性。调查人员通过分析交易量、时间以及另一端地址的行为，来追踪进出混币服务的资金。一大笔款项进入某个混币器，不久之后一笔相近的金额流出到一个新地址——这是一种可识别的模式，而非干净利落的切断。

监管格局也已发生显著变化。Tornado Cash 于 2022 年被 OFAC 制裁。Chipmixer 于 2023 年被欧洲刑警组织查封。在一起有据可查的盗窃之后使用混币器，会立即在各主要分析平台上标红每一个收款地址。

像门罗币（Monero）这样的隐私币，使用环签名和隐形地址来加大链上分析的难度。它们构成了一项真切的技术挑战。交易所的下架正在逐步削减其流动性，而针对隐私币基础设施的监管压力，正在多个司法管辖区不断加大。

稳定币：最受青睐的犯罪资产之讽刺

据 FBI 的报告，2025 年，稳定币在非法加密交易量中占据了主导性的份额。犯罪分子青睐它们的原因显而易见：价格稳定、结算迅速、跨境流转便捷。

许多人没有考虑到的是，稳定币是由具备技术能力、可应执法部门请求冻结特定地址的公司发行的。当与当局协作的调查人员识别出一个持有 USDT 的钱包时，Tether 可以限制该地址，阻止资金被转移。如果法律情况发生变化，冻结可以被解除，但它为一场瞬息万变的盗窃按下了暂停键。

在 2024 年的一次行动中，通过执法部门、Tron、Tether 和各主要交易所之间的协作，与欺诈和人口贩运相关的 4,700 万美元 USDT 被追踪并冻结。该行动之所以成功，是因为调查人员行动得足够快，在冻结请求获得处理时，资金仍处于稳定币形态。

犯罪分子越是依赖稳定币来换取速度和稳定，妥善协调的执法与调查工作就越有筹码加以干预。

致受害者：最初 48 小时该做什么

等到大多数受害者联系调查人员时，资金往往已经转移。这就是加密盗窃应对的诚实现实。在盗窃发生后的第一个小时内，资产就可能流经多个中间钱包。在 12 小时内，它们可能已被跨链桥转到另一条链、经由某个混币器输送，或停在一个 OTC 柜台等待兑换。

每一步都让案件更加棘手。每过去一小时而没有专业人员介入，干预的机会就更小一分。

当务之急：

• 记录盗窃交易的哈希值和攻击者的钱包地址。这是每一次调查的起点。
• 不要向任何地址再转入资金。针对盗窃受害者的追回骗局极为常见，而它们之所以屡屡得手，正是因为受害者走投无路。
• 在可能的情况下，先联系专业机构，再去报警。调查人员与交易所合规团队之间的直接关系，比可能需要数周才出结果的官方执法渠道推进得更快。
• 把所有通信、截图和钱包历史作为证据加以保全。

如果被盗资金中包含稳定币，立即联系一家专业机构就尤为重要。冻结稳定币地址需要执法部门的介入，而 Match Systems 直接与当局协作，以尽可能快地启动这一流程。

常见问题

比特币真的可以追踪吗？

可以。每一笔比特币交易都被永久地记录在一个公开账本上。地址是化名的、而非匿名的——默认不附带姓名，但每个地址都承载着一份完整的交易历史。这份历史通过交易所的 KYC 数据、行为分析，以及某些情况下的法律程序，与身份相连接。

资金经过混币器后还能被追踪吗？

混币器会使追踪复杂化，但并不能阻止它。调查人员会分析一项混币服务另一端地址的交易量、时间和行为。线索更难追随，却并非隐形。大多数大型混币器也已被关停或制裁，这限制了它们在大规模洗钱中的用处。

追踪被盗加密货币需要多长时间？

这取决于案件的复杂程度：涉及多少条链、资金是否到达了一个配合的交易所，以及调查开启得有多快。受害者的响应时间，是决定能否在资金被提走之前实现干预的最重要变量。

什么是地址标记，它为何重要？

地址标记，是为区块链钱包标注其已知身份或风险类别的做法：交易所、骗子、暗网市场、被制裁实体。标记数据库让调查人员和合规团队能够即时识别出资金何时接触到一个已知的不良行为者，并理解资金下一步可能流向何处。一个标记数据库的深度，是把高效调查与低效调查区分开来的主要因素之一。

在加密盗窃调查中，时间的重要性超出大多数受害者的想象。

一旦资金被跨链、混合，或通过 OTC 渠道提走，追回就会变得困难得多。Match Systems 与交易所、稳定币发行方和执法部门协作，追踪被盗资产并支持合法追回——凭借一个专有的地址标记数据库，以及历经多年活跃调查建立起来的直接合规关系。

开始你的案件评估：https://matchsystems.com