电信诈骗资金链：从一级卡到N级卡的分流追踪，图数据库如何做到？

受害人按下确认键的那一刻，倒计时就开始了。第 0 分钟，18 万元从受害人账户转出，进入一张开户地在千里之外的个人卡——这张卡叫一级卡。第 47 秒，这笔钱被拆成 6 笔，分别转入 6 张二级卡。第 3 分钟，6 张二级卡各自再拆，资金散进 30 多张三级卡。第 12 分钟，其中一部分已经变成了某电商平台的充值订单和游戏点卡。第 30 分钟，剩余资金在三个不同城市的 ATM 被取现，或被换成虚拟币提走。整个过程不超过半小时，涉及的账户从 1 个变成上百个。反诈工作真正难的地方就在这里：不是事后查不清，而是当时的三十分钟里，没人知道钱去了哪儿。资金链追踪本质上是一场和时间赛跑的图遍历。

一、一级卡到N级卡：资金链的层级分工

电诈资金链之所以要分层，不是为了复杂，而是为了把风险逐级稀释，让每一层都看起来普通。

一级卡（接款卡）：直接接收受害人转账的账户，是整个链条唯一的入口。它的持有者通常是被买卖的"卡农"，开户时间新、交易历史少、所在地与受害人毫无关联。一级卡的核心特征是只进不出或快进快出，它不需要承担任何后续动作，收完钱立即拆分转出。

二级卡（过渡卡）：接收一级卡拆分后的资金，继续向下分散。这一层的作用是切断直接关联——从受害人账户到最终取现之间隔了多层之后，任何单家机构看到的都只是自己这一小段。

三级卡及N级卡：资金继续拆分、混同、跨机构流转。到第三级以后，资金往往已经与正常交易混在一起，单看账户流水几乎无法区分。

末端（取现与消费化）：资金最终通过 ATM 取现、POS 消费、购买购物卡与游戏点卡、充值虚拟货币等方式完成变现。一旦走到这一步，追回难度陡增。

各层级在功能与可见度上差别很大：

层级	主要功能	资金停留时间	单笔金额特征	风控可见度
一级卡	接收受害人转账，立即拆分	数十秒至数分钟	与被骗金额等额入账	中，入账特征明显但窗口极短
二级卡	切断直接关联，继续分散	数分钟	拆分后小额多笔	低，需关联一级卡才能识别
三级至N级卡	混同、跨机构流转	数分钟至数十分钟	与正常交易难以区分	极低，单账户看不出异常
末端取现与消费	变现，切断资金流	变现即完成	消费化、小额化	极低，且多为不可逆

二、资金链为什么追不动

同样是查资金流向，电诈资金链比普通洗钱难追得多，原因有四条。

扇出放大。 每一级都在做拆分，一级 1 张、二级 6 张、三级 30 张、四级上百张，层级稍深一点就是指数级膨胀。人工排查时，追到第三级基本就失去了继续追的能力。

时间极短。 从入账到变现往往只有几十分钟。等受害人报案、民警录入、银行协查，黄金时间早已过去。这不是流程慢，而是传统协查的节奏天然跟不上资金链的速度。

跨机构分散。 资金链会刻意横跨多家银行与第三方支付，单家机构只能看到自己的那一段，看不到上下游。协查函往返本身就要消耗数小时甚至数天。

消费化与不可逆。 一旦资金变成点卡、虚拟币或取现，后续追踪的价值大幅下降。这也是为什么拦截必须前置——不是追得不够努力，而是追到后面已经没有可冻结的余额。

传统追踪方式与图谱穿透在这四点上差异明显：

对比维度	传统协查与规则追踪	图谱实时穿透
驱动方式	人工发起、按机构逐段查询	入账即触发，沿边自动展开
响应速度	数小时至数天	秒级到分钟级
跨机构能力	依赖协查函，断点严重	多源数据入图，一次遍历贯通
对扇出的处理	逐账户排查，三级以后失控	批量展开，按时间窗自动收敛
输出形态	一串待核账户	完整分流路径 + 可冻结层级建议

三、图数据库怎么做：建模与时间窗约束的遍历

建模要点。 电诈资金链图数据库通常包含七类节点：受害人账户、各级涉案账户、商户与收款码、设备指纹与登录环境、取现网点与 ATM、虚拟币地址、自然人。关系边必须携带时间戳、金额、渠道三个属性，其中时间戳是核心——没有时间约束的遍历会返回大量"理论上连通、实际上无关"的路径。

时间窗约束的多跳遍历。 这是电诈追踪与一般关联查询最大的技术差别。普通多跳只问"这两个账户之间有没有路径"，电诈追踪要问的是"在受害人转账后的这个时间窗内，资金沿着哪些边、以什么顺序流过"。落到实现上，就是给每条边加上时间区间约束，并且要求整条路径上的时间单调递增。这能剔除掉绝大多数无效路径——同一张卡在案发前三个月与某账户的往来，与这次资金链无关。

时间单调性带来的性能收益。 加上时间约束之后，遍历不再是无方向的全图扩散，而是被时间轴"削"成一棵有向的树，剪枝效果非常明显。这也是为什么在万亿边规模下，电诈穿透仍能把响应压在秒级——图的规模不是瓶颈，遍历的约束条件才是。

四、图算法与拦截策略

分流树与最窄路径。 资金链展开后是一棵树，最有价值的判断往往不是"钱最终到哪"，而是"这条链上哪一段最值得拦"。用最大流/最窄路径的思路看，如果某一级的通道容量最窄，那么在那里拦截的性价比最高。实践中更常用的判据是可冻结余额：沿路径展开后按账户实时余额排序，优先冻结余额最大且尚未流出的层级。

社区发现与卡池识别。 电诈团伙通常同时运营多个卡池。用社区发现把涉案账户群拆分，同一社区内的账户往往属于同一团伙或同一批被买卖的四件套。识别卡池的价值在于预测——当一张新卡与已知卡池产生连接时，可以在它接收下一笔资金之前就打上标记。

时间衰减与子图裁剪。 涉案账户会逐渐老化停用，如果不做衰减，图谱会被历史噪音淹没。常见做法是给边加时间衰减权重，近 30 天的连接权重高，半年以前的逐步降低，保证算法始终关注活跃网络。

算法与拦截策略的对应关系可以整理成一张清单：

分析目标	图算法	实际用途
还原分流路径	时间窗约束多跳遍历	输出从一级卡到末端的完整链条
定位最优拦截点	最大流、最窄路径、余额排序	决定先冻哪一层，优先冻结余额最大层级
识别卡池与团伙	社区发现（Louvain）	把涉案账户归入同一团伙，提前标记新卡
找出关键中转账户	PageRank、中介中心性	识别长期活跃的中转户，一冻断一片
控制图谱噪音	时间衰减、子图裁剪	让算法聚焦活跃网络，避免历史数据干扰
量化涉案规模	联通子图	统计涉案账户数、累计流水与地域分布

一场推演。 某地反诈中心接到报案，受害人 20 分钟前转出 26 万元。系统以一级卡为起点，按 30 分钟时间窗做六跳穿透，2.7 秒后返回：一级卡已把资金拆给 7 张二级卡，二级卡再拆给 41 张三级卡，其中 12 张卡仍有余额，合计 9.4 万元；另有 6 笔资金已进入消费化环节。处置建议按余额排序，优先冻结 3 张余额合计 7.1 万元的三级卡。从接警到冻结指令下发不到 5 分钟。对照传统流程，同样的链条要追到第三级通常已经过去半天。

一个必须说清楚的策略判断。 末端卡好冻但没钱，一级卡有钱但难提前识别——真正可执行的最优解是提前标记卡池：不追求在受害人转账那一刻才反应，而是通过社区发现把可疑卡池提前圈出来，一旦池内账户发生入账立即触发核查。这把被动追踪变成了半主动布控，是图数据库在电诈场景里最有价值的用法。

五、悦数图数据库的核心能力支撑

针对电诈资金链这类时效要求极高、层级深、扇出大的场景，悦数图数据库提供了几项关键支撑：万亿边规模可容纳全量账户与历史流水；存算分离架构保证批量入图与在线穿透互不干扰；CDC 实时同步让新发生的转账秒级进入图谱，压缩发现延迟；原生图遍历引擎支持带时间窗与路径约束的多跳查询，六跳穿透仍能保持秒级响应；内置图算法库提供社区发现、PageRank、中介中心性、最短路径等算子，无需自研；动态 Schema 支持新增数据源（如虚拟币地址、商户收款码）不停机扩展。

电诈资金链真正可怕的不是层级多，而是快。当一笔钱在半小时内走完六层、散进上百个账户的时候，能不能拦住，取决于有没有一台能在那半小时里把整棵树展开的机器。图数据库在这件事上的位置很明确：它不是事后取证的工具，而是那三十分钟里唯一来得及反应的东西。