区块链基础与链上数据源：掌握交易结构、地址、哈希与主流数据平台

链上资金流向追踪的前提，是能够准确读取并理解区块链上记录的最原始信息。与银行流水不同，区块链上的每一笔转账、每一次合约调用、每一个地址的余额变化，都以交易（Transaction）的形式永久保存在分布式账本中。要追踪资金从哪个地址流入、经过哪些中间地址、最终沉淀在何处，我们必须先掌握三个核心概念：交易结构、地址体系、交易哈希，并熟练使用区块浏览器与专业数据平台（如 Etherscan、Dune、Nansen）来查询和解析这些数据。本章将系统拆解这些基础要素，并给出从“拿到一个哈希”到“完成初步资金路径分析”的完整操作框架。

上图展示了从原始交易数据到最终资金流向分析的整体链路。下面我们逐一深入每个环节，先理解区块链交易的数据结构，再掌握地址与哈希的识别方法，最后熟悉主流数据源的操作要点。

2.1 区块链交易结构：读懂一笔转账的“DNA”

核心原理：在以太坊等基于账户模型的区块链中，一笔交易本质上是一条由外部账户（EOA）签名的指令，它告诉网络“从我的账户转出X数量的代币到目标地址”或“调用某个合约的特定函数”。交易一旦被打包进区块并执行成功，其所有字段便不可篡改。理解交易结构是追踪资金的第一道门槛，因为资金流向的所有线索都隐藏在这些字段中。

一笔标准以太坊交易的完整字段如下表所示：

判断方法：当我们在追踪一笔资金时，首先应区分这是原生代币转账（如ETH、BNB）还是ERC-20代币转账（如USDT、USDC）。原生代币转账直接体现在交易的value字段中；而ERC-20代币的转账则隐藏在input data里，需要通过解码Transfer事件日志来获取真实的转账金额与收发地址。很多新手在追踪USDT时只看交易的value字段，结果发现金额为0，这就是因为没有理解代币转账的底层机制。

2.2 地址体系与交易哈希：识别链上身份的唯一标识

核心原理：区块链地址是参与交易的主体标识。以太坊地址分为两类：外部账户（EOA）由私钥控制，通常属于个人或机构；合约账户由代码控制，没有私钥，其行为由智能合约逻辑决定。在资金追踪中，识别地址类型至关重要——如果资金流入一个合约地址，我们需要进一步查看该合约是否具备资金归集或转移功能（如混币器、中间聚合器）。

交易哈希（TxHash）则是每笔交易的唯一指纹，由交易内容通过Keccak-256哈希算法计算得出，长度为64个十六进制字符。只要交易被确认，哈希就永久固定。通过哈希，我们可以精确检索到交易的完整信息，这是所有链上查询的起点。

判断方法：快速区分地址类型的方法很简单：在Etherscan上搜索该地址，如果页面显示“Contract”标签，则为合约地址；如果显示“Address”且没有合约代码，则为EOA。对于交易哈希，我们通常直接复制完整字符串（0x开头）进行搜索，无需记忆或解析。

2.3 主流数据源详解：Etherscan、Dune、Nansen的定位与操作

核心原理：不同的数据平台服务于不同深度的分析需求。Etherscan是基础区块浏览器，提供最原始的交易、地址、区块信息，适合单笔交易或单个地址的精细查询；Dune是一个链上SQL数据库，允许用户通过编写SQL查询来聚合分析海量交易数据，适合批量地址追踪和模式识别；Nansen则是一个智能标签平台，通过机器学习将地址标记为“交易所”、“巨鲸”、“聪明钱”等实体，适合快速识别资金背后的真实主体。

下表对比了三个平台的核心差异：

操作流程：以追踪一笔从交易所提现到未知地址的USDT为例，标准操作步骤如下：

1. 在Etherscan上输入提现交易的哈希，确认from为交易所热钱包地址（如Binance 8），to为目标地址，并记录Transfer事件中的实际USDT金额。
2. 点击目标地址，进入其“Transactions”页面，查看该地址后续的转出记录。如果转出频繁且金额分散，则可能是场外交易商或混币器。
3. 复制该地址到Nansen搜索，查看其标签。如果Nansen标记为“Fake_Phishing”或“Mixer”，则风险极高。
4. 如需分析该地址过去30天的所有资金流入来源，可在Dune上编写SQL查询，按block_time分组统计value总和，并关联from地址的标签。

2.4 案例拆解：从一笔哈希到完整资金路径的还原

案例背景：2025年3月，某安全团队在调查一起DeFi钓鱼事件时，受害者提供了钓鱼网站要求转账的合约地址0x9A1b...Cdef。我们需要追踪这笔资金最终流向了哪里。

初始现象：受害者报告称，其授权了该合约转移其钱包中的200,000 USDC，但并未实际发起转账。实际上，钓鱼合约通过approve函数获得了授权，随后攻击者调用transferFrom将资金转走。

分析过程：

1. 在Etherscan上查询合约地址0x9A1b...Cdef，点击“Transactions”标签，发现该合约在3月15日有一笔调用transferFrom的交易，哈希为0x77aa...88bb。
2. 点击该交易哈希，在“Logs”中找到Transfer事件，确认from为受害者地址，to为攻击者控制的EOA地址0xE5f4...A1b2，金额为200,000 USDC。
3. 在Etherscan上查询0xE5f4...A1b2的交易历史，发现该地址在收到USDC后，立即通过Uniswap V3将USDC兑换为ETH，交易哈希为0x99cc...dd11。
4. 继续追踪ETH的流向，发现ETH被转入一个混币器合约地址0xTornado...Cash。此时，资金路径已经断裂，因为混币器无法直接追踪。

结果与复盘：通过Etherscan的逐层解析，我们成功还原了“钓鱼合约 → 攻击者EOA → DEX兑换 → 混币器”的完整路径。关键经验是：追踪资金时，优先关注代币的Transfer事件而非交易本身的value字段；遇到合约地址时，必须查看其内部调用（Internal Transactions）。此外，如果攻击者使用跨链桥或混币器，追踪难度会急剧上升，此时应结合Nansen的标签识别混币器入口地址，并尝试通过链下情报（如交易所KYC记录）锁定攻击者身份。