什麼是加密貨幣中的污點分析？ 污點分析是將「髒錢」——盜竊所得、制裁相關款項或詐騙資金——歸因於特定鏈上餘額單位的做法，追蹤這些資金在交易和兌換過程中的流動。調查人員使用三種標準規則之一（毒化法、平攤法、先進先出法）來決定，當一個錢包持有乾淨與污染資金混合時，每次轉出後哪些單位算作受污染。規則的選擇決定了追蹤的結論。
當資金在加密詐騙中被盜時，這些錢很少會靜止不動。在幾分鐘內，它就會流經中間錢包、分散到多個地址，並落腳於某個交易所。想要追蹤這些資金的調查人員在每一個節點都面臨一個核心問題：當被盜資金與合法資金在同一個錢包中混合時，流出的資金中有多少仍然是「髒的」？
污點分析就是這個問題的答案。它是區塊鏈資金追蹤背後的基礎技術之一，理解它可以讓我們清楚地了解現代調查工具能做什麼，以及它們在哪裡遇到限制。
本指南說明污點分析是什麼、調查人員使用的三種方法，以及一個以太坊上的實際範例，讓你能夠清楚地看到每種方法的運作方式。
什麼是污點分析？
污點分析估算錢包餘額中有多少比例源自已知的非法來源，然後在資金繼續流動時追蹤該比例。
這個概念建立在一個簡單的標籤上。與盜竊、詐騙或受制裁地址相關的代幣被視為受污染的；沒有此類關聯的代幣則是乾淨的。由於單一錢包幾乎總是同時持有兩者，這項技術需要一條規則，將轉出的資金拆分為受污染和乾淨的部分。
受污染資金與乾淨資金
想像一個地址收到了從詐騙受害者那裡盜取的 3,000 USDT，以及另外 7,000 USDT 的正常交易款項。該錢包現在持有 10,000 USDT，其中 3,000 是受污染的。當該地址之後向交易所發送 9,000 USDT 時，調查人員必須決定這 9,000 中有多少算作受污染的。不同的規則會給出不同的答案，而這個選擇正是以下三種方法的區別所在。
為什麼這很重要
調查人員用它來確定優先順序。他們無法凍結整條交易鏈，因此需要一個有據可查的估算，說明哪些下游地址持有被盜資產以及金額是多少。這個估算會被分享給交易所的合規團隊，或納入提交給執法機關的報告中。
污點分析為何存在
困難來自於區塊鏈合併資金的方式。在像以太坊這樣基於帳戶的鏈上，錢包的餘額是一個單一的匯總數字，因此一旦受污染和乾淨的資金進入同一個地址，在財務上就無從區分。原始交易記錄中沒有任何內容會說「這筆 9,000 USDT 的轉帳花的是髒錢，而不是乾淨的錢」。
污點分析以明確的會計規則填補了這一空白。研究人員整理了三種標準污點標記方法，稱為毒化法、平攤法和先進先出法。這些規則適用於任何公開記錄交易的公共區塊鏈，包括像以太坊和其他 EVM 網絡這樣基於帳戶的鏈——而大多數代幣盜竊正是發生在這些地方。
三種方法與一個實際範例
三種方法分別是毒化法、平攤法和先進先出法。毒化法將受污染交易的每一筆輸出都標記為完全髒錢；平攤法按比例將污點分攤到各個輸出；先進先出法按存款的時間順序分配污點。
以先前的錢包為例：它在以太坊上持有 10,000 USDT，其中 3,000 是受污染的（來自受害者），7,000 是乾淨的。它向交易所存款地址發送了 9,000 USDT。以下是每種方法如何標記這筆轉出的 9,000。
毒化法：污染它接觸的一切
毒化法將任何涉及受污染輸入的交易的每一筆輸出都視為完全受污染。無論髒的部分有多小，這一點都無關緊要。
在我們的範例中，整筆 9,000 USDT 的轉帳被標記為受污染，交易所存款地址被標記為收到了被盜資金。問題顯而易見：乾淨的資金被重新標記為髒錢，每當它接觸到一個新錢包，「受污染」代幣的池子就會增長。毒化法是精確度最低的方法，調查人員主要將其用作粗略的基準，而非實際的估算依據。
平攤法：按比例標記污點
平攤法同樣將每一筆輸出視為帶有污點，但它為每筆輸出分配的是按比例計算的份額，而非全部金額。錢包中受污染的部分是 10,000 中的 3,000，即 30%，因此轉出金額的 30% 被計為受污染。
這意味著 9,000 中有 2,700 USDT 被標記為受污染，6,300 為乾淨。平攤法比毒化法更為合理，因為它保留了髒錢的總量而不會使其膨脹。其弱點在於，它會將少量污點擴散到非常多的地址，使長距離追蹤變得嘈雜。
先進先出法：按順序標記污點
先進先出法（FIFO）忽略比例，改為關注順序。資金按照進入錢包的相同順序離開：先存入的先被支出。
在我們的範例中，乾淨的 7,000 USDT 比受污染的 3,000 先到達。根據先進先出法，轉出金額的前 7,000 USDT 是乾淨的，只有接下來的 2,000 是受污染的。剩餘的 1,000 受污染資金留在錢包中。先進先出法產生最精確、最清晰的追蹤結果，這也是為什麼當目標是建立可靠的黑名單或出具具有證據級別的報告時，它是最常用的方法。
| 方法 | 規則 | 轉出的 9,000 USDT | 精確度 |
|---|---|---|---|
| 毒化法 | 任何污點使整個輸出受污染 | 9,000 受污染 | 最低——擴大髒錢池 |
| 平攤法 | 按比例分攤污點 | 2,700 受污染 | 中等——長距離追蹤噪音大 |
| 先進先出法 | 先進先出按順序 | 2,000 受污染 | 最高——追蹤最清晰 |
三種污點分析方法對同一筆 9,000 USDT 轉出的標記方式。先進先出法（高亮顯示）產生的追蹤結果噪音最少。
污點分析能做什麼，不能做什麼
污點分析是一種強大的工具，但它是一種估算，而非確定性結論，誠實的報告依賴於了解其局限性。
當資金通過普通轉帳和兌換流動時，它運作良好。但在三種情況下它會遇到困難。混幣器刻意切斷存款和提款之間的關聯，因此必須用統計方法而非直接追蹤來重新建立污點連結。高交易量將污點擴散到大量地址，使平攤法的估算失去意義。而跨鏈橋在不同帳本之間轉移價值，因此追蹤必須在另一端重新拼接起來。
污點分析在三種常見情境下的表現。普通轉帳追蹤清晰；混幣器和跨鏈橋各自需要在污點分析之上額外使用其他技術。
這些情況都不能完全阻止追蹤，但每一種都是一個關鍵點，在這些地方，工具所使用的方法以及應用的謹慎程度會改變最終的結果。
污點分析與完整資金追蹤
污點分析與完整資金追蹤相互關聯，但並不相同。污點分析是會計規則；完整資金追蹤是端對端的調查。
污點分析在每個節點回答一個具體的問題：給定一個收到污染資金的錢包，轉出金額中有多少是髒的？它是一條被反覆應用的規則。
完整資金追蹤是整個調查過程：識別盜竊交易、在每個節點應用分攤規則（可能是也可能不是教科書上的毒化法／平攤法／先進先出法）、遍歷圖表、將地址歸因於真實實體（交易所、混幣器、跨鏈橋），並產出可供採取行動的報告。污點分析是這項工作中的一個概念框架，與地址標記、叢集分析和跨鏈比對並列。
當分析師明確應用污點方法時，先進先出法優先用於具有證據級別的報告，平攤法用於跨多個地址的探索性分析，毒化法則很少使用。
這種思維如何體現在現代工具中
手動在數千筆交易和多條鏈上應用任何逐節點的會計規則並不現實，因此調查人員依賴資金追蹤工具。
BlockSec 的 MetaSleuth 是面向分析師的工具：它重建資金流向，讓調查人員可以逐節點遍歷圖表、叢集地址，並將其歸因於真實實體——例如其關於 LI.FI 攻擊的案例研究。Trace AI 通過 AI 代理自動化相同的調查工作：用戶描述一起盜竊事件並提供錢包地址或交易哈希，代理便會在其支援的鏈上追蹤資金並產出包含資金到達實體的資金流向報告。
這些是資金追蹤工具，而非污點分析的實現。上述污點規則共享相同的底層問題——流出的資金中有多少仍然是髒的？——但生產級追蹤工具通常使用自己的圖表、叢集和歸因方法，而非教科書式的毒化法／平攤法／先進先出法。理解污點分析仍然有用，因為它闡明了每個追蹤工具在每個節點必須做出的那類決策。
常見問題
污點分析準確嗎？ 污點分析產生的是有據可查的估算，而非確定性結論。其準確性取決於所使用的方法和追蹤的複雜程度。先進先出法對普通轉帳給出最清晰的結果，而混幣器和非常高的交易量會降低可信度，並需要額外的技術支援。
毒化法和平攤法有什麼區別？ 兩者都將受污染交易的每一筆輸出視為帶有污點，但毒化法將每筆輸出標記為完全受污染，而平攤法為每筆輸出分配按比例計算的份額。毒化法會擴大髒錢的總池；平攤法則保留它，這使得平攤法更為實用。
污點分析能追蹤通過混幣器的資金嗎？ 不能直接追蹤。混幣器被設計用來切斷存款和提款之間的關聯，因此簡單的污點規則無法直接追蹤資金的流向。調查人員使用統計和行為分析來重新建立連結，這比追蹤普通轉帳更難且更不確定。
持有受污染的加密貨幣違法嗎？ 持有工具標記為受污染的資金並不自動違法，污點標籤是估算而非法律判斷。儘管如此，交易所可能會凍結與盜竊相關的存款，而明知故犯地處理被盜資金則存在法律風險。污點分析標記需要關注的地方；它不決定罪責。
污點分析適用於哪些區塊鏈？ 這些原則適用於任何公開記錄交易的公共區塊鏈，包括像以太坊和其他 EVM 網絡這樣基於帳戶的鏈——而大多數代幣盜竊正是發生在這些地方。不同交易模型的具體機制有所不同，但受污染與乾淨的邏輯是相同的。
相關閱讀
了解 AI 驅動的調查如何在多條鏈上應用這些方法。 查看 Trace AI 的運作方式 →
關於作者。 Andy 是 BlockSec 的安全研究員，專注於鏈上資金追蹤以及 MetaSleuth 背後的運作機制。本文借鑒了他的團隊在 EVM 鏈上真實盜竊案例中應用的調查模式。
參考資料
- Tironsakkul、Maarek、Eross、Just — Probing the Mystery of Cryptocurrency Theft: An Investigation into Methods for Taint Analysis，arXiv:1906.05754（2019）。https://arxiv.org/abs/1906.05754
