从商业角度看，比特币交易有个很大的问题，却很少有人谈起。假设一家企业用一个重复使用的钱包地址，以 BTC 向供应商付款。别人实际上可以看到发票之外的信息。
此刻，就在你读这段文字时，竞争对手只需打开区块浏览器，就能看到你上一笔交易中用比特币付给了谁——金额多少、何时支付、交易对手是谁。对于有所隐瞒的人来说，交易追踪并不是什么问题。它是一项持续存在的商业风险：资金调动、合作伙伴关系和交易往来都暴露在外，任何愿意花一个下午顺藤摸瓜的人都能看到。
人们通常会本能地以为，这种暴露始于链上，也就是你签署交易的那一刻。事实并非如此。2026 年 7 月，鲁汶大学 DistriNet 研究组的研究人员测试了 85 款最热门的浏览器扩展钱包，发现这些钱包本身泄露的信息就足以识别并追踪用户——甚至在签署第一笔交易之前。
钱包会向外部服务器发送请求以显示余额，而这个请求已经明文携带了地址。这并非利用了什么漏洞；这些扩展程序只是按其设计方式运行。在全部 85 款钱包中，仅指纹识别方面的弱点就影响了 36 款，约占研究所考察安装量的 82%——本节后续所有数据的统计范围，都是这个子群体。
即便是诚实的人也不例外。安迪·格林伯格花了十年时间，细致记录加密货币犯罪，报道那些把区块链当作藏身之处的黑客、毒贩和洗钱者，并看着调查人员一个接一个地把他们揪出来。十年后，他才明白，比特币实际上远非不可追踪。原本被认为能保护他们的账本，最终成了定罪他们的记录。
这种错误的自信只会朝一个方向蔓延——那些自以为已经采取足够措施来保护隐私的人，大多是根本没什么可隐瞒的人：捐赠记录如今全部公开的捐赠者、其消息来源可从付款记录中推断出来的记者，以及上文提到的 B2B 交易对手方。
几乎所有这一切都是发生在你身上的，而不是由你造成的。本文接下来将完整梳理这些暴露风险，并指出唯一一个曾由你亲手书写的环节。
钱包交易之外还会泄露什么
即使你还没有进行任何交易，加密货币钱包也可能泄露信息。为了显示你的余额，浏览器钱包通常会联系外部服务器，并向其发送你的钱包地址。鲁汶大学的研究人员对 85 款热门浏览器扩展钱包进行了测试，这些钱包在 Chrome 网上应用店的安装量合计约为 3500 万次。他们发现，其中 36 款钱包——约占受测安装量的 82%——可以通过这种方式被识别和追踪。
17 款钱包（覆盖约 2300 万次安装）还可能暴露属于同一用户的不同地址之间的关联。在受影响的 36 款钱包中，有 22 款即使用户撤销访问权限并重启浏览器，网站仍能读取地址。
还有另一个问题。即使用户根本没有连接钱包，网站通常也能检测到对方安装了哪些钱包扩展程序。研究人员还发现，在受影响的 36 款钱包中，有 23 款可能通过从其他网站加载的内容泄露地址，而用户无需点击任何内容。
研究人员联系的大多数钱包服务商并未将此问题视为严重漏洞。Coinbase Wallet、Coin98 和 Hana 做出了改动，而 MetaMask、Rabby 和 OKX 等其他服务商则没有。研究人员还测试了 30 款去中心化应用，发现用户点击“断开连接”或退出登录时，只有 11 款能正确撤销钱包访问权限。
一旦地址暴露，公开的区块链就能呈现其余信息。
区块链分析公司会寻找交易模式，以判断多个地址是否属于同一个人或组织。
例如，如果多个钱包反复互相转账，或以相似方式进行交互，软件就能将它们归为一组。因此，一个已知地址可能会让分析人员找到其他多个地址。
这种情况的规模极其庞大。截至 2026 年年中，Chainalysis 表示，它已将超过 10 亿个区块链地址归入 13.4 万多个已识别实体。
在不同区块链之间转移资金，也不一定能抹去资金流向。分析人员可以追踪资产通过跨链桥在不同网络间流转。使用去中心化交易所也不会自动隐藏交易，因为兑换记录仍会公开记录在区块链上。
结果其实很简单：钱包地址看起来可能只是一串随机字符，但一旦周围有足够多的活动与之关联，它就可能呈现出一份详尽的财务画像。
已有真实案例证明这种追踪方式行之有效。2021 年 Colonial Pipeline 遭遇勒索软件攻击后，美国调查人员追踪比特币经过多个钱包的流向，并追回了 440 万美元赎金中的约 230 万美元。
Helix：试图隐藏也骗不过的机制
在比特币发展的早期，Helix 在暗网市场上非常受欢迎。它的设计目标只有一个：让比特币无法被追踪。Larry Dean Harmon 在 2014 至 2017 年间将其作为混币器运营，通过混合客户的币来掩盖资金来源，并将处理后的比特币宣传为“干净”的比特币。整个模式的核心就是隐匿。除了切断币的来源与去向之间的关联，这项服务别无其他用途。
约有 354,468 BTC 曾经流经 Helix，当时价值约 3.11 亿美元。混币改变了资金流向的表象，却没有抹去流向本身。每一枚币仍在区块链上留下永久记录，事后无法篡改或删除。
Harmon 每笔兑换收取 2.5% 的佣金，而这笔佣金和其他所有币一样，都永久留在了链上。他从中抽取佣金来运营隐匿服务，而这笔佣金最终成了追查到该服务运营者的记录。这个从设计之初就旨在抹去踪迹的服务，反而把所有者写进了它无法抹去的踪迹之中。
钱包踪迹如何与真实身份关联
Helix 表明，转移比特币并不一定能抹去踪迹。但追踪资金只是任务的一半。分析人员仍需将这些钱包地址与真实个人或企业联系起来。
这种联系通常发生在资金流入受监管的交易所时。交易所知道哪些充值地址属于自己的客户，并通过 KYC 审查留存身份记录。如果调查人员追踪比特币发现它流入了其中一个地址，就可以通过法律程序调取相关账户信息。
仅这一条关联，就能揭示远不止一笔交易的信息。如果区块链分析已将多个地址关联起来，判断它们很可能属于同一所有者，那么确认其中一个地址的身份，就可能为整个地址群组对应上真实姓名。交易所或许只掌握曾与其平台发生往来的那个地址，但先前的分析可以将它与其他地址联系起来。
有时甚至不需要提出法律请求。个人和企业经常会自行公开钱包地址——例如在网站、捐款页面、Telegram 聊天群或公开资料中。一旦某个地址与姓名公开关联起来，其过往交易也就一览无遗。
对于企业而言，这会带来一个基本的隐私问题。一笔供应商付款可能暴露此前的付款、资金调动和其他交易对手。由于区块链交易永久留存且带有时间戳，一旦某个钱包的身份被识别，多年的活动就更容易被还原。
区块链追踪可能出错的地方
这并不意味着区块链分析总是准确的。
用于关联钱包的系统在很大程度上依赖模式和概率。它们可能产生误报和漏报：无辜的活动可能被标记，可疑活动也可能被漏掉。
一个问题是交易历史。比特币可能经过许多持有者之手。如果这些币此前曾经过混币器或被认为有风险的钱包，那么后来的持有者也可能因此受到牵连，尽管他们与先前的活动毫无关系。
有记录显示，一名 P2P 买家因收到的比特币在其持有前曾经过混币器，导致账户被冻结。
对于交易所和其他受监管企业而言，这些错误会带来实际成本。误报可能导致合法客户的资金被冻结，并引发合规和客服方面的问题。
追踪公司能够看到的信息也有局限。门罗币等注重隐私的加密货币仍然难以追踪。如果资金流入拒绝配合的司法管辖区内的交易所，调查也可能就此中断。
即使是规模最大的区块链分析公司，也做过重大修正。2025年初，Chainalysis 将其对朝鲜上一年窃取加密货币金额的估算从 10 亿美元下调至 6.605 亿美元——在重新评估数起黑客攻击事件后，修正幅度超过 3 亿美元。
这些系统的可靠性也在法庭上受到质疑。在 Bitcoin Fog 和 Tornado Cash 等案件中，辩护团队质疑：对于外界无法全面审查的专有软件所生成的分析结果，究竟应赋予多大权重。
这类审查之所以重要，是因为 Chainalysis 也是美国政府的重要承包商。根据基于联邦记录的独立报道，该公司获得的政府合同金额超过 9,320 万美元。
错误结果带来的最大风险落在无辜用户身上。错误关联可能导致账户被冻结。在保护措施较弱的国家，同样的追踪工具可能暴露捐款者、记者或资助政治反对派的人。区块链追踪能揭示很多信息，但绝不应将其结果视为必然正确。
用户仍能掌控的追踪链条环节
上述大部分暴露风险都不受用户控制。钱包可能在交易发生前就泄露地址。区块链分析可以将多个地址关联起来，而受监管的交易所则可通过 KYC 记录将这些钱包与真实身份联系起来。
用户仍可控制的部分，是发送方与接收方之间的直接关联。当一个钱包向另一个钱包付款时，这种关联会被永久记录在链上，之后可能暴露交易对手、资金库流向和业务关系。
ChangeNOW 推出了 Private Transfers（隐私转账），以消除这种直接关联。该功能会通过一个独立的一次性地址转发付款，因此接收方不会直接收到来自发送方的资金。这会切断可见的发送方到接收方的路径，但并不意味着整个交易过程都是匿名的。
其他暴露风险依然存在。钱包元数据仍可能泄露，区块链分析仍可追踪相关活动，而且存款、转账和付款各阶段仍须接受 AML 检查。
对于 API 合作伙伴，Private Transfers 是现有转账基础设施中的一项可选功能。它使用相同的 API 密钥和费用模式，无需单独的产品或集成。它的目的更为有限：消除用户能够主动选择不建立的唯一一条可见关联。
来源：BeInCrypto
