最近,由浙江省公安厅刑侦总队、温州市公安局、上海政法学院、温州市公安司法鉴定中心等一线办案与鉴定机构,发布了一篇《虚拟货币取证分析技术及实战应用》(载《刑事技术》,DOI: 10.16467/j.1008-3650.2026.0025,2026 年网络首发)。难得的是,它从一线办案与鉴定视角,把涉虚拟货币刑事案件的取证与追踪链路,讲得相当透彻。

很多人以为,司法机关办涉币案,无非是盯着区块链浏览器看几笔转账。真实情况要复杂得多——真正的难点是一个更硬核的问题:怎么把一个匿名的链上地址,变成刑事案卷里站得住脚的证据。 而这,恰恰也是德尔泰技术团队长期在做的事。

下面,我们就结合这份研究与德尔泰的实战经验,把从一个链上地址到一本刑事案卷的完整链路,一步步拆开。

一、第一步永远是:谁控制了这个钱包?

链上地址只是一串字符,本身不写姓名。所以办案的第一件事,往往落在证明控制关系上:这个地址,到底归谁支配。追币,反而排在后面。

证据来自哪里?来自嫌疑人的手机、电脑、硬盘、硬件钱包,来自钱包 App、助记词、私钥、keystore 文件、比特币早期的 wallet.dat 文件,以及各种登录记录。掌握了助记词或私钥,就等于掌握了地址的完全控制权——这一点文中说得很直接:只有扣押了私钥,才算真正扣押了地址里的虚拟货币,单纯扣一部手机,扣到的只是私钥的存放介质。

这里有一个普通人和办案人员都容易踩的坑:看到某个地址有余额,不等于就有转账权限。 这里要特别区分观察钱包(只能看、不能签)、冷钱包(离线授权)和多重签名钱包。很多人只扣了联网的观察钱包,却漏了真正能签名转账的冷钱包或多签介质,结果地址里的资产依然拿不动。

二、为什么手机、电脑、硬盘都要扣

扣设备,目的远不止找币,更是为了还原一整个行为链条。办案人员真正在找的是:

钱包入口(App、插件、冷钱包配对)

助记词 / 私钥 / keystore / wallet.dat

交易所 App 与登录痕迹

聊天记录、转账说明、截图

各种操作痕迹

这些碎片拼在一起,用来回答一连串问题:谁安排换 U、谁提供收款地址、谁指挥跨链转移、谁负责最后出金。在共同犯罪里,这条链条决定了每个人的角色和责任边界。

从设备到案卷:涉币案取证全链路

下面这张拓扑图,是把上述过程结构化后的完整取证链路——从案件线索,一路走到司法处置。

flowchart TD

A["案件线索:受害人报案 / 资金异动"] --> B["扣押电子设备<br>手机 · 电脑 · 硬盘 · 硬件钱包"]

B --> C["提取钱包入口<br>助记词 · 私钥 · keystore · wallet.dat · 登录记录"]

C --> D{"确认控制关系"}

D --> D1["区分观察钱包 / 冷钱包 / 多签钱包"]

D1 --> E["链上资金追踪"]

E --> F["交易所协查 / 冻结"]

F --> G["司法处置:实物扣押 · 私钥置换 · 账户冻结"]

C -.辅助.-> H["聊天记录 · 截图 · 转账说明"]

H -.还原角色.-> E

三、取证工具会自动扫出虚拟币线索

很多人低估了取证工具的能力。前述研究系统梳理了一批已在一线使用的工具,它们能从聊天记录、图片 OCR、备忘录、文档、钱包文件里,自动扫出地址、助记词、私钥线索:

FileLocator:用正则表达式全盘搜索,捞出 12～24 个英文单词的疑似助记词行。

Python mnemonic 库:校验捞出的词组是否符合 BIP39 标准,筛掉噪音。

平航科技 PF5200:手机多路取证,暴搜微信、QQ、记事本、备忘录里的疑似助记词和地址。

弘连火眼、奇安信盘古石:离线获取主流交易所账号信息、钱包账户信息。

美亚取证大师:PC 端多公链地址正则搜索与地址溯源。

平航 X501、美亚柏科星火平台:可视化分析平台,自动从聊录、云盘、备忘录、图片 OCR 中提取虚拟币要素,并溯源地址来自哪个 App 或交易所。

换句话说,只要设备到手,藏在聊天记录截图、随手记的备忘录、一张手机相册照片里的助记词,都有可能被自动还原出来。 这也是为什么德尔泰一直强调:助记词和私钥的保管方式,本身就是安全的第一道防线。

四、交易所数据,并不能随便"免密取证"

这是一个常被误解的点,但有一点很明确:目前市面上并没有成熟工具,能对交易所数据做免密数据库取证。 交易所是中心化托管,数据在平台服务器上,不像本地钱包文件那样能直接解出来。

所以要拿到交易所的账号、余额、订单、云端数据,通常得靠这几条路:账号登录、嫌疑人供述登录凭证、截图固定证据,以及最关键的——向平台发起协查。而涉及冻结,目前认可冻结文书、可通过政府部门邮箱送达的主流交易所包括 Binance(币安)、Huobi(火币)和 OKX,冻结期限一般为六个月,可续冻。

对做资金来源证明(SOF / SOW)和合规沟通的人来说,这一点尤其重要:平台和办案机关之所以反复要资金来源、交易路径、聊天记录,正是因为链上那一段能自证,而账户主体和资金来源那一段,必须靠链下材料补齐。

五、链上追踪,远不止看区块浏览器

真正的链上追踪,是一套组合拳。司法机关会顺着这几个维度层层深挖:资金流向、手续费来源、首次激活地址、跨链桥、聚合器、合约事件日志、DEX / 混币器 / 交易所的入账路径。

其中有一个很典型的手续费溯源案例:技术人员从一个诈骗网站开发者的支付地址出发,通过区块链浏览器发现它的首笔手续费 30 TRX 来自另一个地址,而那个地址的首笔手续费又与币安有资金交互——一条手续费的继承链,把服务器租赁者、交易所账户和钱包助记词一路串了起来,最终锁定到技术开发嫌疑人。手续费这种看似不起眼的痕迹,往往就是打通匿名地址与真人身份的那把钥匙。

而当资金进入跨链桥、聚合器或 Tornado 这类混币器时,追踪难度会陡增:混币通过混合不同用户的资金,物理隔绝了流入流出方向。这时就需要逐条分析合约事件日志(比如从 Data 里读出资金经过 BSC 链、OK 链最终流入哪个地址),或用设备碰撞、时间与金额碰撞等手段去还原路径。

链上资金追踪的典型路径

下面这张拓扑图,是资金从涉案地址出发、层层混淆、最终在交易所落地的典型结构。

flowchart LR

S["涉案地址"] --> T1["手续费来源溯源"]

S --> T2["首次激活地址"]

T1 --> X["资金分散 / 多层转移"]

T2 --> X

X --> B1["跨链桥"]

X --> B2["聚合器<br>如 TransitSwap"]

X --> B3["混币器<br>如 Tornado"]

B1 --> Y["DEX 兑换"]

B2 --> Y

B3 --> Y

Y --> Z["中心化交易所入账"]

Z --> K["KYC 落地<br>锁定持有人身份"]

值得注意的一个趋势是:涉币犯罪正加速向境外交易所和不需要 KYC 认证的平台转移资金,这也让境外平台和无 KYC 平台,成为案件研判中一道现实的物理门槛。

六、扣押与冻结:程序合规是红线

在处置环节,扣押涉案虚拟货币主要有三条途径,各有利弊:

实物扣押:扣手机、硬盘、硬件钱包。风险在于,若没拿到私钥,硬件损坏或在逃同伙掌握助记词,资产仍可能被转移。

司法机关自行保管:设立专用多签钱包,落实"双人双锁",把涉案资产转入专门地址,实现私钥置换。理论上这是最佳途径。

委托合规第三方协助保管:转入第三方专用钱包,签协议、定期盘点,转移了办案人员自身风险,但需支付费用。

同时,还有几条必须守住的程序红线:办案与管理分开、避免办案人员自行控制涉案资产;确保来源与去向清晰;由掌握技术的人员操作;接受检察院、财政等外部监督,保障当事人的知情权、申诉控告权;以及避免处置拖延——因为币价波动大,拖延会让涉案资产价值剧烈变化。

七、给当事人和律师的关键提醒

结合上述办案逻辑,站在当事人一侧,有几条提醒德尔泰认为普通用户尤其该知道:

链上流水只能证明资金流转,不天然证明主观明知。 地址收到一笔币,不等于本人就知道上游是犯罪所得。

手机里装了交易所 App,不等于就控制了涉案地址。 控制关系需要证据支撑,不能想当然。

千万不要乱删聊天记录、卸载钱包、处理助记词。 案发后这类操作,可能被理解成毁灭证据或转移涉案财物,反而把自己推向更被动的位置。

一句话识别核心:在涉币案里,比起链上那几笔转账,真正决定命运的,往往是链下能不能证明"控制"与"明知"。地址不等于控制权,收到币不等于主观明知——但这些都需要证据来说话,而不是靠嘴。

八、德尔泰视角:司法侦办链路,也是资产追索与解冻服务的能力坐标

把前面七步拆完会发现一件事:司法机关办涉币案的底层逻辑,和一家专业链上取证机构的工作方法高度同构——都在回答同一个核心问题,即如何把一个匿名地址,依法、可复现地绑定到真人与资金路径上。区别在于立场与落点:办案机关服务于刑事追诉;德尔泰则站在受害人、企业一侧,用同一套技术语言与执法机关、交易所、司法机构对话,目标是推动被盗、被骗或被冻结资产的合规追索与解冻。对德尔泰来说,链上取证与资金追踪只是整条服务链路中的关键一环,真正的落点在后面的资产追回与账户解冻。

逐环节对应下来,司法侦办用到的技术,几乎都是德尔泰资产追索与解冻服务里的必备能力:

谁控制钱包 → 德尔泰的地址归因、激活源(activation parent)回溯与地址簇聚类,专门解决地址与真人的绑定问题。

链上追踪远不止看浏览器 → 德尔泰的手续费溯源、跨链桥事件对账(金额 + 时间窗 + 合约对手方三因素硬对账)、混币器拆混启发式,正是应对资金分散、跨链、混币的组合拳。

交易所难以免密取证、必须靠协查 → 德尔泰的 VASP 协查网络与 SOF / SOW 资金来源证据链,把链下那一段补齐。

程序合规是红线 → 德尔泰坚持 FATF 风险为本方法学,事实 / 推断 / 假设分离、每条结论附链上证据锚点,产出可独立复现、可呈堂的报告。

这些能力并不是纸上谈兵。德尔泰过往处置的各类脱敏案件里,从单链地址的层层剥离、跨链桥与 DEX 之间的资金跳转,到混币器拆混,再到跨国协查、账户合规处理与资产追索、解冻的推进,本文提到的几乎每一类难点,都能在实战中找到对应的场景)。

一个中肯的评价

把这份研究里的办案逻辑,对照德尔泰的实战积累,可以得出几点判断:

对办案趋势而言:涉币犯罪的侦办正在快速工具化、体系化。匿名地址早已不等于安全,链上留痕加链下补证,是不可逆的方向;手续费、激活源、跨链事件这些过去被忽略的细节,如今都是打通真人身份的关键。

对普通用户而言:真正的防线已经前移到日常——助记词与私钥怎么存、案发后别乱删数据、明白链上流水不等于主观明知,比事后补救更重要。

对德尔泰的定位而言:德尔泰做的是资产追索与账户解冻,链上取证只是其中一步。它并不替代执法或平台,而是站在受害人、企业一侧,先用与执法同源的技术方法把资金路径查清、把证据做扶实,再把复杂的链上结果翻译成平台、司法与交易所看得懂的材料,据此通过合法途径推动资产追回与被冻账户的解冻。比起承诺某个结果,德尔泰更看重把这条从取证、追踪到追索、解冻的路径,走得专业、合规、可复现。

九、如果不幸卷入涉币案件

不要销毁或篡改任何数据:聊天记录、钱包、助记词、交易记录都原样保留;

完整固定链上信息:涉及的钱包地址、交易哈希、授权记录、跨链与兑换路径;

梳理资金来源与去向:准备好能说明资金合法来源的材料(SOF / SOW 思路);

第一时间寻求专业法律意见:由律师判断角色与责任边界,避免自行操作放大风险;

配合合法协查:面对平台或办案机关的资料要求,通过合法途径提供,切勿轻信"花钱解冻""内部搞定"等二次诈骗话术。

十、小结

涉虚拟货币刑事案件的侦办,本质是一场"把匿名地址还原成真人行为"的证据工程:先证明谁控制钱包,再用设备取证补齐控制关系,然后顺着手续费、跨链、混币、交易所入账把资金路径打通,最后在程序合规的前提下完成扣押、冻结与处置。

对普通用户,它是一堂关于助记词保管和反诈的必修课;对涉案当事人,它提醒你链上流水不等于主观明知、更不该在案发后乱动数据;对合规与安全从业者,它说明了为什么资金来源、交易路径、链上证据缺一不可。在数字资产的世界里,链上能看清钱去了哪里,但把地址、资金和人依法绑定,永远是一项需要技术与程序共同支撑的严肃工作。

关键概念速查

助记词(Mnemonic):按 BIP39 标准把随机种子转成 12～24 个英文单词的序列,掌握它即可恢复私钥、控制钱包。

私钥 / keystore / wallet.dat:授权交易的核心凭证与其存储形式,取证的首要目标。

观察钱包 / 冷钱包 / 多签钱包:分别对应只可查看、离线签名、多方授权,控制权判断的关键区分。

手续费溯源:通过 gas / 手续费的来源继承关系,反向关联地址背后的真人或交易所。

跨链桥 / 聚合器 / 混币器:用于拉长或切断资金来源与去向对应关系的工具,会显著增加追踪难度。

KYT / SOF / SOW:链上交易监控、资金来源证明、财富来源证明,是合规沟通与协查的核心材料。

常见问题(FAQ)

Q:司法机关办涉币案,第一步查的是什么?

第一步通常是先证明"谁控制这个钱包"。链上地址不写姓名,办案机关会从设备里的助记词、私钥、keystore、登录记录等还原控制关系。

Q:我的地址收到过一笔来路不明的币,会不会有事?

链上收到币本身不等于主观明知上游是犯罪所得。关键看链下证据能否证明你知情或参与,因此保留完整记录、及时寻求法律意见很重要。

Q:交易所数据,司法机关能随便调取吗?

目前并没有成熟工具能对交易所数据做免密取证。要拿账号、余额、订单等,通常需账号登录、供述、截图固定或向平台发起协查。

Q:案发后我该不该赶紧删掉聊天记录、卸载钱包?

不该。这类操作可能被认定为毁灭证据或转移涉案财物,反而加重被动。正确做法是原样保留数据并尽快咨询专业律师。

内容支持:本文由 "https://deltacapitalhk.com/" 德尔泰(Delta & Capital)技术团队提供链上安全与合规科普支持。德尔泰(Delta & Capital)专注于区块链数据分析与合规技术研究,核心能力覆盖:链上交易追踪与资金流向分析、链上数据法证与链上追索、KYT/AML 实时风控与地址风险识别、KYT/SOW(资金来源证明)溯源与重构、跨链与多币种资金路径还原,以及 CEX / DEX 账号限制 / 风控 / 冻结的申诉与解除支持;同时为报案与司法协查提供链上证据梳理与技术支持。更多链上安全与合规科普,可关注微信公众号 德尔泰Delta、访问官网 "http://deltacapitalhk.com" deltacapitalhk.com。本文为公益性科普,不提供也不构成任何追回、解冻承诺,亦不替代法律程序。

风险与合规提示:本文为反诈与投资者风险教育内容,不构成投资建议,也不构成任何保证追回、保证解冻承诺。数字资产价格波动大、风险较高,请理性看待并防范相关风险;资产被盗 / 被骗或卷入相关案件,请第一时间通过合法途径维权并咨询专业律师,谨防假冒追回、解冻名义的二次诈骗。