比特币交易暴露的信息远超用户想象

从商业角度看，比特币交易存在一个被严重忽视的风险。当一家公司使用同一个钱包地址向供应商付款时，收款方能看到的不只是这一笔付款。

就在此时此刻，竞争对手可以使用区块浏览器查看你进行的每一笔比特币支付——金额、时间戳和交易对手。这不仅仅是那些试图隐藏活动的人需要担心的问题。这是一种持续的商业风险：任何人只要有时间，就能追踪资金流动、合作关系和交易动向。

许多人认为，风险暴露始于交易签署时的链上环节。这是错误的。2026年7月，KU Leuven的DistriNet团队检查了85个广泛使用的浏览器扩展钱包，发现这些钱包即使在交易发生之前，也可能泄露数据，用于指纹识别和追踪用户。

当钱包为显示余额而向外部服务器发送请求时，该请求会以明文形式发送钱包地址。这不是漏洞；这些扩展程序就是这样设计的。在接受测试的85个钱包中，有36个——约占所检查安装量的82%——存在这种指纹识别漏洞，所有后续统计均指这一群体。

这也适用于合法用户。长期报道加密货币犯罪的记者Andy Greenberg花了十年时间观察犯罪分子以为区块链能隐藏他们的活动，结果却看到调查人员揭穿他们。他最终意识到比特币并非不可追踪。本应提供保护的账本，反而成了导致定罪的证据。

虚假的安全感通常影响那些自认为隐私无忧、但实际上并没有真正隐藏什么的人：捐款被公开的捐赠者、支付记录可能暴露信息来源的记者，或上文提到的商业对手方。

这种暴露大部分是被动的，而非主动的。本文探讨了暴露的全部范围，并指出了用户可以控制的唯一环节。

钱包在交易之外还会泄露什么

加密钱包可能在交易发生之前就泄露数据。为了显示余额，浏览器钱包通常会向外部服务器发送请求，提交钱包地址。KU Leuven的研究覆盖了85个扩展程序，在Chrome Web Store上约有3500万次安装。其中，36个钱包——约占安装量的82%——可通过这种方法被识别和追踪。

17个钱包（约2300万次安装）还能揭示同一个人使用的多个地址之间的联系。在36个易受攻击的钱包中，有22个，即使撤销权限并重启浏览器后，网站仍能访问地址。

另一个问题：网站通常可以在用户未与钱包交互的情况下，识别安装了哪些钱包扩展程序。研究人员还发现，36个受影响钱包中有23个可通过第三方网站加载的内容泄露地址，即使没有点击。

研究人员联系的大多数钱包提供商并不认为这是严重缺陷。Coinbase Wallet、Coin98和Hana实施了更改，而MetaMask、Rabby、OKX等则未作调整。研究人员还检查了30个去中心化应用；只有11个在用户点击“断开连接”或退出登录时正确撤销了钱包访问权限。

一旦地址暴露，公共区块链就会提供其余细节。

区块链分析公司会寻找交易模式，以判断多个地址是否由同一个人或实体控制。

例如，如果多个钱包频繁互相转账或行为相似，聚类软件可以将它们关联起来。因此，一个已识别的地址可以揭示许多其他地址。

这一过程在大规模进行。到2026年中，Chainalysis报告称，它已将超过10亿个区块链地址分组为超过13.4万个已知实体。

跨区块链转移资金不一定能消除痕迹。分析师可以通过跨链桥追踪资产。去中心化交易所的交换也仍公开记录在区块链上，因此它们不会自动隐藏交易。

结果很简单：钱包地址看起来像随机字符串，但当足够多的活动与之关联时，它就能构成一份全面的财务档案。

现实世界的例子证明了这一点。2021年Colonial Pipeline勒索软件攻击后，美国当局追踪了跨多个钱包的比特币，并追回了约440万美元赎金中的约230万美元。

Helix：你无法通过隐藏来欺骗的机制

在比特币早期，Helix在暗网市场上广受欢迎。它的唯一目的就是让比特币不可追踪。2014年至2017年间，Larry Dean Harmon将其作为混合器运营，混合客户的币以隐藏其来源，并将结果宣传为“干净”的比特币。整个操作围绕隐藏展开，旨在切断币的来源与目的地之间的联系。

约354,468 BTC（当时价值约3.11亿美元）流经Helix。混合改变了痕迹的外观，但并未消除它。每一枚币仍在区块链上留下了不可磨灭的记录，不可更改且永久存在。

Harmon对每笔交换收取2.5%的费用，这笔费用与其他币一起永久留在区块链上。他运营隐藏服务所收取的佣金，反而创造了指向他的证据。旨在消除痕迹的服务，最终将它的主人铭刻在了无法抹去的痕迹上。

钱包痕迹如何关联到真实个人

Helix表明，转移比特币并不能保证痕迹被抹去。然而，追踪资金只是过程的一部分。分析师仍须将钱包地址与实际个人或公司关联起来。

这通常发生在资金到达受监管交易所时。交易所保留其客户存款地址的记录，并进行KYC身份验证。如果调查人员追踪比特币到这样的地址，他们可以通过法律渠道获取账户信息。

一个环节可能暴露的远不止一笔交易。如果区块链分析已经将多个地址聚类在可能共同的所有者名下，识别出一个地址就能为整个聚类命名。交易所可能只知道与其平台交互的地址，但之前的聚类会将其与其他地址关联起来。

有时无需法律程序。个人和公司经常在网站、捐款页面、Telegram群组或公开个人资料上公布自己的钱包地址。一旦地址公开关联到名字，其所有历史交易就会公开可见。

对企业来说，这构成一个基本的隐私问题。向供应商付款可能会暴露之前的付款、资金活动和其他合作伙伴。由于区块链交易是不可变且带时间戳的，一个被识别的钱包就能简化对多年活动的重建。

区块链追踪可能出错的地方

这并不意味着区块链分析是完美无缺的。

用于关联钱包的系统主要依赖模式和概率。它们可能产生误报和漏报——合法行为可能被标记，非法活动可能被漏掉。

一个问题是交易历史。比特币可以多次转手。如果币曾经通过混合器或被标记的钱包，后续所有者可能会继承风险特征，即使与之前的用途无关。

有一个记录在案的案例：一位点对点买家因收到的比特币曾通过混合器，其账户被冻结。

对于交易所及类似受监管实体，此类错误会带来实际成本。误报可能冻结真实客户的资金，并引发合规和客户服务问题。

追踪公司也面临局限性。像Monero这样的注重隐私的加密货币更难追踪。当资金到达不合作司法管辖区的交易所时，调查也可能受阻。

即使是最大的区块链分析公司也发布了重大修订。2025年初，Chainalysis将其对前一年朝鲜窃取的加密货币的估计从10亿美元下调至6.605亿美元——在重新评估几起黑客事件后减少了超过3亿美元。

这些系统的可靠性也在法庭上受到质疑。在Bitcoin Fog和Tornado Cash等案件中，辩护律师对专有软件分析的可信度提出质疑，因为外部人员无法全面审查这些软件。

这种审查很重要，因为Chainalysis也是美国政府的重大承包商。根据联邦记录的独立报道，它已获得超过9320万美元的政府合同。

错误结果的最高风险由无辜用户承担。错误的关联可能冻结账户。在保障措施较弱的司法管辖区，同样的追踪工具可能暴露捐赠者、记者或资助政治反对派的人。虽然区块链追踪可以揭示很多信息，但其结果不应被视为自动准确。

用户仍能控制的唯一环节

上述大部分暴露发生在用户无法控制的范围内。钱包可能在交易前泄露地址。区块链分析可以聚类地址，受监管交易所可以通过KYC数据将钱包与真实身份关联。

用户仍能管理的是直接的发送方-接收方关联。当一个钱包向另一个钱包付款时，该连接永久记录在链上，以后可能暴露交易对手、资金活动和业务关系。

ChangeNOW推出了一项名为Private Transfers的功能，以消除这种直接关联。该服务通过一个独特的一次性地址路由付款，因此接收方不会直接从发送方获得资金。这切断了可见的发送方-接收方路径，同时不声称完全匿名。

其他形式的暴露仍然存在。钱包元数据可能仍被泄露，区块链分析仍可追踪周边活动，AML检查在存款、转账和支付步骤中仍会进行。

对于API合作伙伴，Private Transfers是现有转账系统的可选添加项。它使用相同的API密钥和费用结构，不需要单独的产品或集成。其目标是有限的：移除用户可以选择不创建的可见环节。

结论

让我们回到起点。Andy Greenberg曾以为区块链能隐藏其用户，但经过多年观察，他得出了相反的结论：“我花了十年时间才意识到比特币与不可追踪完全相反。”这是整篇文章的基础。完全的不可追踪并不存在。钱包泄露、链上记录和聚类最终都指向一个名字。

这才是相关的视角：不是匿名——十年的追踪币表明那是一个故事而非属性——而是清晰说明哪一层关闭，哪一层保持开放。Private Transfers移除了用户可以选择不创建的唯一环节。