当加密货币诈骗中的资金被盗后，这些钱几乎不会停在原处。数分钟内，它们便会流转至中间钱包，分散到多个地址，最终落入某家交易所。希望追踪资金的调查人员在每一个节点都面临同一个核心问题：当被盗资金与合法资金混入同一个钱包时，流出的资金中有多少仍属于"污染资金"？
污点分析正是为解答这一问题而生。它是区块链资金追踪的基础技术之一，理解它不仅能让我们了解现代调查工具的能力边界，也能看清其局限所在。
本指南将介绍什么是污点分析、调查人员常用的三种方法，以及一个基于以太坊的完整示例，帮助你直观地了解每种方法的运作方式。
什么是污点分析？
污点分析用于估算钱包余额中来自已知非法来源的资金比例，并在资金流转过程中持续追踪该比例。
这一理念建立在一个简单的标签之上。与盗窃、诈骗或受制裁地址相关联的代币被标记为污染资金；没有此类关联的代币则为干净资金。由于单个钱包几乎总是同时持有两种资金，该技术需要一套规则，将流出转账拆分为污染部分与干净部分。
污染资金与干净资金
设想一个地址分别收到了3,000 USDT（来自诈骗受害者的被盗款）和7,000 USDT（来自正常交易）。该钱包现持有10,000 USDT，其中3,000为污染资金。当该地址随后向某交易所发送9,000 USDT时，调查人员需要判断这笔9,000的出账中有多少属于污染资金。不同的规则会给出不同的答案，而这种选择正是下文三种方法的核心差异所在。
为何重要
调查人员使用污点分析来确定优先级。他们无法冻结整条交易链，因此需要一个有据可查的估算，以判断哪些下游地址持有被盗资产及其金额。这份估算将被提交给交易所合规团队，或纳入向执法机构提交的报告。
污点分析存在的原因
困难源于区块链合并资金的方式。在以太坊这类基于账户的区块链上，钱包余额是一个统一的数字池，因此一旦污染资金与干净资金进入同一地址，在财务上便无法区分。原始交易记录中没有任何信息能说明"这笔9,000 USDT的转账动用的是污染资金而非干净资金"。
污点分析通过明确的记账规则填补了这一空白。研究人员已整理出三种标准污点分析方法，分别称为毒化法（Poison）、平摊法（Haircut）和先进先出法（FIFO）。这些规则适用于任何以公开方式记录交易的公链，包括以太坊等基于账户的区块链，以及大多数代币盗窃案发生的其他EVM网络。
三种方法与一个完整示例
三种方法分别是毒化法、平摊法和先进先出法。毒化法将受污染交易的所有输出全部标记为污染；平摊法按比例将污点分摊至各输出；先进先出法则按存款的时间顺序分配污点。
以前述钱包为例：它在以太坊上持有10,000 USDT，其中3,000为污染资金（来自受害者），7,000为干净资金。它向某交易所存款地址发送了9,000 USDT。以下是每种方法对这笔9,000 USDT出账的标记方式。
毒化法：凡触即污
毒化法将涉及任何污染输入的交易的所有输出全部标记为污染资金，无论污染部分占比多小。
在本例中，整笔9,000 USDT转账均被标记为污染，交易所存款地址也被标记为已收到被盗资金。问题显而易见：干净资金被重新标记为污染资金，且每当污染资金触及新钱包，"污染资金"池就会不断膨胀。毒化法是精确度最低的方法，调查人员通常将其作为粗略的基准而非实际估算手段。
平摊法：按比例分配污点
平摊法同样将所有输出标记为携带污点，但为每个输出分配的是按比例计算的份额，而非全额。钱包中污染资金占比为3,000/10,000，即30%，因此出账转账中30%被计为污染资金。
这意味着9,000 USDT中有2,700被标记为污染资金，6,300为干净资金。平摊法比毒化法更贴近实际，因为它保持了污染资金总量不变而非虚增。其缺点在于会将少量污点扩散至大量地址，导致长链追踪产生噪音。
先进先出法：按顺序分配污点
先进先出法（FIFO，first-in, first-out）不考虑比例，而是关注顺序。资金按照存入钱包的先后顺序流出：最先存入的资金最先被支出。
在本例中，7,000 USDT的干净资金早于3,000 USDT的污染资金存入。按照先进先出法，出账转账的前7,000 USDT为干净资金，仅后续的2,000 USDT为污染资金。剩余1,000的污染资金留在钱包中。先进先出法产生的追踪结果最为精确、噪音最少，这也是它在需要生成具有法律效力的黑名单或证据级报告时最常被采用的原因。
| 方法 | 规则 | 9,000 USDT出账标记 | 精确度 |
|---|---|---|---|
| 毒化法 | 任何污点使整个输出成为污染资金 | 9,000 污染 | 最低——虚增污染资金池 |
| 平摊法 | 按比例分配污点 | 2,700 污染 | 中等——长链追踪噪音较大 |
| 先进先出法 | 按存入顺序先进先出 | 2,000 污染 | 最高——追踪结果最清晰 |
三种污点分析方法对同一笔9,000 USDT出账转账的标记结果。先进先出法（高亮显示）产生的追踪噪音最少。
污点分析的能与不能
污点分析功能强大，但它是一种估算，而非确定性结论，诚实的报告有赖于清晰认识其局限。
在资金通过普通转账和兑换流转时，它运作良好。但在以下三种情况下会遇到困难。混币器专门切断存款与提款之间的关联，因此污点追踪需要借助统计方法而非直接追踪来重新建立联系。高交易量将污点扩散至大量地址，使平摊法的估算失去意义。而跨链桥将资产在不同账本间转移，追踪工作需要在另一条链上重新衔接。
污点分析在三种常见场景下的表现。普通转账追踪清晰；混币器和跨链桥各自需要在污点分析之上叠加额外技术。
上述情况都不能完全挫败追踪，但每一种都是工具所用方法及其应用细致程度影响最终结果的关键节点。
污点分析与完整资金追踪的区别
污点分析与完整资金追踪相互关联，但并非同一概念。污点分析是记账规则；完整资金追踪是端到端的调查工作。
污点分析在每个节点回答一个具体问题：给定一个收到污染资金的钱包，出账转账中有多少是污染资金？它是一条被反复应用的规则。
完整资金追踪是整个调查流程：识别盗窃交易、在每个节点应用分摊规则（不一定是教科书式的毒化法/平摊法/先进先出法）、遍历交易图谱、将地址归因于真实实体（交易所、混币器、跨链桥），并生成可供采取行动的报告。污点分析是这项工作中的一个概念视角，与地址标记、聚类分析和跨链匹配并列使用。
当分析人员明确采用某种污点方法时，证据级报告优先选用先进先出法，探索性多地址分析使用平摊法，毒化法则极少使用。
现代工具中的实际应用
逐跳手动对数千笔交易和多条链应用任何记账规则都不现实，因此调查人员依赖资金追踪工具。
BlockSec 旗下的 MetaSleuth 是面向分析师的资金追踪工具：它重建资金流向，使调查人员能够逐跳遍历交易图谱、聚类地址并将其归因于真实实体——如其LI.FI攻击案例研究所示。Trace AI 则通过AI智能体自动化完成同类调查工作：用户描述一起盗窃事件并提供钱包地址或交易哈希，智能体即可跨支持的链追踪资金，并生成包含资金流向实体的报告。
这些是资金追踪工具，而非污点分析的具体实现。上文描述的污点规则与它们共同探讨同一个底层问题——流出的资金中有多少仍属于污染资金？——但生产级追踪工具通常采用其自有的图分析、聚类和归因方法，而非教科书式的毒化法/平摊法/先进先出法。理解污点分析仍然有价值，因为它清晰阐明了每个追踪工具在每个节点都必须做出的决策类型。
常见问题
污点分析准确吗？ 污点分析给出的是有据可查的估算，而非确定性结论。其准确性取决于所用方法和追踪的复杂程度。先进先出法对普通转账给出最清晰的结果，而混币器和极高的交易量会降低置信度，需要借助额外技术加以补充。
毒化法和平摊法有什么区别？ 两者都将受污染交易的所有输出标记为携带污点，但毒化法将每个输出全部标记为污染，而平摊法则为每个输出分配按比例计算的份额。毒化法会虚增污染资金总量；平摊法则保持总量不变，因此平摊法更具实用性。
污点分析能追踪通过混币器的资金吗？ 不能直接追踪。混币器专门设计用于切断存款与提款之间的联系，因此简单的污点规则无法直接追踪其中的资金。调查人员需通过统计和行为分析重建关联，这比追踪普通转账更难、确定性更低。
持有被标记为污染的加密货币违法吗？ 持有工具标记为污染的资金并不自动构成违法，污点标签是估算结果，而非法律判断。尽管如此，交易所可能会冻结与盗窃相关的存款，而明知故犯地处理被盗资金具有法律风险。污点分析标示的是调查方向，并不判定罪责。
污点分析适用于哪些区块链？ 这些原则适用于任何以公开方式记录交易的公链，包括以太坊等基于账户的区块链，以及大多数代币盗窃案发生的其他EVM网络。不同交易模型在具体机制上有所差异，但污染与干净资金的逻辑是相通的。
延伸阅读
了解AI驱动的调查如何跨链应用这一技术。 查看Trace AI的工作原理 →
关于作者。 Andy是BlockSec的安全研究员，专注于链上资金追踪及MetaSleuth背后的技术机制。本文源于其团队在EVM链真实盗窃案中应用的调查模式。
参考文献
- Tironsakkul, Maarek, Eross, Just — Probing the Mystery of Cryptocurrency Theft: An Investigation into Methods for Taint Analysis，arXiv:1906.05754（2019）。https://arxiv.org/abs/1906.05754
