摘要：慢雾科技《2026上半年区块链安全与反洗钱报告》揭示，钓鱼攻击、社会工程、供应链投毒、AI驱动攻击和密码学攻击已成为虚拟资产犯罪的五大形态，被盗资金总计约3.89亿美元。攻击场景的分化对刑事证据审查和罪名定性产生了结构性影响。在直接攻击场景中，黑客侵入与物理接触的取证模式截然不同，虚拟货币的财产属性认定和数额计算标准在裁判实践中趋于统一。在第三方参与场景中，虚拟货币交易商的主观明知程度是区分帮助信息网络犯罪活动罪与掩饰、隐瞒犯罪所得罪的关键变量。在新型攻击场景中，供应链投毒和社会工程攻击打破了传统犯罪的主体边界，对主观明知的认定和因果关系链条的审查提出了新要求。笔者从具体攻击场景出发，按责任主体分层、证据结构特征、程序节点、定性边界和财产后果五个维度展开分析，为辩护实务提供操作路径。
关键词：区块链安全；电子数据；虚拟货币；盗窃罪；帮助信息网络犯罪活动罪；掩饰隐瞒犯罪所得罪
引言
2026年上半年，区块链安全威胁持续升级。据慢雾科技发布的《2026上半年区块链安全与反洗钱报告》统计，上半年发生的安全事件中被盗资金总计约3.89亿美元，其中仅1.18亿美元被返还或冻结。攻击手法已从早期的智能合约漏洞利用，扩展至钓鱼攻击、社会工程、供应链投毒、AI驱动攻击和密码学攻击五大类型。攻击面的外延意味着证据材料的形态和分布也在发生根本性变化。传统的“服务器日志+银行流水”二元取证模式，已难以覆盖跨链桥、隐私协议、去中心化交易所等多层资金转移路径所生成的证据碎片。
上述攻击手法呈现出显著的结构性差异。黑客入侵服务器窃取虚拟货币的取证逻辑，与偷拍被害人私钥的案件完全不同；虚拟货币交易商为上游犯罪提供支付结算的证据结构，与恶意开源软件包开发者的技术链条亦无共性。场景差异决定了证据收集方向、审查重点和定性路径的分野。梳理不同攻击场景下的证据结构和审查要点，已成为刑事辩护实务的当务之急。笔者将区块链安全事件归纳为直接攻击、第三方参与和新型攻击三类场景，按具体场景、责任主体分层、证据结构、程序节点、定性边界和财产后果六个维度逐一展开分析。
一、直接攻击场景中的证据审查与定性路径
（一）攻击手法与责任主体分层
直接攻击场景的特征是行为人通过技术手段或物理接触，直接控制被害人的虚拟货币。此类案件中的行为人即为直接实施者，刑事责任主体相对单一，但在具体行为方式上存在重要差异，直接影响证据收集方向和定性选择。
第一类是黑客入侵型。行为人利用远程代码执行漏洞、木马程序等技术手段侵入目标系统，获取私钥或构建虚假指令转移虚拟货币。在阳某某、张某某盗窃案中，两名被告人分析利用远程代码执行漏洞获取目标虚拟货币网站权限，以内网横向渗透、植入木马等方式控制服务器，并利用人工智能编写代码批量分析被害人多个虚拟钱包地址、私钥，最终构建虚假指令转移虚拟货币变现250余万元。该案代表了高度技术化的攻击路径，行为人同时实施了侵入计算机信息系统和转移虚拟货币两个行为，由此产生盗窃罪与非法获取计算机信息系统数据罪的定性争议。
第二类是物理接触型。行为人与被害人存在线下交易或会面关系，通过偷拍、记忆破解等非技术手段获取私钥或助记词。在林某等盗窃案中，三名被告人以交易虚拟货币为幌子，在交易过程中偷拍被害人赵某的数字钱包私钥，秘密转走价值66万元的虚拟货币。在张某盗窃案中，被告人凭借记忆破解被害人冯某的助记词，将冯某数字钱包内的107个比特币转至自己控制的钱包，最终变现66万余元。此类案件的特殊性在于，行为人获取虚拟货币的手段属于传统意义上的接触型窃取，不存在侵入计算机信息系统的行为。没有侵入行为，就不可能构成非法获取计算机信息系统数据罪，定性争议显著缩小。
（二）证据结构的特征与审查要点
直接攻击场景的证据体系以链上数据为核心，辅以链下证据形成印证闭环。上海市徐汇区人民检察院在办理阳某某、张某某盗窃案过程中，构建了“链上钱包地址归属、现实身份同一性认定、虚拟货币财产价值认定”的完整证据链。链上交易数据虽然具有匿名性，但通过区块链浏览器查询、地址标签库比对、交易所KYC数据调取等方式，可以实现链上地址与线下身份的穿透。这种穿透式取证模式已在裁判实践中得到认可。
与黑客入侵型不同，物理接触型的证据重心从链上转向链下。林某案的定案依据以宾馆监控录像、手机通话记录、被害人陈述等传统证据为主，链上交易记录仅用于确认转移结果和数额。这些链下证据证明了被告人接触被害人的事实。辩护律师在审查此类案件时，应当注意两类场景的证据结构差异，避免在物理接触型案件中过度纠缠链上数据的技术细节，而忽视链下证据的审查。
有学者指出，虚拟货币犯罪的核心取证困难在于区块链技术的先进性与电子数据的虚拟性、流动性之间的矛盾。这一矛盾导致证据收集和固定陷入困境。对此，检察机关在实践中采取“链上数据+链下证据”相互印证的审查方法。链上交易记录需要与银行转账记录、即时通讯记录、被害人陈述等传统证据形成闭环，单独的链上数据不足以认定全案事实。
（三）程序节点与电子数据鉴真
虚拟货币案件的证据体系高度依赖电子数据。从侦查阶段的链上交易追踪、钱包地址关联分析，到审查起诉阶段的证据转化和法庭质证，每个节点都有特定的审查要求。上海市徐汇区人民检察院在办理阳某某、张某某盗窃案后，与徐汇区公安分局共同会签《涉刑事诉讼虚拟货币处置规范指引》，对查询固证、扣押保管、移送处置等全过程进行了规范。这一地方性规范文件的出台，标志着司法机关已开始系统化应对虚拟货币取证问题。
在李东盗窃、侵犯公民个人信息案中，辩护人对电子数据的取证程序提出了有力质疑。该案中，被告人李东被指控利用境外网络赌博网站服务器漏洞，窃取代理返佣资金3550万余元，其中2905万余元以比特币等虚拟货币形式转入李东钱包。辩护人指出，警方介入后存储信息的移动硬盘未封存，电子数据有多次修改痕迹。这一质证方向触及了电子数据鉴真的核心。根据《最高人民法院关于适用〈中华人民共和国刑事诉讼法〉的解释》的相关规定，电子数据的收集、提取应当符合技术规范，数据的完整性、同一性应当可以得到验证。若存储介质的保管链条存在断裂，电子数据的同一性即存疑问，相关证据的证明力将大幅削弱。
（四）定性边界的法理争议
直接攻击场景中最核心的定性争议是盗窃罪与非法获取计算机信息系统数据罪的界分。学界存在三种主要观点。计算机犯罪说认为，虚拟货币应被定性为电子数据，非法获取虚拟货币的行为构成非法获取计算机信息系统数据罪。财产犯罪说主张，虚拟货币需要投入经济成本和劳动力才能获得，具有明确的经济价值，持有者可通过私钥、助记词实现排他性控制，符合《刑法》意义上财物的特征，应以盗窃罪定罪。想象竞合说则认为，非法获取虚拟货币的行为同时符合上述两罪的构成要件，属于想象竞合，应择一重罪论处。
2025年以来的裁判实践显示，财产犯罪说已成主流。张某盗窃案中，青岛市李沧区人民法院一审以盗窃罪判处有期徒刑十年九个月。张某上诉后，青岛市中级人民法院于2025年11月作出二审裁定，驳回上诉，维持原判。该院明确指出，比特币需要投入经济成本和劳动力才能获得，具有明确的经济价值，且持有者可通过私钥、助记词实现排他性控制，完全符合《刑法》意义上的财物特征。但在物理接触型案件中，由于不存在侵入计算机信息系统的行为，盗窃罪的认定路径更加通畅。在黑客入侵型案件中，定性争议仍然存在，法院倾向于根据行为人的主观目的和获利方式作出实质判断。
有学者从数据分层理论出发，主张根据虚拟货币所处的技术层级进行类型化认定。链上代币属于数据层，应适用计算机犯罪规制，钱包私钥属于访问凭证，窃取私钥的行为应适用财产犯罪规制。这一观点为区分不同攻击手法下的定性选择提供了新的分析框架，对辩护律师在个案中提出罪名异议具有参考价值。
（五）财产后果与数额认定路径
犯罪数额的认定是此类案件的核心难点。虚拟货币价格的高波动性使得以何种时点、何种价格计算犯罪数额成为争议焦点。在林某等盗窃案中，武汉市汉阳区人民法院一审认为，在缺乏明确司法解释对虚拟货币价值计算方式作出规定的情况下，不宜直接依据购入金额认定数额特别巨大而以“其他严重情节”量刑。武汉市汉阳区人民检察院提出抗诉，武汉市人民检察院支持抗诉，主张以被害人实际支付的成本价格认定虚拟货币价值。武汉市中级人民法院二审采纳抗诉意见，改判认定盗窃数额特别巨大。
该案确立的裁判规则是：在被害人有明确损失数额可供参考的情况下，以被害人实际支付的成本价格认定虚拟货币价值，具有事实依据和法律依据。这一标准避免了因虚拟货币价格波动导致的数额认定不确定性。成本价格的认定应当依据银行转账记录、交易平台成交记录等客观证据，不能仅凭被害人陈述。辩护律师在审查犯罪数额时，应当重点核实以下内容：被害人主张的购入价格是否有银行转账记录等客观证据支撑；交易平台成交记录是否经过合法调取；是否存在一币多卖或多次交易导致数额重复计算的情况。
二、第三方参与场景中的责任分层与罪名选择
（一）攻击链条中的第三方角色
区块链安全事件的攻击链条往往涉及多个主体，第三方参与者的刑事责任需要根据其在链条中的位置和主观状态进行实质判断。此类场景中的责任主体呈现多元化特征，大致可以分为三类。第一类是资金转移者，接受上游犯罪分子的委托，以取现、购买虚拟货币等方式帮助转移赃款。第二类是虚拟货币交易商，以泰达币等稳定币为媒介为上游犯罪提供支付结算。第三类是技术工具提供者，为攻击者提供基础设施或技术支持。
在王某等掩饰、隐瞒犯罪所得案中，被告人通过取现和购买虚拟币的方式为上游犯罪转移资金，抽取10%至15%的提成。在黄某等帮助信息网络犯罪活动案中，被告人在境外虚拟货币平台注册多个“商行”，以低买高卖泰达币的方式牟利，明知交易上游可能存在违法犯罪活动，仍通过接收被害人转账、将泰达币存入指定账户的方式帮助转移涉电诈资金，累计帮助支付结算资金超500万元。
区分上述三类的意义在于，资金转移者和虚拟货币交易商的主观明知状态和参与深度不同，对应的罪名选择和辩护空间也存在显著差异。资金转移者往往形成固定的犯罪分工和利润分配机制，行为性质倾向于掩饰、隐瞒犯罪所得罪。虚拟货币交易商的交易行为本身具有商业属性，主观明知程度较低，存在争取帮信罪乃至无罪辩护的空间。
（二）证据结构的重心转移
与直接攻击场景不同，第三方参与场景的证据重心从链上交易数据转向链下资金流转记录。此类案件的核心证据通常包括银行转账流水、第三方支付平台交易记录、虚拟货币交易平台账户数据、即时通讯记录等。链上交易数据在此类案件中主要用于确认资金转移的结果和规模，而非证明被告人的主观明知。
以黄某案为例，定罪的关键证据集中于链下行为记录：被告人的微信账号频繁因涉嫌诈骗被风控冻结，却通过伪造虚假交易截图和快递单号解封账号。这些行为模式足以推定被告人对上游犯罪的明知。辩护律师在审查此类案件时，应当关注链下证据的合法性和关联性，重点审查是否存在合理的商业往来理由、是否履行了基本的客户身份识别义务、涉案资金的来源是否具有明显的犯罪特征。
（三）程序节点与主观明知的证明
第三方参与者是否构成犯罪，核心在于主观明知的认定。2025年7月，最高人民法院、最高人民检察院、公安部发布《关于办理帮助信息网络犯罪活动等刑事案件有关问题的意见》，其中第7条规定，办案机关应当综合考察行为人主观明知的内容和程度、提供帮助的类型和方式，根据主客观相一致原则准确区分帮助信息网络犯罪活动罪与掩饰、隐瞒犯罪所得、犯罪所得收益罪。最高人民检察院在阐释该条时提出，区分两罪应把握“三个关键”：一是两罪法益侵害各有侧重，帮信罪侵害的是公共秩序，掩隐罪妨害的是司法活动；二是两罪行为分别属于上游犯罪构成要件内外行为；三是处理结果应不违反罪责刑相适应原则。
在明知内容方面，帮信罪要求行为人明知他人利用信息网络实施违法犯罪活动即可，不需要具体知悉被帮助行为的类型和性质。掩隐罪的明知程度要求较高，对所涉钱款系他人犯罪所得的认知需要具有明确性或高度盖然性。这一区分标准对辩护实务具有直接指导意义。若在案证据仅能证明行为人概括知道交易对手可能从事违法活动，而不能证明其明知所涉资金系犯罪所得，则应当主张以帮信罪定罪，而非掩隐罪。
有学者从“行为时”归责的角度提出，区分两罪应回到行为人实施帮助行为时的主观状态，而非以事后查明的资金性质倒推行为人的明知。在独立构罪框架内，网络的公开性与洗钱的隐蔽性是实现两罪界分的重要抓手。这一观点为辩护律师提出了一个新的质证方向：若行为人的交易行为是在公开平台上进行的正常商业活动，缺乏洗钱行为的隐蔽性特征，则其主观明知程度更接近帮信罪而非掩隐罪。
（四）定性边界与辩护切入点
在第三方参与场景中，帮助信息网络犯罪活动罪与掩饰、隐瞒犯罪所得罪的界分是最核心的定性争议。王某案中，法院认定被告人的行为构成掩隐罪而非帮信罪，理由是被告人已经形成相对固定的犯罪分工和利润分配机制，行为性质已超出单纯的技术支持或支付结算帮助。该案揭示的审查要点是，当第三方的参与程度从偶发性帮助升级为稳定的分工协作时，罪名选择应当随之调整。
2025年8月最高人民法院、最高人民检察院发布的新《关于办理掩饰、隐瞒犯罪所得、犯罪所得收益刑事案件适用法律若干问题的解释》（法释〔2025〕13号），进一步明确了利用虚拟货币兑换、跨境转移等新型手段掩饰犯罪所得的定性标准。最高人民法院刑事审判第四庭在解读该解释时强调，要严格认定“明知”、慎用推定，在审查判断次序上应先审查行为是否“明知是犯罪所得”进而判断是否构成掩隐罪，不构成掩隐罪的再判断是否构成帮信罪。结合上述规定，辩护律师在审查此类案件时可以从以下角度切入。第一，审查行为人的交易行为是否具有正常的商业属性，如是否在正规交易平台注册、是否进行了基本的客户身份识别。第二，审查行为人的获利模式，是正常的买卖价差还是异常的高额提成。第三，审查行为人是否与上游犯罪分子存在通谋或固定的犯罪分工。第四，审查行为人对涉案资金性质的认知程度，是概括知道可能涉及违法还是明确知道系犯罪所得。
（五）财产后果与涉案资金的核减
第三方参与场景中的财产后果问题具有特殊性。与直接攻击场景不同，第三方参与者通常以手续费、提成等方式获取违法所得，较少成为犯罪所得的最终获益者。在此类案件中，辩护律师应当关注涉案资金的核减问题。虚拟货币交易商收取的交易资金中可能包含合法交易资金和犯罪资金的混合，不能简单地将全部交易金额认定为犯罪数额。对于能够提供合法交易凭证的部分，应当主张予以核减。对于行为人已经收取的手续费或提成，若能够证明其对应的是合法交易部分，亦应当主张从违法所得中扣除。
三、新型攻击场景中的主体边界与因果关系
（一）攻击形态的演进
2026年上半年，区块链安全事件呈现出两个显著的新特征。第一是供应链投毒攻击的规模化。慢雾报告指出，攻击者已从针对单一目标的精准攻击，转向通过污染开源软件包实现大规模传播。据安全业界通报，2026年5月发现的TrapDoor攻击同时在npm、PyPI和Crates.io三大主流软件包仓库发布了超过34个恶意包及384个以上关联版本，专门针对加密货币、DeFi、Solana生态和AI开发社区的开发者群体。攻击者利用AI生成的代码和分层软件包策略逃避检测，目标是窃取SSH密钥、加密钱包、云凭证和浏览器数据。第二是社会工程攻击从线上向线下延伸。美国司法部2026年5月公布的一起社会工程诈骗案中，犯罪集团通过数据库入侵、诈骗电话和入室盗窃硬件冷钱包的组合手段，从受害者手中窃取了超过2.5亿美元的加密资产。攻击面的外延意味着犯罪链条的环节增多，不同环节的主体的刑事责任边界更加模糊。
（二）责任主体的多层分立
新型攻击场景中的责任主体呈现多层分立的特征。以供应链投毒为例，攻击者可能在开源软件包中植入恶意代码，诱导开发者在不知情的情况下引入后门，进而导致使用该软件的去中心化应用被攻击。在这一链条中，恶意代码的植入者是直接实施者。引入恶意依赖的开发者处于中间层级，其是否构成犯罪取决于主观状态。终端使用者是纯粹的被害者，一般不承担刑事责任。
引入恶意依赖的开发者的定性问题是此类案件的核心难点。《刑法》第二百八十七条之二规定，明知他人利用信息网络实施犯罪，为其提供技术支持或支付结算等帮助，情节严重的，构成帮助信息网络犯罪活动罪。关键在于“明知”的认定。在供应链投毒场景中，开发者引入恶意依赖的行为通常出于正常的技术需求，不存在明知该软件包含恶意代码的主观状态。认定其构成犯罪，需要证明其对恶意代码的存在具有实际的认知或应当具有认识可能性。这一证明标准在实践中极难达到，尤其是在依赖链条经过多层传递的情况下。
在以泰达币等稳定币为媒介的资金转移活动中，虚拟货币交易商面临帮助信息网络犯罪活动罪或掩饰、隐瞒犯罪所得罪的刑事风险。在黄某等帮助信息网络犯罪活动案中，被告人在境外虚拟货币平台注册多个“商行”，以低买高卖泰达币的方式牟利，明知交易上游可能存在违法犯罪活动，仍通过接收被害人转账、将泰达币存入指定账户的方式帮助转移涉电诈资金，累计帮助支付结算资金超500万元。该案的审查要点在于，行为人的主观明知状态是定性的关键。频繁出现微信账号因涉嫌诈骗被风控、冻结，却通过伪造虚假交易截图、快递单号的方式解封账号，这一行为模式足以推定行为人对上游犯罪的明知。
（三）证据结构的技术门槛
新型攻击场景的证据结构与前两类场景存在根本差异。供应链投毒案件的核心证据是代码审计报告、依赖链追溯记录和恶意载荷分析报告。这些证据的生成和审查需要高度专业的技术能力，传统的电子数据取证规范难以完全覆盖。例如，npm软件包的依赖关系可能涉及数十层传递依赖，恶意代码可能通过混淆、加密等技术手段隐藏在深层依赖中。证明特定开发者的代码引入了恶意依赖，需要完整的依赖链追溯记录。证明该开发者对此具有主观明知，更需要其内部通讯记录、代码审查记录等直接证据。
社会工程攻击案件的证据结构则呈现线上线下交织的特征。攻击者通过数据库入侵获取被害人信息，通过电信诈骗手段诱导被害人转移加密资产，部分案件中还伴随入室盗窃硬件冷钱包的物理犯罪行为。此类案件的证据链跨越网络空间和物理空间，需要将通讯记录、银行转账记录、监控录像、链上交易记录等多类证据进行整合分析。
（四）程序节点与技术中立抗辩的审查
在新型攻击场景中，技术工具提供者可能以“技术中立”为由提出无罪抗辩。审查此类抗辩时，应当关注以下要素。第一，技术工具的主要用途是否合法。若工具的设计目的即为实施攻击，则技术中立抗辩难以成立。第二，提供者是否对工具的非法用途具有实际认知。在供应链投毒案件中，恶意软件包的开发者显然知道其代码的非法功能，技术中立抗辩不能适用。但若开发者仅是在不知情的情况下引入了包含恶意代码的第三方依赖，则其行为不构成犯罪。
在虚拟货币交易商的案件中，技术中立抗辩的表现形式是“正常商业交易抗辩”。行为人主张其泰达币交易行为属于正常的商业活动，不知道交易对手的资金来源。对此，检察机关和法院在审查时会关注以下事实：行为人的交易模式是否偏离正常商业逻辑；是否存在异常的高额利润；是否采取了规避监管的措施，如频繁更换账户、伪造交易记录等。这些事实如果被证实，足以推翻技术中立抗辩。
（五）定性边界与财产后果
新型攻击场景中的定性问题呈现出更复杂的层次。供应链投毒的恶意代码植入者可能同时构成破坏计算机信息系统罪、盗窃罪和非法获取计算机信息系统数据罪，需要根据其具体行为方式和主观目的进行判断。若行为人植入恶意代码的目的是窃取虚拟货币，且实际获取了虚拟货币，则可能构成盗窃罪与计算机犯罪的想象竞合。若行为人仅是植入恶意代码但未实际获利，则可能构成破坏计算机信息系统罪或提供侵入、非法控制计算机信息系统程序、工具罪。
在财产后果方面，新型攻击场景的损失计算面临特殊困难。供应链投毒可能导致大量去中心化应用的用户遭到损失，但各用户的损失金额和因果关系链条难以逐一证明。社会工程攻击可能涉及跨境犯罪，被害人的资金可能经过多层混合和转移，追回的可能性极低。在这些情况下，辩护律师应当关注犯罪数额的认定是否具有充分的证据支撑，因果关系的证明是否达到了排除合理怀疑的标准。
结语
区块链安全事件中的刑事辩护，已从传统的罪名辩护走向更为精细的场景化审查。不同攻击场景下的证据结构、责任主体分层和定性路径存在根本差异，辩护策略不应一刀切。在直接攻击场景中，虚拟货币的财产属性已在裁判实践中获得广泛承认，盗窃罪与非法获取计算机信息系统数据罪的界分需要从攻击手法、主观目的和行为后果三个维度进行实质判断。在第三方参与场景中，帮信罪与掩隐罪的区分关键在于主观明知的内容和程度，2025年新司法解释为辩护提供了更明确的标准。在新型攻击场景中，供应链投毒和社会工程攻击打破了传统犯罪的主体边界，技术中立抗辩的审查标准和因果关系的证明标准仍处于探索阶段。
对于辩护律师而言，掌握链上数据的基本技术原理、熟悉电子数据取证的程序规范、善用证据法和《刑法》教义学工具进行实质审查，是应对此类案件的基本功。在技术创新与风险演进并行的背景下，刑事司法对虚拟货币犯罪的回应仍处于不断深化之中。辩护空间的存在要求从业者不能放弃专业审查的努力，而应当以场景化思维为指引，为每一个具体案件找到最精准的切入路径。