地址聚类是什么？链上分析怎么把一堆地址拼回一个钱包

一句话先说清

地址聚类是区块链隐私分析的核心技术：不掌握任何密钥，只用公开账本，靠行为规律把散落的地址归并成“同一个实体”。它是反爬与反侦察的攻防——研究者用它衡量集中度、执法用它追资金流，而普通用户用它判断“我的地址在链上到底有多透明”。理解几条经典启发式，比背一百条隐私口号有用。

三条经典启发式

多输入启发式：一笔交易花掉多个 UTXO 时，假设这些输入属于同一人（联合花费）。这是最常用也最硬的一条，但存在合法例外——币币混币、多方协作的 PSBT、支付即结算类协议都可能把不同人的 UTXO 拼进一笔。

找零启发式：钱包通常把“最大且不属于任何已知地址”的输出当找零地址；更精细的版本会观察金额尾数（找零常避开整数规律）、验证输入顺序（BIP69 字典序排列的钱包会让这条规则失效或反转）。被误判的找零地址会把不相关的两串地址焊在一起，聚类结果的假阳性正是从这里渗漏。

余额归零与时间模式：当一组地址在相近时间被清空并汇入一个新地址，聚类器会把它们归为一次整理行为；配合“充值→拆分→归集”的节奏模板，交易所热钱包的轮廓几乎一眼可见。

从聚类到“画像”

把启发式叠上外部数据——商户域名、交易所公开储备地址、矿池 payouts、甚至一次测试转账——聚类就从“地址集合归并”升级成“实体画像”。链上分析公司卖的不是魔法，是三样东西的规模化：启发式引擎、标注库（交易所、混币器、钓鱼地址的已知标签）、以及图数据库。同一套工具，交易所用来做合规风控，白帽用来追被盗资金，攻击者用来筛选“可定制骗局的目标”，三者没有本质能力差，只是授权差。

攻击者怎么用画像

一个真实链条：聚类发现某沉睡地址五年未动→判断持有者大概率是老用户→向其关联的活跃地址空投“客服 NFT”或发送钓鱼签名请求→利用“你有一笔遗产待激活”话术完成收割。防御动作其实很朴素：大额与日常分开、旧备份定期归集销号、收到陌生空投不交互不签名、验证任何“你的旧地址有钱”的说法先自己用浏览器查证，而不是点开对方给的链接。

你的隔离清单

比特币侧：每次收款用新地址是最便宜也最有效的破窗拦截（它直接废掉余额归零与复用两条启发式）；控制 UTXO 数量与找零习惯，避免把不同隐私域的币混进同一笔输入；隐私敏感操作避免在主网公开钱包里顺手做。以太坊侧：地址可无限派生但交互即关联，同一笔交易同时触达两个域的合约，就把两边缝上了。跨链侧：桥与兑换的存证记录会把两条链的身份焊接起来，混币与桥的先后顺序决定画像难度。

一条判断线

问自己：这个操作结束后，两个我原本不想关联的身份，会不会同时出现在同一笔交易的输入列表里？只要答案有风险，操作就该拆开。聚类攻击的本质是缝合，防御的本质是别递线头。

快速问答

问：交易所会给我聚类画像吗？答：合规交易所有义务做地址归属分析（追资金、拦截脏币），这与你自己的隐私需求是同一枚硬币的两面。

问：用混币是不是就没辙？答：混币只切断特定链上的一段轨迹；进出混币器的两端行为若规律，聚类器仍可统计归因。工具改变概率，不改变攻防结构。

常见误区

一是“地址匿名所以地址安全”——聚类专治匿名幻觉；二是把启发式当铁律——每条都有已知反例，据此得出的“实体规模”类结论都带置信区间；三是以为防御等于绝对不可追踪——目标应是“不值得跟踪”，而不是“永远追不到”。

风险提示：本文为隐私机制科普，仅描述防御性实践，不构成任何投资建议。