要追踪一个数字货币钱包地址，先读它的入金与出金，然后一次一跳地展开出金那一侧。在每一跳上，读出对面的标签，把行为上像同一个行为人的地址归成一组，如此反复，直到资金抵达一个已知的出口——交易所、混币器或者跨链桥。入金那一侧告诉你钱从哪儿来；出金那一侧告诉你钱去了哪儿，而通向这个地址背后那个人、那项服务或者那家交易所的，正是出金这一侧。
追出金那一侧，而不只是入金
钱是向前走的，而故事里有意思的部分几乎总在下游。单跳给你的是另一端的一个地址。多跳路径告诉你的是钱最后究竟落在哪里。对一次调查来说，重要的是后面那个问题。
把一个地址当作路口，而不是终点。多数调查的失败都在于停在第一跳。掏空一个钱包的黑客，很少把所得就停在同一个地址里：资金会先跳过若干中间钱包，才落到某个可以被采取行动的地方。只记下第一跳，你记下的是故事的中段，而不是结尾。路径中间的混币器或跨链桥同样不是答案；它是一个信号，说明资金背后的那个人正在设法让答案更难被找到。
区块链浏览器显示什么（又漏掉什么）
区块链浏览器把一个问题回答得很好：在某一笔交易里，这个地址做了什么。输入地址、输出地址、金额与代币，全都在一屏之内。图景到此为止。浏览器呈现的是单跳数据，而不是随后那条路径：如果资金离开一个钱包并拆到若干地址上，浏览器只显示第一跳。它不会把接下来这些地址连成一张图，也不会跨时间或跨链把线索跟下去。一个只覆盖单一网络的浏览器，会在资金跨链的那一刻、在桥那里把路径丢出视野。
缺口不在数据上，因为数据全都在链上。缺口在形态上。浏览器给你收据；追踪工具给你地图。当这张地图要支撑一个合规决策时，其背后的义务可以回溯到 FATF 标准。一旦路径深过一跳，这个差别就开始要紧。
钱包追踪的工作流：四个动作
从锚点地址出发。读它的入金与出金，弄清进来的是什么、出去的是什么，然后一次一跳地展开出金那一侧。这个循环有四个动作。第一，读对面的标签：一个带着已知服务名字的地址是一项发现，而不只是一串字符。第二，再展开一次出金，看那个地址把钱发去哪里。第三，如此反复，直到路径走进死胡同、绕回原处，或者落在某个认得出来的地方。第四，定位出口：多数追踪的终点是一个交易所充值地址、一个混币器或者一道跨链桥——链上线索在这里交接给链下的一方。
有两种模式能让线索在变大时仍然可读。扇出，也就是一个地址拆向许多个，往往意味着分发或者剥离行为；扇入，也就是许多地址汇向一个，通常标志着一个归集点或者一个服务充值地址。而当若干地址表现得像同一个行为人时，把它们当作一个单元来处理，能让路径与推理同时站得住。
让这个循环从机械变得有意义的，是标签。一个维持在数亿地址量级的标签库，才让这一层在真实案件上可用，而不是停留在一次性的手工研究。而当某一跳落在一个已经被命名为交易所、混币器或者已知行为人的地址上时，正是「叫出名字」取代「猜」的那一刻。
读懂死胡同：混币器、跨链桥与诚实的边界
每一个做追踪的人都会撞上同样的三堵墙，而每一堵都有标准打法。混币服务把路径打碎成统计意义上匿名的碎片。把资金跟到混币器的入口，把你看到的原样记下来，然后从你已经识别出的出口重新接上，而不是在池子内部靠猜。完整的边界方法，见如何追踪穿过混币器的被盗数字货币。跨链桥把价值搬进另一条链的地址空间，单链追踪就此终止。要继续，需要能跟着价值走完主要跨链路由的工具，见如何跨链追踪被盗的数字货币资金。隐私币完全在这套工作流之外，而诚实的追踪实践会把这一点直说。
把这一切串住的习惯是交叉核验。重要的结论在行动之前值得再读一遍，而在一个公开的区块浏览器上确认关键交易的时间戳与金额，是零成本的核验方式——并把核验了什么一并记录下来。这些决策在美国的报送侧，对应的是 FinCEN。
MetaSleuth 如何让钱包追踪变得可执行
这就是你用 MetaSleuth 追踪一个钱包时它在做的事。调查人员不必在浏览器标签页之间复制地址，而是在同一张图里展开每一跳，看着线索铺开。MetaSleuth 的「展开出金」会一步步展开资金从一个地址流出的路径，而两项设计取舍让这张图保持可读。同一对地址之间、同一代币的多笔交易，会合并成一条边。超过 6 亿个地址标签直接把服务叫出名字，把一个匿名地址变成路径上有名字的一站。在 Solana 上，MetaSleuth 会自动把代币账户映射回持有它的钱包，于是路径读起来是钱包，而不是散落的账户。
真实的调查展示了这套工作流的运转。在 Slope 钱包事件中，MetaSleuth 追踪了 8000 多个被掏空的 Solana 钱包，损失约 520 万美元。从四个攻击者账户展开出金交易，指向了持有这批资金的存储地址。数月之后，被盗的 USDT 完成归集并转入一家中心化交易所，链上线索在那里交接给了一个链下流程。在 SHAR 砸盘事件中，MetaSleuth 跟住了 14 个受控地址，看着它们把 SHAR 分散到 104 个地址上，而几分钟之后这一切又在单个地址上归集，并把整个仓位卖掉。这两个案子形状相同：先大面积铺开，一段安静期，然后在一个认得出来的地址上突然归集。单跳视图把这一切全都漏掉了；展开后的图则把它变成一个人几秒钟就能读懂的信号。
接下来做什么
追踪钱包是一项靠一个习惯就能长进的技能：在宣布线索凉了之前，永远先把出金那一侧展开。从你眼前的这个地址开始，跟住每一跳，一直走到资金落在某个认得出来的地方。练手最快的方式是拿一个真实地址来试：用 MetaSleuth 追踪一个钱包，看着出金那一侧铺展成一条多跳路径，且每一跳上的地址都有名字。
本文属于 MetaSleuth 调查与取证指南，那里把追踪方法、证据处理与工具分档从头到尾讲了一遍。