比特币的核心是一个开放的账本，因此只要具备适当的技能，任何转账都可以从地址追踪到地址。由此衍生出一个完整的行业：交易者追踪鲸鱼和流入交易所的资金，区块链取证专家帮助追回被盗资金，合规性过滤掉“肮脏”的币。
在本指南中，我们将逐步介绍如何手动分析交易，如何借助工具和自动化将工作放在传送带上，以及为什么即使是最先进的追踪也只能给出概率而不是百分之百的答案。
我们将不讨论基本定义和市场指标——这些内容在卡片格式中有单独的材料。
第一部分。手动分析交易
步骤 1。通过 TXID 查找交易
区块链上的每笔转账都有一个唯一的标识符——TXID，即交易哈希。这是一个长字符串，通常由 64 个字符组成，网络通过将所有转账数据——输入、输出、金额和签名——通过 SHA-256 算法运行来获得。
几乎不可能伪造这样的哈希：数据的 slightest 编辑会产生完全不同的字符串，因此不存在两个相同的 TXID。从本质上讲，它是一个“收据号码”，任何网络节点都可以通过它找到并验证操作。
获取哈希的方式取决于您已经拥有的内容：
- 如果转账已经完成 — 它可以在钱包或交易所的历史记录中查看。操作旁边通常有一个链接，如 "在浏览器中查看"：它指向交易页面，完整显示标识符；
- 如果你只有发送者或接收者的地址 — 可以将其粘贴到任何区块链浏览器的搜索栏中。地址历史将显示所有转账；所需的交易可以通过金额和日期识别，其哈希可以在交易的页面上找到。
步骤 2. 理解交易的结构：输入、输出和找零
与银行账户不同，比特币并不将余额存储为一个单一的数字。网络基于 UTXO（未花费交易输出）模型运作：资金以不同面额的独立 "钞票" 存在，而钱包仅存储它们的密钥。可用余额是所有由所有者控制的输出的总和。
一张 "钞票" 不能部分消费。在支付过程中，这样的输出会全部进入交易，作为回报，网络会创建两个新的输出：一个给接收者，另一个作为找零返回给发送者，地址是新的。
让我们举个例子。爱丽丝有一个 5 BTC 的输出，她向鲍勃转账 0.01 BTC。在区块链上出现一个 5 BTC 的输入，一个 0.01 BTC 的支付，以及 ~4.99 BTC 的找零（减去手续费）。
任何观察者都可以通过区块链浏览器看到整个操作——“整笔”支付与“分笔”变更很容易区分。区块链取证中变更地址的确定基于这一特征。
步骤 3. 检查确认和内存池
发送的交易不会立即到达区块链。首先，转账会进入内存池——一个等待包含在区块中的操作的公共队列。在这个阶段可能会出现延迟：矿工通常优先处理费用较高的操作，因此如果费用过低，转账可能会在队列中停留很长时间。
一旦操作到达区块，它就获得了第一次确认。记录被包含在区块中后，它会收到第一次确认。随着每一次后续确认，可靠性水平提高，取消的概率越来越低。对于小额交易，通常一到两次确认就足够，而对于大额支付，通常会等待六次确认。
通过哈希实时跟踪这一过程非常方便：浏览器将显示转账是否在队列中滞留，它最终在哪个区块中，获得了多少次确认，以及发送者支付了多少费用。如果操作长时间卡住，同一页面将提示原因——通常是费用定价过低。
步骤 4. 追踪币的路径
每个新操作的输入都指向之前某个操作的特定输出——通过其哈希，并且可以同时有多个输入和输出。因此，转账形成的不是单一链条，而是一个分支网络：其中的币在地址之间汇聚和分散。
在这个网络上，资金的流动可以双向追踪——向新的地址前进和返回，一直到它们首次作为挖矿区块的奖励出现在coinbase交易中。
在实践中，分析师跟踪输出地址，查看资金接下来去了哪里。然后他们对新的地址重复同样的操作——一步一步，直到完整的链条形成。
这就是区块链上如何出现特征路线的方式：转账到交易所、大额资金分拆成部分，或通过几个中间钱包提取被盗资金。
例如：在2025年，一位早期投资者的地址在沉寂13年后首次显示活动，向一个新钱包转账909 BTC（约8500万美元）。这些币是在2012-2013年收到的，当时比特币的价格不超过几美元。
这样的转账在任何区块浏览器中都是可见的：只需打开地址，跟踪输出链，查看资金接下来移动到哪里。
第二部分。将分析放在流水线上
手动分析在有一到两笔交易时效果很好。但账本每秒都在补充，成千上万的转账无法用肉眼覆盖。
在这里，自动化来拯救我们：程序本身从网络请求数据，计算指标，并在合适的时刻发送通知。让我们看看它的三个层次——数据访问、分析和监控。
步骤 5. 通过 API 连接到数据
第一个层次是通过节点和探索者的 API 对区块链进行程序化访问。这是一个接口，通过它，脚本请求我们之前可以在转账页面上看到的相同信息（但没有人工干预，并且可以处理任何数量）。
mempool.space 服务有两个选项可供选择。REST API 响应一次性请求：交易状态、地址余额、内存池状态。WebSocket API 保持持续连接并自行发送更新——您可以订阅一个地址，每当有新的转账通过时就会收到信号。
对于批量检查，Blockchair 和 Bitquery 是合适的选择：它们一次返回多个地址的数据，并支持 webhooks。
步骤 6. 自动化分析
第二个层次是允许您编写一次查询并接收一个现成仪表板的平台，而不是一次性结果。
在 Dune 上，区块链数据使用 SQL 语言查询并显示在图表上；关于交易流、鲸鱼活动或顶级持有者的报告会自动更新，无需重复查询。
Flipside 的安排类似——它也有一个免费的 Python SDK，通过它可以将数据直接提取到自定义脚本中。
与手动方法的主要区别很简单：查询只需编写一次，但会持续工作。之前，分析师每天查看图表——现在有自动更新的仪表板。
第7步。设置监控和警报
第三层是通知，而不是手动刷新页面。"API加机器人"的组合监控所需的地址，并在资金到达或离开时立即发送通知。这就是关于大型鲸鱼交易的公共警报和关于特定钱包提币的私人警报的工作方式。
即使没有编程，也可以配置基本集：像Arkham这样的平台提供关于转账和鲸鱼活动的现成警报，通过电子邮件或应用程序发送。对于需要自己事件处理逻辑的用户，网络钩子是合适的——当指定事件发生时，它们会自动向服务器发送通知。
第3部分。追踪及其限制
第8步。区块链取证如何工作
自动化的巅峰是追踪被盗币和交易调查。取证引擎重复手动分析的逻辑，但在整个网络的规模上应用它。
这项技术的核心是通过启发式方法对地址进行聚类，即假设规则；其中两个特别重要：
- 共同输入：如果多个UTXO在一笔交易中被花费，它们很可能由单一所有者控制；
- 更改地址确定：通过第2步的功能——一次性支付与分数变化——引擎计算出返回给发送者的输出。
除了聚类之外，还增加了对典型洗钱方案的识别。例如，将金额拆分或“剥离”——当小部分不断从一个大钱包中分离出来时。
接下来是风险评估和归因：将聚类与真实的交易、服务或个人联系起来。商业平台（Chainalysis、TRM、Elliptic）和开放引擎（GraphSense、BlockSci）都在这样做。
第9步。自动化可以被信任吗
自动分析有一个根本的局限性。聚类提供的是概率，而不是事实。启发式方法会出错：例如，CoinJoin技术故意将不同用户的UTXO在一笔交易中结合在一起，这导致共同输入规则失效。
数据泄露的风险也可以手动降低。钱包中的Coin控制功能（例如，Sparrow或Trezor Suite）允许您自己选择要花费的UTXO：选择一个输出以匹配支付金额，并且不在一笔交易中混合来自不同来源的硬币。这减少了找零，并防止共同输入启发式触发——聚类所依赖的线索。
比特币提供的不是匿名性，而是伪匿名性——这是一种较弱的属性，持续的分析往往会“突破”这一点，但并不总是如此：结果仍然是一个估计，尽管是一个有根据的估计。正如Chainalysis所强调的，归属启发式提供的是概率结果而非确定性，因此风险评估仅仅是分析师决策的基础，而不是判决。
因此得出一个实际结论。值得区分地址的自动分组与人工验证的归属：前者是一个假设，后者是一个结论。风险评估的结果是更仔细查看一个地址的理由，而不是对其所有者的判决。
***
开放账本使每笔比特币转账可追踪——所有链上分析都是基于此。对于手动工作，基础知识就足够了：了解TXID是什么，理解UTXO模型和找零的机制，能够在浏览器中读取输入、输出和确认。这足以通过交易链查看资金的流动。
以API、SQL仪表板和机器人形式的自动化并没有消除对这些基础知识的需求——它只是扩大了工作规模：分析师手动处理一笔交易所做的，工具会为整个网络重复。
在顶端的是聚类和风险评估的取证。然而，它依赖于概率启发式，因此提供的是假设而非证据。
从基础开始掌握主题是合乎逻辑的：首先是探索者，然后是API和仪表板，最后才是专业的链上分析工具。同时，追踪越深入，区分可能性与证据的重要性就越高。
来源：ForkLog
