18 · 链上核查方法论：5 分钟死/活判断 + 资金路径分析

第五层第一篇——方法论开篇。01–17 是知识（"链上是什么"）； 18-19 是方法（"怎么独立验证 + 怎么自我更正"）——这是项目独有的两篇，沿用 docs 2026-05-19 自我更正纪律。本篇答:给你一个地址 / 协议 / 传闻，怎么用 5 分钟 + 公开工具，独立判断"这事是真的吗"。 17 §6 跑过的 0x6bdc vs 0x65A8 双实证就是这套方法的样板;本篇把它抽象成可复用的 5 步流程。结构见 README.md §1。

0. 一句话本质

链上核查方法论 = 不相信任何传闻 / 标签 / 文档，仅依靠"链上可观察事实"（nonce / 交易数 / 资金流向 / 合约交互 / 多链分布）在 5 分钟内独立判断一个地址或协议的"活/死 + 体量 + 在做什么"。核心原则:地址是结果，不是策略——你不能从地址推 alpha，但能推 "这地址在不在干活"。这套方法的价值不在于它发现真相，而在于它 5 分钟内淘汰掉 90% 的坏传闻——保护学习曲线不被噪声污染。

1. 怎么产生的:它解决什么问题

01–17 都默认"我们知道是这样的"。18 答的是"我怎么知道是这样的":

朋友给我 0x6bdc... 说"这地址跨 CEX/链很容易有价差"——我怎么验证？ ⇒ 5 分钟核查（§4 / §6）:
- 看 nonce ⇒ 0（一笔 outbound 都没发过！）
- 看 tx 数 ⇒ 6 全部 incoming
- 看最近活跃 ⇒ 半年前停滞
- 看跨链分布 ⇒ 仅 1-2 链
- 结论:死地址 / 仅作收款点 / 不可能是"跨链运营者"
- 传闻被 5 分钟内证伪 → 保护我们没去深挖一个无中生有的方向
同样地我们怎么找到 0x65A8 作反例？ ⇒ 用户提供的对照参考。同 5 分钟核查:
- nonce 高（持续发起）
- ~407,000 笔（多数 outbound）
- 近期持续活跃
- 33 链都有交易
- 结论:真职业跨链运营
- 这是"残差 = footprint"的物质载体（17 §6 + docs 自我更正）
为什么不能"听某地址在做就跟着做"？ ⇒ 即便它真在做，你看不出它在做什么策略——只能看到结果（资金流）。看到 1000 笔 swap → 不知道是套利、是 LP、是给客户做市、还是亏损。 地址是结果，不能反推策略。这是 17 §7 / 18 §4 反复强调的根本原则。
如果我连"它活/死"都判断错了呢？ ⇒ 那就是基本面的诚信问题。判断"活/死"是 5 分钟工作量，没做就是不诚信。 18 把这条流程写下来，任何人（包括未来的我）都能复用。
Etherscan 上的"标签"（Wintermute / MEV Bot / Jared）能信吗？ ⇒ 部分能。Etherscan 的官方标签（蓝勾、protocol 自报告）≥ 70% 可信； 众包标签（普通用户提交）≤ 50% 可信，常有错挂。方法:看完链上数据，最后才看标签——标签作为提示而非定论。
链上数据这么多，我怎么知道该看哪几个？ ⇒ §4 给出 5 个普适观察维度:活/死 / In-Out 流向 / 对手方分布 / 合约交互多样性 / 时间模式。这五个维度覆盖 90% 的"它在干什么"问题。
5 分钟够用吗？专业链上分析师不是要几天吗？ ⇒ 专业分析（如 Arkham / Chainalysis）做的是深度归属 / 团伙关联 / 流向追踪—— 那需要几天 + 跨数据源 + 实体识别能力。 18 篇只解决"5 分钟死/活 + 体量判断"——这个层次足够淘汰传闻、足够指导是否值得继续深挖。

→ 这一篇答全部。

2. 它本质在做的"那一件事"

把"我相信"和"我验证过"在自己头脑里做严格区分——前者是噪声、后者是知识。链上之所以是教学/投资/研究的金矿，是因为所有事实都被签名 + 公开 + 不可篡改地写在那里**（03 §4）。这是金融史上前所未有的"可验证"基础设施。任何人不亲自核查就跟着传闻走的人，都是浪费这个时代独有的优势。本篇是这种态度的具象化:每个传闻 → 5 分钟手指 → 链上事实 → 真假分明。**

→ 这是为什么 docs 2026-05-19 自我更正之后，KB 19 篇的每一条事实都尽可能链到可核查的链上证据—— 不只是 0x65A8 / 0x6bdc，AaveOracle / Chainlink / Uni V2 pair / Aave Pool 地址等都用真实主网地址，而不是手画图框。

3. 类比:村庄的"私家侦探套件"

01–17 都是"听村民们都说……"。18 是人手一份验证套件:

┌── 核查套件 (5 分钟版) ──────────────────────────────────┐
│                                                          │
│  传闻进来:"0x6bdc... 那地址跨 CEX 套利很赚"             │
│                                                          │
│  你打开 Etherscan / cast / DeBank:                       │
│                                                          │
│  📋 Checklist:                                           │
│    [ ] 1. nonce = ? (活/死信号)                          │
│    [ ] 2. 总 tx 数 = ?, 最近 30 天 tx 数 = ?            │
│    [ ] 3. outbound / inbound 比例 = ?                    │
│    [ ] 4. 合约交互去过哪几个? (DEX / 借贷 / 桥 / OTC)    │
│    [ ] 5. 多链分布 = ?  (1-2 链 vs 5+ vs 30+)            │
│                                                          │
│  5 分钟后填完: 写下"verdict + 1 句话理由"               │
│                                                          │
│  典型 verdict:                                           │
│    💀 死/挂名/演示账户                                   │
│    🌱 被动收款 / HODL                                    │
│    🐍 主动操作（DEX swap / 借贷）                        │
│    🦅 职业 MEV searcher / Bot                            │
│    🐳 跨链运营者 / 鲸鱼                                   │
│                                                          │
│  这是 5 分钟内你应该有的输出。**别花更多时间**           │
│  在已经被证伪的传闻上。                                  │
└─────────────────────────────────────────────────────────┘

→ 这个 checklist 不依赖你懂 EVM / Solidity / MEV——任何阅读过 01-04 的人都能填。这是 18 / 19 的根:链上的"民主真相"对任何愿意 5 分钟核查的人都开放。

4. 核心关键点（5 条）

5 步核查 checklist（死/活 + 体量）:

#	看什么	工具	判读
1	nonce（已发起 outbound tx 数）	etherscan addr → 顶部 / `cast nonce <addr>`	0 = 从未主动；高 = 持续发起
2	总 tx + 最近 30 天 tx	etherscan addr → tx tab	半年没动 = dead；持续 = 活
3	outbound / inbound 比例	etherscan tx 列 / dune query	几乎全 inbound = 收款点；out > in = 主动
4	合约交互多样性	etherscan internal txs + token transfers	1 个 DEX vs 5+ DEX vs 全协议；可看出"做的是什么类型的事"
5	多链分布	DeBank / Arkham / 手动跨 explorer	1 链 retail；5+ 链 pro；30+ 链 0x65A8 级

5 普适观察维度（更宽广分析时用）:
- Active / Dead:nonce + 最近 30 天活跃度
- In/Out 流向:净流入 vs 净流出（收集者 / 分发者 / 操作者）
- 对手方分布:固定 1 个 vs 多 → 是不是同一 entity 的多账户？
- 合约交互多样性:DEX-only vs 借贷 vs 桥 vs OTC → 业务画像
- 时间模式:连续 / burst / 9-5 UTC / 周末停 → 团队 vs 单人 vs 机器人
"地址是结果，不是策略"——根本原则:
- 链上可见的:资金流、合约交互、时间分布、金额规模
- 链上不可见的:为什么这么做（策略意图 / 风控逻辑 / PnL / 行业关系）
- 你能判断"它有没有干活" + "干什么类的活" + "规模多大"
- 你不能判断"它有没有赚钱" + "用什么策略" + "你跟着它做会不会赚"
- 这条边界是 17 §6 / docs 2026-05-19 自我更正的核心；任何"看大佬地址做单"都违反这条

工具栈对照表（5 分钟用什么、深挖用什么）:

工具	5 分钟核查	深挖	备注
Etherscan	✅ 入口	✅ 看 calldata	最广泛 / 一定要会用
DeBank / Zerion	✅ 跨链余额一览	❌	用户钱包视角好
Cast（Foundry）	✅ `cast nonce / balance`	✅ `cast storage / tx / trace`	命令行控的硬核
Dune	⚠️ 慢	✅ SQL 大查询	群组分析 / 时间序列
Arkham / Nansen	✅ entity 标签	✅ 团伙归属	付费、精度好
Tenderly	❌ 多用于调试	✅ tx 仿真 + trace	项目内 debug
The Graph / Subgraph	❌	✅ protocol-specific	写 dApp 才需要
多 explorer 直查	✅ Arbiscan/Basescan/etc	✅	0x65A8 类多链核查必备

核查常见陷阱:
- Survivorship:只盯出名地址（0x65A8 / jaredfromsubway）→ 忽视背后 1000 个死掉的尝试
- Look-but-not-see:看 1 笔 tx → 应看分布（100 笔统计才有意义）
- Confirmation bias:朋友说有机会 → 我去找"有机会"的证据 → 自动忽视证伪信号
- Anchor on storyteller:朋友智商高 → 因此我相信他的传闻 → 错。evidence 不分故事人
- Tag pollution:依赖 Etherscan 众包标签 → 标签可能错 / 过期 / 是攻击者放的钓鱼标签
- Stale data:看半年前的活跃度当现在还活 → "死地址的最后辉煌"
- Single-chain blindness:只在 Etherscan 找 → 漏掉 Arbitrum / Solana / 跨链桥
- 过度归因:看到 100 笔 swap → 推断是套利 → 可能是给 OTC 客户做对冲；多数活动无法仅从链上数据归类

5. 必须先认识的前置名词（小词典）

名词	一句话	类比
address	06 §0 复习；一笔 EOA 或合约的 20 字节标识	村民身份证
nonce (核查角度)	EOA 发起的 outbound tx 数	这人发过多少次信
outbound / inbound tx	从该地址发出 / 进该地址	寄信 / 收信
internal tx	合约内调用产生的转账（非顶层 tx）	转账链里的支线
ERC-20 transfer	09 §0 复习；mapping 上某行的变更	代金券调拨
etherscan label	区块浏览器的标签（官方/众包）	村庄黑板上的署名
DeBank / Zerion	用户视角的多链资产看板	私人理财仪表
Arkham / Nansen	实体归属 / 标签分析平台	私家侦探事务所
Dune	SQL on blockchain data	链上数据库管理员
Tenderly	tx 仿真 / debug 平台	链上断点调试器
Cast	Foundry 的命令行链上 RPC 工具	命令行链上瑞士军刀
survivorship bias	只看赢家忽视输家	只看活下来的鱼
PnL on-chain	仅从链上算出某地址净盈亏	链上的损益表
entity / cluster	多地址归属同一实体的判断	同一户人的多张身份证
dead / stale address	长期无活动的地址	弃用账户
placeholder / demo addr	从未做过 outbound 的地址（nonce=0）	挂名账户

6. 一个完整过程走一遍:0x6bdc vs 0x65A8 的字节级核查

照搬 17 §6 的对照，但从核查者视角重做一遍——每一步明确"我看什么、得出什么结论":

Case A:朋友传来的 "热门套利地址" `0x6bdcce4a559076e37755a78ce0c06214e59e4444`

─── Step 1: 打开 etherscan.io/address/0x6bdc... ──────────
顶部信息:
  Balance: 0 ETH
  Nonce: 0      ← 关键!
  Transactions: 6
  Last seen: 半年前

5 分钟核查 checklist 填:
  [✓] 1. nonce = 0      → 死信号(从未主动)
  [✓] 2. 总 tx = 6 (全在 6 个月前)  → 死信号
  [✓] 3. 全 inbound, 0 outbound  → 死信号(纯收款点)
  [✓] 4. 0 合约交互  → 死信号
  [✓] 5. 多链分布 = 仅 1-2 链  → 死信号

verdict (5 分钟后):
  💀 死/挂名/演示账户

  1 句话理由:
  "nonce=0 = 从未主动做过任何事;朋友说"它做套利"明显与链上事实矛盾。"

→ 5 分钟内确定:朋友传闻无中生有，不值得深挖。 → 节省下来的时间:不去研究一个不存在的策略、不去逆向工程一个不存在的资金路径。

Case B:对照参考 `0x65A8F07Bd9A8598E1b5B6C0a88F4779DBC077675`

─── Step 1: 打开 etherscan.io/address/0x65A8... ──────────
顶部信息:
  Balance: 持续变动
  Nonce: 高 (XX,XXX 级)
  Transactions: ~407,000
  Last seen: 今天

5 分钟核查 checklist 填:
  [✓] 1. nonce = 高,持续涨  → 主动信号
  [✓] 2. 总 tx ~407k,近 30 天数千+  → 极活跃
  [✓] 3. outbound > inbound  → 主动操作
  [✓] 4. 合约交互多: Uni / Sushi / Curve / Aave / Stargate / LayerZero
        + 桥 + OTC routes  → 多业务
  [✓] 5. 多链分布: 33 链均有交易 (Etherscan + Arbiscan + Basescan + ...)
        → 跨链运营者级别

verdict (5 分钟后):
  🐳 职业跨链运营者

  1 句话理由:
  "跨 33 链 + 持续活跃 + 多 DEX/桥交互 + 高 outbound 占比 = inventory-model
   跨链 ops 的标准画像;但**做什么策略不能从这反推**(17 §6 + docs 自我更正)。"

→ 5 分钟确定:确实在做事、且规模专业。 → 不能确定:它具体策略是什么、有没有赚、是否值得跟随（永远不能从地址反推策略）。

两案对照的方法论价值

维度	0x6bdc	0x65A8
信源	朋友传闻	用户对照提示
核查耗时	~5 分钟	~5 分钟
链上事实	6 incoming, nonce=0	407k tx, nonce 高, 33 链
Verdict	死 / 假信号	活 / 真职业
后续动作	不深挖（保护学习曲线）	可作"那个群体长什么样"的样本，但不可跟单
教训	"传闻 = 噪声直到核查为止"	"活的地址 ≠ 可复制的策略"

→ 这就是 18 篇要传递的核心:5 分钟核查可以救你几个月的盲目跟随；不做核查就是浪费链上"全公开"这一时代独有优势。

18 篇的"工作流"复用模板（适用于任何传闻）

1. 收到传闻:"地址 A 在做 B"
2. 打开 etherscan.io/address/A → 顶部 4 项基本信息 (1 min)
3. 看 tx 列表前 20 笔 (1 min)
4. 看合约 interactions 标签 + multi-chain dropdown (1 min)
5. 跨 explorer 验证 5 链以上活跃度 (2 min)
6. 写 verdict + 1 句理由 (30 sec)
7. 决策:
   - 💀 / 🌱  → 抛弃这条线，回去做正事
   - 🐍 / 🦅 / 🐳  → 用作"那一类玩家长什么样"的参考样本，**但永不跟单**

→ 这套模板对任何链上传闻都适用——从 alpha 群组喊单到 KOL 推荐"内幕地址"。

7. 常见误区（逐条拍死）

误区	实情
"Etherscan 标签 = 真相"	部分。官方蓝勾可信，众包标签约 50% 准。看链上事实再看标签
"活跃地址 = 赚钱地址"	错。1000 笔 swap 可能是 1000 笔亏损。链上看不出 PnL 除非全资金路径 + 历史价格回推
"高 nonce = 高手"	错。可能是个粗心 bot 在亏钱跑
"听某地址在做就跟着"	永远错。地址是结果不是策略——你看到结果时机会已被对方吃完
"5 分钟不够，要看 5 天"	5 分钟够淘汰 90% 的坏传闻。深挖留给 verdict = 🐳 那 10%。不要把 90% 时间花在 90% 该淘汰的传闻上
"核查地址不需要懂 EVM"	部分对。核查死/活不需要;核查"做什么策略"需要懂 06-17 全部
"Arkham/Nansen 直接给答案就不用自己看"	它们给提示但实体归属仍可能错;且付费工具不让你"理解"
"我不会写 SQL 就不能用 Dune"	Dune 上几万个 ready-made queries 可以直接抄。学一点点 SQL 收益巨大
"tx 数低 = 不可信"	不一定。新地址可能是新 bot、可能是个谨慎玩家的 OTC 账户;但结合 nonce=0 + 长期 stale = 死的强信号
"多链分布 = 大鲸"	不一定。机器人可能多链 deploy 来跑套利;还是要看每条链的活跃度
"Etherscan 标 'Phishing' 的就拉黑"	是。但有时候真正的 victim 反被标 phisher（攻击者反向上报）。等价"看完链上数据再说"
"1 句话 verdict 太草率"	5 分钟核查的产出就是1 句话 verdict——草率是它的优势，是为下一步省时间

8. 与本项目实践的对应

0x6bdc 核查工作流（项目首例 evidence-first 输出）

朋友传闻 → 我们 5 分钟链上核查 → verdict = 死 → 不继续深挖
这条传闻 → 核查 → 证伪的工作流就是 18 篇要被复用的样板
详细数据见 17 §6 + 本篇 §6

0x65A8 核查工作流（用户对照 + 实证）

用户给地址 → 5 分钟核查 → verdict = 跨链职业运营 → 作"那一类长什么样"参考
但 docs 2026-05-19 自我更正强调:"那一类"≠ 可复制策略
详见 17 §6 + 本篇 §6

Phase 1 CEX-CEX 死的核查工作流（更早的方法论应用）

我们 3352 次测量 0 正残差 → 起初读为"没机会" → 后来更正为"已被职业 quant 吃光的 footprint"
流程跟 18 §6 类似:事实采集 → verdict → 但要警惕 over-attribution
这就是 19 篇要进一步沉淀的"自我更正纪律"

`predictBackrun.ts` factory mismatch 修正（项目自抓 bug 案例）

我们写完 predictBackrun → 跑测试发现 "1 ETH 在 Uni 触发 Sushi backrun" 误报
5 分钟链上 trace → 发现根因是 router → factory 映射漏掉
修复后再跑 → 误报消失
这是"链上核查方法论"在工程 debug 中的应用——核查链上事实而不是猜测

项目所有具体地址都"真"（不是举例）

USDC: 0xA0b86991c6218b36c1d19D4a2e9Eb0cE3606eB48
WETH: 0xC02aaA39b223FE8D0A0e5C4F27eAD9083C756Cc2
Aave Pool: 0x87870Bca3F3fD6335C3F4ce8392D69350B4fA4E2
AaveOracle: 0x54586bE62E3c3580375aE3723C145253060Ca0C2
Chainlink ETH/USD: 0x5f4eC3Df9cbd43714FE2740f5E3616155c5b8419
Uni V2 USDC-WETH pair: 0xB4e16d0168e52d35CaCD2c6185b44281Ec28C9Dc
这些地址在 KB 各篇反复出现——每一次都可以现场 etherscan 核查。
这是 18 篇精神的具象化:所有事实都可被独立验证。

第五层闭环

18 链上核查方法论（本篇）:从传闻到事实的 5 分钟通道
19 evidence-first 方法论:更广义的"测而非断言 + 自我更正纪律"——把 18 的具体核查升华为整套学习态度

9. 自检问题（答得出才算过）

5 步核查 checklist 完整列出。每一步用什么工具、看什么输出?
5 普适观察维度（活/死、In/Out、对手方分布、合约多样性、时间模式）各自能推断什么、不能推断什么?
"地址是结果，不是策略"——给 3 个具体例子说明：从地址能/不能推出什么。
5 分钟核查的产出是什么？为什么"草率"是优势？什么情况下值得深挖到 5 天？
0x6bdc 5 步核查的具体填表 + verdict + 1 句理由。
Etherscan 标签什么时候能信、什么时候不能信？给出区分准则。
朋友给你一个新地址说"在做 MEV"，你怎么按 §6 模板 7 步走？决策怎么分叉？
"Activity ≠ Alpha"是什么意思？为什么"地址做 1000 笔 swap" 不能推断它在赚钱？

── Q&A / 更正记录区（按日期追加）──

规范见 README.md §0。质疑/反馈/纠错按日期累积，不抹错误轨迹。

2026-05-19（docs 同步追溯）：

本方法论的最大失败案例 = 我自己。

我曾用核查方法看到"跨链残差 ≈ 0"，便直接 verdict "没机会"——违反了 §4.3 "地址/数据是结果，不是策略" 原则:我看到的是结果（机会被吃光），不能反推"机会不存在"。

用户纠正:"0x65A8 实实在在做着、赚钱。" 这条更正让 §4.3 / §7 "过度归因"两条被写下来——本是给读者警惕的， 我自己率先栽进去过。所以这里记录为方法论的内部生产案例。

后续 19 evidence-first 篇会把这条更正升华为更普适的"测而非断言"原则。
(2026-05-21 编纂为系统化笔记。)

0. 一句话本质 #

1. 怎么产生的:它解决什么问题 #

2. 它本质在做的"那一件事" #

3. 类比:村庄的"私家侦探套件" #

4. 核心关键点（5 条） #

5. 必须先认识的前置名词（小词典） #

6. 一个完整过程走一遍:0x6bdc vs 0x65A8 的字节级核查 #

Case A:朋友传来的 "热门套利地址" 0x6bdcce4a559076e37755a78ce0c06214e59e4444 #

Case B:对照参考 0x65A8F07Bd9A8598E1b5B6C0a88F4779DBC077675 #

两案对照的方法论价值 #

18 篇的"工作流"复用模板（适用于任何传闻） #

7. 常见误区（逐条拍死） #

8. 与本项目实践的对应 #

0x6bdc 核查工作流（项目首例 evidence-first 输出） #

0x65A8 核查工作流（用户对照 + 实证） #

Phase 1 CEX-CEX 死的核查工作流（更早的方法论应用） #

predictBackrun.ts factory mismatch 修正（项目自抓 bug 案例） #

项目所有具体地址都"真"（不是举例） #

第五层闭环 #

9. 自检问题（答得出才算过） #

── Q&A / 更正记录区（按日期追加）── #