Iris

钱包报告

行为

Iris 能在钱包活动中识别的模式。每种都附有置信度、带有实测数据的通俗说明，以及示例交易。

解读行为

每种行为都有标题（“盗币程序”）、置信度，以及一段说明，用钱包自己的数据陈述测量结果：“39 of 84 senders: received the full balance of 39 wallets”（84 个发送方中有 39 个：收到了 39 个钱包的全部余额）。大多数行为都会链接几笔可在 Solscan 上核实的示例交易。

有些行为可以成为钱包的身份；另一些只是补充画像的特征（有时也会提高风险）。下表会注明是哪一种。

行为是从 Solana 交易中读出的。EVM 钱包暂时还没有行为：它们的结论来自标签以及它们往来过的已标注钱包。见支持的链。

威胁

行为含义可作身份风险
盗币程序许多发送方一次性把全部余额或多种资产转给了它，或它作为委托人从钱包中转走代币。它自己注资的发送方（为手续费小额补充 SOL 不算注资）、或与它自己的钱包群一起被归集的发送方，不算受害者；同步清空转入它的钱包（金额相同、几秒之内、占当时到账的大部分）也不算，那是操作者在归集自己的钱包，而不是一个个被骗的人。只留下粉尘余额也算清空；它为另一个钱包自己签名的清空交易支付手续费，是更强的证据。是HIGH
疑似盗币程序并非由它注资的钱包在不同时间被清空转入它，但核查过资金来源的太少，或在它的转入方中占比太小，还不足以认定为盗币程序。描述中列出事实。否MEDIUM
地址投毒者向大量钱包发送粉尘，除此之外几乎不做别的。是HIGH
试图转移被冻结的资金反复尝试转出已被发行方冻结的代币。冻结本身会以标签显示。否HIGH
转账到仿冒地址把真实资金转给了一个伪装成可信地址的地址：中了地址投毒。否MEDIUM
一次性中转钱包到账后立即转空的中转钱包：通过关闭账户、由一个清空自己的钱包、经由质押账户，或从 nonce 账户转出。会说明是什么构造了它：类似 Proxima 的结构（质押账户反弹、附带小费的付款）、类似 BlockX 的结构（其 nonce 中继，中转钱包恰好留下 0.00065024 SOL）或未知工具。是MEDIUM

隐私和混淆

行为含义可作身份风险
混币器汇集大量钱包的资金，再支付给其他许多钱包。已知隐私协议的资金池，或相同的模式：两端都是一次性交易对手、整数金额、由中继者发送的提现。是HIGH
使用隐私池向隐私池存入或从中提取过资金：Solana 上的 Privacy Cash 或 Cloak；Ethereum、Arbitrum 和 BNB Chain 上的 Railgun、Tornado Cash 或 Privacy Pools，附示例交易。使用隐私不等于违法，但会切断资金线索，因此合规上视为风险敞口。Solana Privacy Rings 公开所有者，因此对它，这一行为会写明钱包在其中做了什么（“Used Solana Privacy Rings: not anonymous”）：存入了什么、为谁存入，私密转账给了谁（金额隐藏），谁转给了它，提现去了哪里，代付了谁的手续费；只有 view tag 指明时标为线索，匿名 ring 标为无法追踪。否MEDIUM
资金经一次性钱包转入多个一次性钱包把全部资金都转给了它，因此无法直接追溯资金来源。否MEDIUM

操作者和钱包群

行为含义可作身份风险
注资钱包用来自一个或少数几个来源的资金，一次性向许多钱包支付 SOL。会说明它的钱从哪里来，以及是否把钱包群的资金归集了回来。是无
代币创建者创建过一个或多个代币：创建铸造地址的交易由它付费并签名。会列出这些代币。是无
使用 Proxima通过 Proxima 发射工具包发币或交易：每次卖出后，它都在与卖出一起构建的单独普通转账中把所得的 5% 付给 Proxima；它的创建者手续费领取被抽走 5%；或者它的交易恰好向一个回执账户支付 895,880 lamports，对方退回 890,880。会说明有多少笔手续费、多少 SOL，以及付给了多少个手续费钱包。仅有一笔 5% 的普通转账不够。Explorer 的发射工具扫描会给出更多信息（见 Explorer 文档）。否无
使用 BlockX通过 BlockX 发射工具包发币或交易：它的交易支付了 BlockX 的手续费（0.4% 到 0.8%，在交易内转入 BlockX 手续费钱包）；它套现时先把整数金额存入 nonce 账户，一秒后提出除租金外的全部余额；BlockX 归集了它 nonce 账户的租金；或者它是 BlockX nonce 中继中的中转钱包或中继。“很可能使用 BlockX”：BlockX 市场出售的钱包，或具备其发射的两个较弱特征（发射时 0.003 SOL 的 Jito 小费和卖出时 0.001 SOL 的 Astralane 小费、以 44,512 lamports 结尾的终端手续费、由第三个钱包代付手续费的付款）。如果同时存在 Proxima 的特征，以 Proxima 为先。否无
操控多个钱包先给钱包注资，再把它们的全部余额收回：许多地址背后是同一个操作者。否LOW
捆绑者 / 做市商在一笔交易中与其他钱包一起交易，并把代币等额分散到许多钱包、为它们注资或与它们一起被归集。会说明是哪一种。是MEDIUM

交易和自动化

行为含义可作身份风险
MEV 套利机器人它上链的兑换中有许多是原子套利：同一代币进出，出多于进，在一笔交易内完成。是无
MEV 机器人几乎每笔交易都带优先费，许多失败，部分作为套利上链。是无
狙击机器人每次买入不同的代币，每个只买一次，卖出时间的中位数在一小时以内。是无
刷量机器人来回交易同几种代币的机器人：买卖平衡，规模相近。是LOW
机器人同一秒内多笔交易，全天候间隔几秒，没有更明确的交易类型。是无
Meme 币交易者在发射平台的联合曲线上买卖。会说明是哪些发射平台。是无
支付 Jito 小费支付小费让自己的交易优先上链，机器人和狙击者都会这样做。否无

服务和个人

行为含义可作身份风险
交易所热钱包接收大量钱包的充值并向其他许多钱包付款，或其大部分价值与已知交易所的钱包之间流转。是无
归集钱包从许多钱包收款，以少数几笔大额转出，不向客户付款。是无
商户付款方众多，稳定币，价格重复出现，带付款备注。是无
协议账户没有私钥；由一个程序完成大部分操作。是无
验证者共识投票占其活动的大部分。是无
个人钱包以人的节奏自己签名交易。是无