盜竊發生之後，幾乎每一位受害者都會問同樣的兩個問題。有沒有人看得見錢去了哪裡，以及我能不能把它拿回來？誠實的回答分成兩部分。被盜的數字貨幣，可被追蹤的程度比多數人以為的要高，但追蹤與追回不是一回事。追蹤經常做得到。追回不是。本文講清追蹤能做什麼、不能做什麼，線索在哪裡會斷，以及受害者接下來該做什麼。
簡短的回答：經常可以，但不總能走到追回
是的，被盜的數字貨幣通常可以被追蹤，至少能追上這段旅程的一部分。區塊鏈把每一筆交易永久記錄下來，所以調查人員可以沿著被盜資金從一個地址跟到下一個地址，並看清它們碰過哪些服務。這種可見性是真實的，它也支撐過一些高關注度的執法結果。調查人員所走的那些模式，與虛擬資產的 FATF 紅旗指標相重疊。它提供不了的，是一個「錢會回來」的承諾。
追蹤告訴你被盜資金去了哪裡。追回意味著把它們拿回來，而前者並不保證後者。調查人員可以看著錢移動、把它碰過的每一個地址都叫出名字，卻依然會撞上一個讓線索停住的斷點。這個區分很要緊，因為受害者常把這兩個詞當同義詞，而它們不是。知道錢去了哪裡，是證據。把錢拿回來，需要某家交易所去凍結資產、需要執法機關採取行動，或者需要一次民事追償程式走通——這幾步沒有哪一步是自動發生的。在美國，啟動這些步驟的報送環節走的是 FinCEN。所以對這個問題公允的回答，會把這道差距說清楚：追蹤經常做得到，追回不是。
被盜的數字貨幣為什麼可被追蹤
被盜的數字貨幣可被追蹤，是因為區塊鏈是一本公開帳本：每一筆交易都被記錄下來，只要線索沒被切斷，調查人員就能逐跳跟住資金。沒有私密的保險庫可以藏身，只有地址，而每個地址都留下一段永久的交易歷史，任何人只要工具得當都能檢視。
追蹤這門活兒建立在兩個想法上。第一個是多跳跟蹤，也就是從受害者的地址出發、一步步穿過每一箇中間地址，把資金跟到它最終落腳的地方。第二個是打標籤，也就是把已知身份附到地址上，於是一筆轉往交易所、混幣器或者已知攻擊者錢包的轉帳，就從一次匿名的跳轉變成了一個有名字的去處。
真實案例說明這能走多遠。在 2022 年 3 月的 Ronin Bridge 事件中，攻擊者利用被竊取的私鑰偽造了兩筆提現交易，轉走了 173,600 枚 ETH 與 2550 萬 USDC。在 2022 年 8 月的 Nomad Bridge 事件中，攻擊者拿走約 1.9 億美元，其中 16 個獲利地址把約 1700 萬美元轉入了 Tornado Cash，這部分不太可能被追回。調查人員跨數十個地址跟住了這兩條線索，並畫出了資金去向圖——這正是鏈上追蹤的核心承諾。
什麼會讓線索斷掉
當資金進入某個切斷「地址與其背後之人」之間關聯的地方時，線索就斷了。最常見的斷點是混幣器。像 Tornado Cash 這樣的混幣器把許多使用者的存入匯成池子，並讓他們把等額資金提取到全新的地址上，從而切斷了存入與提取之間的鏈上聯絡。
Li.Fi 事件展示了它在實操中的樣子。在 2024 年 7 月的 Li.Fi 漏洞利用事件中，被盜的約 1160 萬美元穩定幣裡，超過 99% 最終被轉入了 Tornado Cash。資金一旦走到那一步，追蹤可以顯示它們進了混幣器，卻無法可靠地顯示是誰從另一端把它們取走。線索撞上了一個斷點；它並沒有消失。
還有另外兩個斷點要緊。不做身份核驗的交易所，讓攻擊者能在提現不掛名字的情況下把被盜資金換成另一種資產。跨鏈橋把資金搬到另一條區塊鏈上，調查人員必須在另一套工具與標籤之下重新起線索。這些都不會讓追蹤徹底停擺，但每一個都會讓結果更不確定。這就是可追蹤性誠實的天花板：公開帳本是透明的，而數字貨幣與匿名相遇的那些點不是。
MetaSleuth 如何改善可追蹤性的勝算
一個專門的追蹤工具，改變的是調查人員在撞上斷點之前能把多少線索撈回來。MetaSleuth 是 BlockSec 打造的數字貨幣追蹤與調查平臺，它跨多跳跟住資金、把資金流向視覺化，並讓調查人員儲存與分享自己的分析。這正是 MetaSleuth 在做的事。調查人員不必在若干個瀏覽器之間手工重建線索，而是把每一跳向外展開，看著資金流以圖的形態成形。
MetaSleuth 承載著超過 6 億個地址標籤，這讓許多匿名去處在調查人員不得不停下來做研究之前，就已經有了名字。它還維護著一個公開的案例庫，上面提到的 Ronin、Nomad 與 Li.Fi 這幾個例子正是這麼被記錄下來的。ZachXBT 在他的公開調查中多次推薦 MetaSleuth 用於鏈上資金分析。在 2026 年 3 月的一起案件中，ZachXBT 最先發現約 2300 萬美元從一個美國政府託管錢包中異常轉出，而嫌疑人後來被指控盜取超過 4600 萬美元。
話說明白：追蹤工具改善的是可追蹤性。它不會把可追蹤性變成追回，也解不開混幣器那個斷點。當像 Li.Fi 這樣的案子裡超過 99% 的資金進了 Tornado Cash，平臺可以精確記錄線索在哪裡終止，但它沒法編造出下一跳。這份誠實正是重點。一個好的追蹤工具會準確告訴調查人員證據止於何處，好讓關於追回的下一個決定建立在事實上，而不是建立在指望上。
接下來做什麼
如果你已經損失了資金，動作要快。隨著攻擊者把錢推過混幣器、跨鏈橋與不做身份核驗的交易所，可追蹤性會衰減，所以追蹤開始得越早，能留存下來的路徑就越多。先把每一個交易雜湊、目標地址與盜竊發生的確切時間收集齊，然後在追蹤工具裡把線索開啟，一直跟到它斷掉為止。
用 MetaSleuth 追蹤被盜資金，看看這條線索能把你帶到多遠。
本文屬於 MetaSleuth 調查與取證指南，那裡把追蹤方法、證據處理與工具分檔從頭到尾講了一遍。