#IT那些事儿# 面对日新月异的链上犯罪，中国执法机关究竟是如何“查水表”的呢？根据《南华早报》最新报导，一篇于 6 月 4 日发表在《法医学与技术》杂志上的一篇罕见的技术论文，前所未有地揭示了中国执法机构如何追查非法虚拟资产，概述了证据收集、交易追踪和资产扣押的过程，如图一所示。

在加密世界中，掌握私钥即掌握资产（Not your keys, not your coins）。因此，调查过程首先要破解密钥并确定资金流向。
许多用户会将助记词保存在手机备忘录、微信消息或电脑上的纯文本文件中。因此，调查人员在缴获嫌疑人设备后的第一步，就是仔细检查设备，寻找任何私钥或助记词的踪迹。
专业的取证软件通过三步自动完成此过程：使用 FileLocator 和 Meiya Pico 的 Forensics Master 等工具进行全盘扫描；使用“连续 12 个英文单词”等预设规则进行智能过滤；以及通过专门的脚本检查进行自动验证，以清除乱码和无关文本。
对于移动设备，像 Pinghang PF5200 这样的专用软件可以扫描 Android 和 iOS 系统，查找隐藏在消息应用程序和笔记中的可疑助记词和地址。
更高级的平台——如平航 X501 和美亚 Pico 的星火——更进一步，可以从图像中提取文本，因此即使是隐藏在相册中的屏幕截图也可以被发现。
在现场搜查过程中，如果发现只能看余额的只读钱包（Watch-Only Wallet），调查人员必须继续寻找物理隔离的冷钱包（Cold Wallet），如图二所示。

如果在设备上找不到密钥，警方还有另一条途径：在公共区块链上追踪资金，分析资金流动和身份线索。
但这远比传统的银行转账查询复杂得多。嵌入区块链的智能合约——旨在迷惑追踪者——可以通过跨链转账、代币交换和委托授权来混淆追踪路径。
该论文概述了几种追踪方法。第一种方法是追踪交易费用，追溯到币安等交易所，从而使警方能够获取用户数据。
当犯罪分子在不同的区块链之间跳转——例如从比特币跳转到以太坊——构建错综复杂的网络时，跨链分析就显得尤为重要。通过分析交易日志，警方可以像查看路线图一样，追踪资金的最终去向。
对于混合器（将许多用户的加密货币汇集在一起并进行洗牌的服务），调查人员会比较同一钱包下各个子地址的时间戳和金额，以追踪最终的资金流出。
警方可以通过正规的法律渠道，从币安、OKX 和 HTX 等主要交易所获取“了解你的客户”（KYC）记录。

一旦找到资金，真正的挑战在于扣押和冻结。
直接方法是私钥替换——将非法加密货币转移到警方控制的多重签名钱包中，并生成一个新密钥，从而有效地将嫌疑人的资产转移到警方控制之下。
对于存放在交易所的资金，警方可以冻结账户六个月，并且冻结期可以延长。

为了防范人谋不臧或黑吃黑的弊端，论文中特别强调了极度严格的操作规范：前线调查人员绝对禁止个人单独持有私钥。整个没收过程必须严格遵守办案与保管分离原则，确保每一步都有完整的保管链记录与交叉监督。