固定樣本資料
公開示範 · 參考案件
這是一份已錄製的案件快照，來自一次真實的 TRON USDT 盜領事件。它被完整留存下來，是因為它的結論是負面的：鏈上證據不支持該項指控。
案件參數
- 案件編號
- ELAB-GINO-TRON-20260720
- 鏈
- TRON · USDT
- 被盜金額
- 45,473USDT (原始整數
45473000000) - 事件時間
- 2026-07-20T11:40:06Z
- 快照時點 as_of
- 2026-07-21T05:10:00Z
- 受害地址
- TYJftR…qSKk種子地址
- 賊錢包
- TUX5GD…HYn5種子地址
- 被指認的嫌疑地址
- 7 個地址
- 事件交易
- 94abac9c76fc462862f2bbc25b1de824df23ad48c2c9ea324f91f79f4e021a93
- 走訪上限
- 最大深度 30 · 最大節點 5000（賊錢包）／1000（其他） · hub 門檻 250 · 最小展開值 1.0
先驗錨點
任何分析開始之前，事件交易本身會先被驗證：交易雜湊、發送方、接收方、資產、金額，以及收據狀態必須是 SUCCESS。驗不過就直接讓案件失敗，不會有任何分析結果被產出。
偽陽性漏斗
這張表是整套雙圖譜規範存在的理由。左邊是天真實作會回報的數字，右邊是每一層拿掉了什麼。
原始可達圖重疊248
套用了什麼: 天真做法：「同時可從賊錢包與嫌疑網路到達的地址」
這就是市面上「查出 248 條關聯」的那個數字。它沒有錯，它只是沒有回答任何問題 —— 可達不等於金流，更不等於同一個人。
套用 FP1 受害地址橋接抑制後6
套用了什麼: 把受害地址與賊錢包同時列入 blocked：可以被到達，但絕不穿越展開
嫌疑人在案發前曾經匯款給受害人。因此在可達圖上，整個賊錢包下游都掛在嫌疑人下游底下 —— 只因為受害人本身變成了一座橋。拿掉這座橋，248 條剩下 6 條。
套用 FP3 僅價值資產封閉後1
套用了什麼: 只在 USDT 邊上重算封閉集合，排除 TRX／手續費
剩下 6 條裡有 3 條完全只靠 TRX 手續費相連。它們的 usdt_out 是 0，代表從來沒有任何價值流過它們。這 3 個地址是本案最重要的一課，下面單獨列出。
扣掉高分支度共用服務後0
套用了什麼: 唯一存活者是一個高分支度的自動化服務地址
最後一條關聯是一個一輩子處理過約 2746 萬筆交易的自動兌換服務入金地址。兩邊都碰到它，跟兩個人都用過同一家超商一樣，不構成關聯。標記為 shared_service，降級為弱，不是連結。
被 FP3 攔下來的三個地址
請看 high_degree 這一欄。這三個地址看起來不像交易所、不像共用服務 —— 它們看起來像普通的私人錢包，在深度 2 到 3 的位置把賊錢包和嫌疑網路連起來。這是分析師能看到的最有指控力的形狀。
而它們每一個都是「把共用能量租賃服務的手續費補貼當成金流追下去」的產物。usdt_out = 0 就是證據：從來沒有任何價值流經它們。
沒有 FP3，這個產品會指控三個無辜的錢包。
唯一的存活者
深度 1，兩邊都碰到，看起來非常像關鍵節點。它是一個自動化 USDT→TRX 兌換服務的入金地址。
TDii6vao7xyWg2rKPbCPWVRpSmne8xcqYx樞紐 / 服務型地址
誤判檢查已標記 1 項
以下標記代表這條發現有已知的、常見的其他解釋。標記不會讓它消失，只會降級並說明原因。
共用服務巧合
雙方只是用了同一家交易所或代付服務。
這個交集地址的往來對象數量、或公開的總交易筆數非常高，屬於大家都會用到的共用服務 —— 交易所熱錢包、入金地址、能量租賃。兩個毫無關係的人用同一家交易所，是日常，不是關聯。
此發現已自動降級為弱證據。要繼續往下走，需要更精準的東西：對方是否為該服務指派給特定客戶的專屬入金地址、是否有固定金額的操作指紋、以及該服務的公開交易量有多大 —— 交易量越大，這個巧合越不值錢。
正確處理方式：標記 shared_service、降級為弱、寫進報告並解釋 —— 不是隱藏，也不是連結。
污染追蹤
從賊錢包出發，只沿著時序上成立的 USDT 邊往下游傳遞。
在這份快照裡，被盜資金從未抵達任何交易所，也從未流回受害人或嫌疑網路。
金流守恆
全部用整數算。這一段同時也是我們對「不用浮點數」這條規矩的公開示範。
- 受害地址餘額（事件前 → 事件後）
- 45,473.11USDT → 0.11USDT
- 被盜金額
- 45,473USDT
- 賊錢包首跳流出
- 45,472.77099USDT
- 留在賊錢包的殘額
- 0.22901USDT
- 守恆比例
- 99.999496 %
- 停泊未出金
- ≈ 45,454USDT 分散在 3 個錢包（來源檔記錄為約略值）
- 最後一筆入金到被清空的間隔
- 1 小時 15 分 21 秒 與「有人在盯著餘額」的行為一致。
本案觸發的偽陽性偵測器
五個偵測器每一個都對應一次真實發生過、而且真的產生了錯誤指控的錯誤。它們被顯示、被降級、被解釋 —— 從不被藏起來。
誤判檢查已標記 3 項
以下標記代表這條發現有已知的、常見的其他解釋。標記不會讓它消失，只會降級並說明原因。
受害地址橋接
這條關聯只有「經過受害地址」才成立。
嫌疑地址曾經轉帳給受害地址，而受害地址後來被盜。於是竊賊的整個下游，會自動掛在嫌疑人的下游底下。但真正把兩邊接起來的是被盜的那個錢包本身，不是嫌疑人 —— 這種關聯在數學上必然成立，卻不代表任何事。
把受害地址與竊賊地址設為「可以到達、但不可穿越」後重算，或改用案發前的時間切點重建嫌疑人的圖。如果關聯因此消失，它就只是這個橋接造成的假象。
僅靠手續費／粉塵連結
雙方只在代付手續費或粉塵的邊上有交集，價值資產上沒有。
TRON 上絕大多數的 TRX 轉帳是能量／頻寬代付，來自少數幾家共用的代付服務；地址投毒的粉塵轉帳也一樣。把這些邊當成金流來追，會憑空製造出交集。在我們的參考案件中，只要把結論限定在價值資產（USDT）上，獨立交集就從 6 個掉到 1 個 —— 而僅存的那一個還是共用入金服務。
這條關聯不存在於價值圖上，因此不能作為結論。若要主張雙方有關係，必須在價值資產的邊上重新找到一條路徑。
共用服務巧合
雙方只是用了同一家交易所或代付服務。
這個交集地址的往來對象數量、或公開的總交易筆數非常高，屬於大家都會用到的共用服務 —— 交易所熱錢包、入金地址、能量租賃。兩個毫無關係的人用同一家交易所，是日常，不是關聯。
此發現已自動降級為弱證據。要繼續往下走，需要更精準的東西：對方是否為該服務指派給特定客戶的專屬入金地址、是否有固定金額的操作指紋、以及該服務的公開交易量有多大 —— 交易量越大，這個巧合越不值錢。
邊界
走訪停在哪裡，以及為什麼。空結果配上完整的邊界帳是一項發現；空結果沒有說明則是一份錯誤回報。
最大深度 30 · 最大節點 5000（賊錢包）／1000（其他） · hub 門檻 250 · 最小展開值 1.0 · max_depth 30
結論
查無關聯
在設定的範圍內，價值圖上找不到可以支撐關聯的路徑。這是一個明確的結果，不是查詢失敗。
本次檢查的範圍：TRON · USDT · max_depth 30 · as_of 2026-07-21T05:10:00Z
鏈上證據不支持該項指控。
在這份快照的範圍內，嫌疑地址與被盜資金之間沒有任何一條實質關聯成立。所有表面上的關聯，都能被歸因到受害地址本身的橋接效應、共用的能量租賃服務，或是手續費補貼。
這個結論會產出一份完整報告，品質與肯定結論相同：包含邊界帳（我們在哪裡停下來、為什麼）、每一個被降級的疑似連結，以及一段「鏈上資料無法告訴你什麼」。