10 月 13 日，缅北魏家犯罪集团系列案一审宣判。魏怀仁、陈大卫、廖景芳 3 人被判处死刑，魏青涛等 3 人被判处无期徒刑，其余 55 人分别获刑二十四年至三年三个月不等，并处罚金、没收财产、驱逐出境等附加刑。法院审理查明，该集团在缅甸果敢地区设立犯罪园区，实施电信网络诈骗、开设赌场、故意杀人等犯罪，涉赌、诈等资金 122 亿余元，造成 4 名中国公民死亡。诈骗窝点远在境外，资金要经过多个账户、多个平台层层流转，一些跨境犯罪还会借助 USDT 等虚拟货币转移资产。这样动辄数亿、数十亿的涉案金额，究竟是怎么查出来的？魏家案的完整资金核算过程尚未公开。但不久前《检察日报》披露的另一起跨境电诈案，提供了一个可以观察的样本：山东聊城高唐县检察院办理的一起杀猪盘案件中，办案人员没能及时取得被害人陈述，却从犯罪团伙内部的电子数据中找到了突破口，聊天记录和链上交易逐一对应，最终认定涉案金额 56 万余元。2018 年，王某在网络游戏里结识了一个叫洋哥的人。对方说，菲律宾有理发生意可做，把他诱骗出了境。此后数年，王某辗转菲律宾、柬埔寨，最终落脚缅甸，在一家理发店当店长。如果故事停在这里，他只是一个在异乡讨生活的普通人。变故起于赌博。王某沾染赌博，欠下赌债，为还债向一个叫富贵的人借钱，随后被对方拉拢，一步步成为境外电诈窝点的总负责人，伙同黄某、伍某等人搭起一条完整的诈骗链条。这是一条典型的杀猪盘流水线：团伙成员把自己包装成成功人士，通过手机和境外社交软件与被害人交友、谈感情；等取得信任，就发送虚假投资项目的链接，诱导被害人点击授权；最后由另案处理的小雪，将被害人数字钱包里的 USDT 非法转移至其控制的冷钱包。和传统杀猪盘哄着被害人主动转账不同，这一次，被害人以为自己在参与投资，实际上钱包里的 USDT 已经被转走。2024 年 3 月，在公安部部署下，经国际警务协作，缅甸警方将王某等主要犯罪嫌疑人抓获并移交我国。人抓回来了，团伙也摸清了。可办案人员很快发现，一个关键环节出了问题：他们没能及时取得被害人陈述。犯罪嫌疑人曾以犯罪发生在境外为由质疑我国司法管辖权，这一辩解被检察官依法驳斥。但更棘手的是，被害人散落在各地甚至境外，办案人员无法在法定期限内取得他们的陈述，没有被害人指认，诈骗事实和金额该怎么证明？办案团队把审查重心转向犯罪集团内部的电子数据：服务器日志、聊天记录、资金流水，一点点还原诈骗话术和资金转移的全过程。业务员会在群里汇报转账成功，并记录收款金额、时间等信息。问题是，群里说收到了钱，就真的收到了吗？这些内部汇报可能存在错误、夸大甚至重复记录，单凭这些消息，还不能直接认定诈骗金额。办案人员做了另一件事：调取与这些汇报对应的 USDT 链上交易记录，把两边的信息逐一比对。再结合案发时段 USDT 兑人民币的平均汇率依法折算，最终认定涉案金额 56 万余元。为什么链上记录能做这个核对？因为在公开透明的区块链上，相关交易通常会留下可查询的时间、金额和钱包地址等信息。即便当事人否认转账，已经发生的链上交易也不会因此消失。图：TRON区块链USDT交易记录示例，非本案涉案交易。一条内部群聊记录，只能证明有人报告过转账成功；一笔链上交易，只能证明发生过一次资产转移。单独看，都不够。但当它们与诈骗话术、服务器日志、资金流水相互对应，一个能够相互印证的证据链就出现了。这起案件还有一个值得注意的细节：诈骗团伙将转走的USDT存入了冷钱包。
简单来说，冷钱包是一种将虚拟货币私钥保存在离线环境中的钱包管理方式。它并不是一个真正装着钱的钱包，虚拟货币仍然记录在区块链上，冷钱包保存的是控制这些资产所需的私钥。
既然私钥不联网，资金还能追踪吗？
能。钱包可以离线，账本不会。
只要相关资产在公开透明的区块链上发生转移，交易记录通常仍然可以查询。冷钱包能降低私钥因联网而泄露的风险，却不能抹去已经发生的链上交易。
在链上分析中，办案人员可以围绕相关钱包地址，追踪资金的来源和去向，梳理一笔笔转账涉及的地址关系；交易数量庞大时，还可以借助分析工具绘制资金关联图谱，梳理资金如何在不同地址之间分散、归集、层层转移。但钱包可以不显示持有人的真实姓名，链上显示的只是一串字母和数字，不是身份证号。找到钱去了哪个地址，和查到这个地址背后是谁，是两个不同的问题。要确认地址的实际控制人，往往还要结合依法调取的交易平台账户资料、手机和服务器中的数据、聊天记录等链下证据。链上交易能留下资金转移的痕迹，但一笔钱背后连着哪些账户、哪些人、哪些业务，光看链上不够，往往还要结合大量链下电子数据。
在涉及虚拟货币的网络犯罪案件中，电子数据司法鉴定可以发挥重要作用。
例如，奇安信洞鉴曾参与一起涉及虚拟币交易的跨境网络赌博支付平台案。此案中，涉案人员搭建非法支付系统，为境外赌博平台提供充值、提现和代理分润服务。资金和结算信息分散在服务器、数据库等多个系统里，订单、佣金、结算和虚拟币交易记录搅在一起，数量庞大。
这些虚拟币交易，分别对应哪些订单？涉及哪些钱包地址？又和平台的结算、分润记录是什么关系？
鉴定人员先重建服务器镜像环境、解析历史数据库，把订单、佣金、结算和虚拟币交易记录一条条提取出来；再围绕钱包地址、交易时间、结算商户和代理分润信息做关联核查，把分散在不同系统里的数据接起来，关键资金关系就此浮现。
这也是这类案件中司法鉴定的价值所在：不光要找到虚拟币的交易记录，还要把钱包地址、资金流向和真实业务记录对上，厘清每一笔交易背后的资金关系。
从链上的资金追踪，到链下的数据提取与关联核查，电子数据司法鉴定要回答的，正是这些光看账本回答不了的专门性问题。
回到缅北魏家案。122 亿余元涉赌、诈等资金，背后是远比单一诈骗案件复杂的犯罪活动和资金关系，完整核算过程目前公开报道尚未详细披露。高唐这起 56 万余元的小案，让我们看到了其中一种具体的取证路径：从聊天记录里找线索，用链上交易核实资金，再让不同来源的电子数据相互印证。虚拟货币可以让资金转移变得更复杂，却不意味着交易必然无迹可寻。钱可以层层转移，但在公开透明、可追踪的区块链上，发生过的交易仍然可能被重新找到。奇安信洞鉴长期从事电子数据司法鉴定，参与过大量涉及资金流向核查与虚拟货币交易分析的鉴定案件。从终端里的聊天记录，到链上的资金轨迹，把分散的数据变成能相互印证的证据，始终是我们工作的核心。链上记录一笔笔都记得。关键是找到它们，并弄清它们与犯罪事实之间的联系。奇安信集团旗下有北京、上海、西安三家司法鉴定所：北京网神洞鉴科技有限公司司法鉴定所、上海盘石洞鉴科技有限公司司法鉴定所与陕西西安洞鉴云侦声像资料司法鉴定所。其中，上海所是上海第一家通过 CNAS 认证认可的民营计算机类司法鉴定机构。三所均通过了CMA资质认定，是目前国内少数能够通过自主研发软件进行取证与分析的电子数据司法鉴定机构，具有独立的实验室场所，其中包括：案件受理区、数据恢复区、手机取证区、计算机取证区、屏蔽室、无尘工作间和物证室，并配备多种国内外先进的技术检验及辅助设备。经过多年的时间积累和发展，现拥有一批胜任鉴定工作的专业技术人员，以专业的技能和丰富的经验，来开展声像资料和电子数据司法鉴定工作。开展的鉴定服务范围包括：声像资料鉴定、电子数据司法鉴定、计算机证据固定和获取、手机终端取证与分析、数据恢复、密码破解以及涉及电子设备的民事调查等。
