什么样的数字货币证据链才算可用于法庭？四类随做随记的记录：你查了什么、你发现了什么、依据是什么、什么时候查的。把它们组装到一起，本身就是那份取证调查报告：一条从每一个结论回到某个交易哈希或地址的结构化链条，而复核者可以把那个哈希或地址再查一遍。事后靠截图重建出来的线索不是证据，那是回忆。
可用于法庭与仅供参考，差别在哪
「有信息量」与「站得住」之间的差别，在于这条线索能不能经受住带有敌意的复核。有四条标准决定这一点。可复现：另一位调查人员按你记录下来的步骤、对着同一批链上数据走一遍，能得到同样的结论。时效性：记录显示每一次检查是什么时候跑的、对的是哪一版数据，因为三月还成立的标签，五月可能已被撤回。明示依据：对于每一个「这些地址属于同一个行为人」的主张，线索要给出推理过程——共同的资金来源模式、协同的时间特征，或者有据可查的聚类方法——而不只是一句断言。链条完整：从原始交易到最终结论，每一个推理步骤都在场；不允许有被当作「显而易见」而跳过的环节。
这些标准来自调查所处的环境。执法联络与监管审计探的是同样的弱点：一个没有记录支撑的结论会被当成意见，而意见是不可执行的。调查人员描述的那种压力——得向复核者解释一个风险判定是怎么得出来的——正是一条可用于法庭的线索所要固化的习惯。
这些标准有明确的锚点。在美国联邦法院，《联邦证据规则》第 902(13) 与 902(14) 条允许由电子流程生成的记录，以及从电子设备或文件中复制的数据，通过认证书自我认证，而无需出庭证人。在国际上，ISO/IEC 27037 是识别、收集与保全数字证据的参照标准。一条按上述四条标准构建的线索，与两者都对得上——这正是可采性由取证时的记录习惯决定、而不是在法庭上决定的原因。
一份站得住的案卷里的四类记录
筛查日志是第一类：对每一个被检查的地址，记下这次检查是什么时候跑的、对的是哪一版数据、返回了什么。会自动记录日志的筛查工具把这一类当副产品产出；而临时随手做筛查的团队则永远产不出来——缺口正在这里。
路径存档是第二类：完整的多跳追踪，按它被构建出来的样子保存，包括那些走进死胡同的分支。死胡同不是浪费，它是有记录的排除；在带有敌意的复核里，它回答的是「这次调查到底有没有真的去看」。存档保留了图、逐跳展开的过程，以及每个分支终止的那个点——不管终止于混币器、跨链桥还是一个休眠地址。
归属备忘是第三类：对每一个关于「这组地址背后是谁」的判定，简短记下依据。确定性聚类——按可证实的链上关系、而不是仅凭相似度评分来归组地址——让这份备忘有了复核者可以核验的内容。备忘的格式很短：涉及哪些地址、判定是什么、证据是什么、把握有多大，以及什么情况会推翻这个结论。
时间线是第四类：从触发事件开始，经由每一项发现到每一个已采取的动作，按时间戳排出的序列。对执法而言，时间线常常是最先被读的那份记录，也是用来核对其余所有记录的那一份。一条完整的时间线同时让调查自身保持诚实，因为时间上的空档会暴露流程上的空档。
从案卷到取证报告
取证报告是把案卷组装给一位从未接触过这个案子的读者来看，而那四类记录就是它的章节。资金流向路径以图的形式呈现，而不是一堵哈希墙，其中的主体按标签叫出名字，于是读者看见的是每个原始地址背后的交易所、服务或聚类。时间线按区块高度与时间戳给交易排序，让这些动作读起来像一个故事。出口点——资金在链上不再可追踪的那家交易所、混币器或服务——要单独强调。它通常是最可执行的那个事实：后续的请求、传票或者向交易所的通报，都落在那里。多数调查卡住的地方不是找不到路径，而是不知道该把下一个动作发给谁。
报告是在追踪的过程中写的，不是等结束之后。地址、图表与查询，跑的时候就记下来；在一份取证写作里，记忆是最弱的一环，而一个没有记录的步骤在复核之下看起来就像一个没有依据的步骤。成稿的标准与线索本身相同：一位从未接触过这个案子的读者，应当能沿同一条路径重走一遍，并得到同样的结论。
常见的证据失败，以及它们如何毁掉案子
有四种失败反复出现。事后重建：没有时间戳的截图，几天之后才拼起来，无法确立任何一件事是什么时候被查的；解法是随做随记，而上面那些记录习惯的存在就是为了让它变成惯例。单一来源断言：一个结论只靠某一家数据供应商的标签、没有交叉核验，一旦那个标签被质疑就立刻垮掉。解法是拿第二个来源去核对重要结论，并把两边都记录下来。黑箱结论：一个看不见依据的输出分数，读起来就是意见。解法是可解释的信号，即评分要显示是哪些因素驱动了这个评级，见可解释的数字货币反洗钱风险评分。版本漂移：所依据的数据在检查时是最新的，到提交时已经悄悄过期，而记录里两边都没体现；解法是每一条记录里的那个时效性字段。
让它可复用
据 BlockSec，MetaSleuth 支撑的是这些记录的「采集」那一侧：图表存档与可分享的分析链接，把路径存档及其上下文按构建时的样子保存下来，而不是按事后重建的样子。报告随后指回一张可交互、可检视的图，而不是一张静态截图。截至 2026 年，该平台被一百多家执法与合规团队采用，这正是相关的证明：它的图表形态经得起它所面向的那批读者。对需要反复出报告的团队来说，可复用性是那个会复利的回报：下一份报告从一个存好的状态开始，而不是从一次全新的检索开始。这就是为什么第二次调查比第一次便宜，而第十次还要更便宜。
关于证据，结论很朴素：一条可用于法庭的线索不是与调查分开的另一项活动，它就是带着记录习惯做的那次调查。在做的过程中把四类记录建起来的团队，收尾时手上是一份报告。先调查、后补文档的团队，收尾时手上是一个故事。
本文属于 MetaSleuth 调查与取证指南，那里把追踪方法、证据处理与工具分档从头到尾讲了一遍。