Monero 搅动技术：2026 年隐私实战指南

如果你曾经盯着链上分析仪表盘看它实时把比特币地址聚类成一团，你就已经明白为什么需要"搅动"（churning）。Monero 在协议层面已经解决了绝大部分问题——环签名、隐形地址、RingCT 和 Bulletproofs 都是默认开启的——但启发式分析仍然会想方设法从边缘咬下一口。搅动就是用户端的回应：在花掉一笔 XMR 之前，先把它从自己手中转给自己一次或多次，借此加深这些币的匿名集。

2025 年，包括 Monero Research Lab（蒙罗研究实验室，简称 MRL）以及 Insight 项目相关的独立学者在内的多个研究团队，在 FCMP++ 全链成员证明设计引发新一轮讨论之后，重新发布了对搅动的研判。剧透：在 2026 年它仍然有意义，只是经验法则有所变化。本文将拆解搅动到底在做什么、什么时候真正有用、以及如何在不留下新指纹的前提下操作。读完之后，如果你判断自己的威胁模型同时也需要一笔全新的、无 KYC 的 XMR 储备，MoneroSwapper 就是为此而生的。

搅动到底在做什么

搅动指的是把 Monero 从你控制的一个子地址（Subaddress）发送到同一钱包内的另一个子地址，或者发送到一个全新的账户索引（Account Index）。每一跳都会生成一个新的输出，受 RingCT 保护，使用全新的隐形地址，并从链上抽取一圈全新的诱饵。从外部看，这个钱包只是产生了又一笔与网络上任何其他 Monero 交易完全相同的交易。

搅动提供的保护不是密码学层面的——Monero 的密码学早已隐藏发送方、接收方和金额。搅动提供的是统计层面的保护。当你搅动时，会同时发生三件事：

• 诱饵集刷新：新输出会被网络上未来的交易选作诱饵，而你后续的真实花费会抽取一圈包含 15 个其他输出的新环，从而打破观察者基于先前输出建立的任何时间相关性。
• 时间去相关：如果你在一个已知时刻收到资金——例如一笔工资发放或一次交易所提币——在花费之前先搅动，就能把花费动作与那个时间戳解耦，挫败朴素的"首次出现"启发式。
• EAE 攻击加固："交易所→地址→交易所"模式（即同一批币在两个已知聚类端点之间移动）会失去信号，因为每一次搅动跳跃都迫使分析方在每一步都进行猜测，准确率会随着跳数呈指数级崩塌。

搅动 无法 撤销你之前犯过的错误。如果你复用了集成地址、把公开地址发到了社交媒体上，或者让受监管交易所之类的服务把你的身份与某一笔具体的入金绑定在一起，那么事后再搅动也无法擦除这条关联。它只能保护未来的花费。请把搅动当作预防性卫生措施，而不是事后补救。

何时值得搅动，何时只是"隐私剧场"

并不是每一笔 Monero 交易都需要搅动。反射性地搅动每一笔交易会浪费手续费，让本可以避免的交易塞满内存池，而且——因为爱搅动的人往往会形成可识别的模式——偶尔反而会让你的行为 更容易 被区分出来。MRL 2025 年对 MRL-0008 的更新明确警告：仪式化的搅动如果产生等额、等间隔的跳跃模式，反而会从有机的钱包活动中跳脱出来。

下表可以作为起点，请再根据你自己的威胁模型进行调整。

资深 Monero 用户有一条实用的启发式法则：先问自己 "我到底想糊弄谁？他们已经知道什么？"。如果对手是一家被动的链上分析公司，对你没有任何链下数据，那么一次有意义时间间隔的搅动就足够了。如果对手是一家资金充沛、已经把你的 IP、交易所 KYC 和链上活动相互关联的国家级机构，那么单靠搅动救不了你——你需要 Tor、专用钱包，并且最好有一个无 KYC 的新币来源。

如何安全地搅动：分步实操

最干净的搅动方式是使用你自己运行的钱包——官方 GUI/CLI、Feather，或者移动端的 Cake Wallet/Monerujo——通过 Tor 连接到你自己的节点或可信的远程节点。托管钱包无法用于有意义的搅动，因为托管方在内部就能看到资金的来源和去向。

1. 准备一个专用钱包或账户索引。在已有钱包里新建一个账户（Accounts → New Account），让被搅动的资金住在自己的逻辑容器中。这样可以更方便地追踪哪些输出已经被搅动过、搅动了几次。
2. 通过 Tor 或 i2p 连接。配置钱包让它经由 Tor 访问守护进程（例如在 monerod 上加 --proxy 127.0.0.1:9050），或者使用通过 .onion 端点提供的远程节点。这样可以把你的网络身份与交易本身解耦。
3. 在目标账户内生成一个全新的子地址。永远不要把币搅回到你最初的收款地址。每一跳都应使用一个全新的子地址——Monero 用你的查看密钥和花费密钥免费生成它们。
4. 整笔发送，或者按随机比例拆分。整笔发送最简单。如果要拆，请随机化比例，不要用 50/50 这样的整数，尽量瞄准 37%/63% 之类的比例。
5. 等待一段非均匀的时间间隔。最常见的搅动错误，就是在第 1 跳之后恰好 N 个区块就发送第 2 跳。请挑一个 12 小时到几天之间的随机延迟。monero-wallet-cli 这类工具不会替你排程，所以请设置提醒，而不是把所有跳一口气全发出去。
6. 重复执行 1–3 跳。边际收益会迅速递减：2024 年的研究估计，第三跳之后，匿名集的边际增益已经小于"被识别为搅动者"的指纹风险。
7. 从最后一个子地址进行真正的花费。当你真正向商家付款、提到互换服务，或者转到冷钱包时，请从最后一次搅动后的输出发出。这个输出拥有最深、最新鲜的诱饵集。

"搅动为你买来的是统计上的喘息空间，而不是隐身术。如果你把它当成良好操作卫生的替代品，那么你会一直感觉安全，直到突然不安全为止。"——转述自 2025 年 Monero 社区工作组的一次讨论。

钱包与工具：哪些更适合搅动

并非每个钱包都同等适合搅动。有些钱包会以违背搅动初衷的方式自动整合小额输出；另一些则暴露出足够的配置，让你可以按自己的意愿构造交易。下表对比了 2026 年常见选项的表现。

只要条件允许，请把你选定的钱包与一台个人剪枝节点（pruned node）配套使用。即便是 Raspberry Pi 5 也能轻松运行 monerod，而查询自己的守护进程能够消除一整类远程节点指纹风险。如果不得不使用远程节点，请优先选择社区运营的知名 .onion 端点，而不是某个可能记录查询的单一热门明网主机。

一个贴近现实的例子：从 KYC 交易所到私密花费

设想一位居住在台北的自由译者，先是收到一笔新台币入账，在香港的某家受监管交易所买入 4 XMR（因此交易所知道她的身份以及具体的提币地址），打算一周后用这 4 XMR 完成一笔注重隐私的采购。下面这套搅动计划能融入现实日程，而不至于让她一整天都被这件事占满。

第 0 天——提币。她从交易所把 4 XMR 提到自己 Feather 钱包 Account 0 中的 子地址 A，全程通过 Tor，并连到她家里自建的节点。交易所的日志只能把她和子地址 A 关联起来，到此为止。

第 1 天傍晚。她打开 Feather，新建 Account 1，把 4 XMR 整笔从子地址 A 发送到 Account 1 中全新的子地址 B。Feather 默认使用环大小 16（15 个诱饵 + 1 个真实输入）。交易经过 Dandelion++ 的茎阶段（stem phase）进入内存池，然后扩散到全网。

第 3 天上午。她再搅一次，这次从子地址 B 发往 Account 2 的子地址 C。她也可以拆分——1.5 XMR 到一个子地址、2.5 XMR 到另一个——但她判断一笔输出就够了，没必要刻意切碎。

第 7 天——真正的花费。她从子地址 C 向商家付款。商家看到的是一笔干净的入账，没有任何可追溯回交易所的历史。一名链上分析师如果要把这笔花费与最初的入金挂钩，就必须连续三次从 16 个候选输入中精准猜中真实输入——在没有任何旁路信息的情况下，最坏情况下的成功概率不到 0.025%。

如果她想直接绕开历史，改用一批与她身份毫无历史关联的币，那么她可以通过 MoneroSwapper 这样的服务，把一笔 BTC 储备以原子互换的方式换成 XMR，无需 KYC，并且在互换得到的输出上可以完全跳过搅动这一步。这两种思路——搅动既有币 vs 轮换到全新币——解决的是部分重叠但又各有侧重的问题，许多注重隐私的用户会把它们结合起来使用。

常见问题

在花费之前应该搅动几次？

对绝大多数现实威胁模型——被动链上分析、商家尽职调查、记者的好奇心——配合随机延迟，1 到 3 跳就足够了。第 3 跳之后边际收益陡降：每多一跳带来的匿名集增长越来越小，而被识别为"搅动者模式"的风险越来越高。如果你发现自己每次都做 5 跳以上，真正的杠杆很可能在操作层面（Tor、专用钱包、新币来源），而不是再多一跳。

FCMP++ 上线之后还需要搅动吗？

FCMP++（Full-Chain Membership Proofs Plus Plus，全链成员证明加加）最终将让每一笔 Monero 交易把整个 UTXO 集合当作匿名集来引用，这会让基于环的诱饵选择变得过时。届时传统搅动将失去大部分统计价值，因为每个输出本身已经拥有了最大可能的匿名集。在那之前——对绝大多数用户而言，意味着整个 2026 年——搅动仍然能提供有意义的保护。

网络能否检测出我在搅动？

纯粹的链上观察者无法证明一笔交易是自转账；它看起来与任何其他 Monero 交易毫无区别。但是，可预测的模式——等额、等间距、在已知入金后立即搅动——会让你的钱包被打上"很可能是搅动者"的标签，即便具体关联仍然隐藏。随机化金额、间隔和账户索引就是解药。

除了手续费，搅动还有其他成本吗？

有三项。第一，交易费——2026 年通常每跳只占几分钱的一小部分，但若网络拥堵或者你坚持使用更高的优先级，单跳费用可能上升一个数量级。第二，时间：每一跳之间应间隔数小时到数日，请提前安排——临时起意的搅动几乎总会因为间隔过短而留下指纹。第三，输出管理：每次搅动都会产生一个新输出，将来可能需要合并，而合并本身又是一笔交易，且合并方式不当（例如一次性把一大堆历史输出合到同一个目标）会重新引入聚类风险。这些都不是阻断性问题，但值得知道，并且在做长期资金规划时应纳入预算。

我可以用脚本自动化搅动吗？

技术上可以——Feather 与官方 CLI 都暴露了 RPC 接口，社区里也流传过若干"自动搅动"脚本。但请慎用：自动化最容易让你陷入"等额、等间距"的反模式，而这正是你应当避免的指纹。如果一定要自动化，请在脚本里引入足够大且分布合理的随机延迟（比如对数正态分布），并且不要在多台机器上共用同一份种子。手动操作虽然麻烦，但天然地引入了人类节奏的不规则性，往往效果更好。

搅动是否合法？

在我们了解的所有司法辖区中，在自己的地址之间转移自己的资金都是合法的。某些国家的税务机关（特别是美国 IRS）会把每一次链上转账都视作潜在的可申报事件，即便没有发生真实经济价值的变更，这会带来一些文书负担。在大陆，加密货币的境内交易本身受限，请务必先就法律地位咨询本地专业人士；在台湾与香港，自有资金的内部转账并不构成应税事件，但仍可能涉及举证义务。如有大规模操作，请咨询本地税务专业人士；问题不在于搅动这件事本身。

我需要远程节点还是自己的节点？

最好是自己的。一台个人节点——哪怕只是中等硬件上的剪枝节点——意味着你钱包关于诱饵输出的查询永远不会离开你自己的网络。在远程节点的情况下，运营方有可能基于查询模式推断哪些输出属于你，从而部分抵消搅动所做的工作。如果实在无法运行节点，请选择经过社区认证的远程节点，并通过 Tor 访问，避免使用任何要求注册或登记 IP 的"商业化" RPC 服务。

我能否在硬件钱包上完成搅动？

可以。Trezor Safe 系列与 Ledger 都已支持 Monero，可与 Monero GUI/CLI 或 Feather 搭配使用进行离线签名。硬件钱包不会改变搅动的统计逻辑，但能让钱包私钥永远不出离设备，从而抵御主机被入侵的场景。请注意硬件钱包的固件版本，并尽量从官方渠道直接下载；中文社区里曾多次出现"中间商"安装恶意固件的案例。

大中华区读者的额外背景

对于身处大中华区的读者，搅动的"合法性"和"可操作性"必须分开看。法律地位上，移动自己钱包中的资金本身并不违反法律——它只是一笔自我转账。但配套的操作环境差异很大：

• 中国大陆：2021 年 9 月《关于进一步防范和处置虚拟货币交易炒作风险的通知》之后，加密货币在境内的兑换、交易、做市等业务均被禁止。这意味着合法获得 XMR 的渠道极为有限，绝大多数所谓"OTC 通道"在合规层面都站不住脚。在境内做搅动本身并不违法，但围绕"如何获得 XMR、如何使用 XMR"的整条链路都处在灰色甚至违规区间。请务必先理解自己在做什么，再谈技术细节。
• 香港特别行政区：SFC 在 2023 年发布了虚拟资产服务提供商（VASP）发牌制度，零售用户可以在持牌交易所购买主流币种，但绝大多数持牌交易所并不上 Monero。这意味着 HK 用户拿到 XMR 通常需要先买 BTC/USDT，再通过原子互换或非托管互换得到 XMR。这条路径本身就削弱了交易所对 XMR 头寸的关联能力，对搅动的需求相应降低。
• 台湾：金管会（FSC）将加密货币定位为"虚拟资产"，本地 KYC 交易所如 MaiCoin、BitoPro 仅支持少数币种。台湾用户如果在本地 KYC 平台购入 BTC 再桥接到 XMR，初始入金会留下明确指纹，搅动在花费前的价值依然成立。
• 新加坡：MAS 在 2022 年起对零售用户加密货币广告与服务收紧，本地银行通道趋严。新加坡身份的 Monero 用户多依赖境外平台 + 原子互换，操作模式与香港相近。

无论你身处哪一个法域，请把"技术上能做"与"法律上合规"分开判断。本文讨论的是技术层面，并不构成法律意见。

FCMP++ 时代的过渡期：搅动会怎样退场

很多读者一看到 FCMP++ 就会问：那是不是马上就不用搅动了？答案分两层。

第一层是时间。FCMP++ 的代码、审计与硬分叉日程仍在推进；MRL 在 2025 年披露的路线图把"主网激活"放在 2026 年下半年到 2027 年这段时间。在主网启用之前，所有 Monero 交易仍然在 16 大小的环签名之内运作，搅动的统计价值不变。

第二层是过渡。即便 FCMP++ 上线，旧的 RingCT 输出与新的全链证明输出会在链上共存一段时间，钱包会按规则在两种证明之间切换。在这个过渡窗口内，如果你大量持有"FCMP++ 前"创建的输出，把它们花进"FCMP++ 后"的世界本身就是一种自然的"升级搅动"——这一步几乎自动地把你历史上的诱饵集与未来的全链匿名集合并，使统计指纹彻底重置。届时真正需要继续手动搅动的，主要是那些有强烈时间相关性、又不想暴露交易所提币与花费之间窗口期的用户。

操作安全的容易被忽视的细节

很多读者会反复打磨"搅动几跳、间隔多久"，却忽略了几个会让整套努力前功尽弃的细节。把下面这份小清单当作搅动前的最后一遍检查：

• 钱包文件本身的保管。在同一台机器上同时跑 Telegram、网页浏览器、各种插件，钱包文件被恶意软件读取的风险比你想象中高。推荐使用专用的离线签名设备（Trezor、Ledger 已都支持 Monero），或者把钱包放在 Tails、Qubes 等专门的环境里。
• 地址重用。切勿把同一个公开地址贴到多个公开渠道。每个收款来源应配一个独立的子地址，搅动产生的"内部"地址绝对不要外露。
• 时间戳元数据。截图、社交媒体上传、甚至本地文件的修改时间，都可能间接暴露你"在某个时间点正在操作钱包"。如果你的对手会把链上事件与你的设备活动进行比对，请把操作时间也算入随机化范围。
• 同一节点同时服务多个钱包。如果你既用同一个 monerod 为搅动钱包提供服务，又用它为日常公开钱包提供服务，并且两者通过相同的远程端点暴露在外，可能会被关联分析。请尽量把"匿名工作流"与"日常工作流"在网络栈层面也分开。
• 电费、噪音与签约信息。这是给少数高威胁模型读者的提醒：自建挖矿/全节点会留下电力账单、ISP 流量等线下痕迹。如果你的威胁模型严肃到需要考虑这一层，请优先解决线下侧信道，而不是再加一跳搅动。

把搅动与原子互换组合起来

许多隐私意识强的用户并不在"要不要搅动"和"要不要换新币"两条路线之间二选一，而是把它们做成一套节奏稳定的组合拳：

1. 定期轮换。每隔几周或一个月，通过 MoneroSwapper 等无 KYC 的原子互换服务，把一部分 BTC（或其他主流资产）换成 XMR。这部分新币和你身份完全没有历史关联，可作为"清洁池"使用。
2. 持续搅动旧池。对于早先从 KYC 交易所提出来的 XMR，按本文的步骤进行 2–3 跳搅动，让它们与新池在统计层面无差别。
3. 消费路径区分。对外消费时优先用清洁池中的输出；需要长期持有的部分则保留在搅动后的旧池里，等待 FCMP++ 时代的到来。
4. 偶尔交叉互换。把搅动过的 XMR 再换回 BTC、再换回 XMR，可以让任何残留的旧池标签也彻底消失，但成本较高，请按需使用。

这套节奏并不是教条，而是给你一个起点。真正重要的是你能根据自己面对的对手与生活节奏做出合理调整，而不是机械执行某个"标准动作"。

常见误区与"反模式"

下面列出几条在中文社区里反复被人提及、但其实弄反了的"经验"。先把它们说清楚，可以省下很多无效操作：

• "环大小越大越好，所以我手动改成 32 或 64"。错。Monero 协议把环大小固定为 16（FCMP++ 之前），任何偏离默认值的交易都会被网络识别出来——你的隐私不会更好，反而会因为偏离常规而暴露自己。请永远使用默认环大小。
• "我把 4 XMR 拆成 4 笔 1 XMR，每笔分别搅动会更安全"。不一定。整额 1 XMR、2 XMR 这种"漂亮数字"在 Monero 链上很罕见，因为协议内部会把金额按位拆分。如果你硬要按"漂亮数字"拆，反而会形成可被聚类的指纹。请保留实际余额或按 37%/63% 这类奇数比例拆分。
• "我每跳都用 VPN 换不同国家的出口，看起来更安全"。这是把概念混在一起了。VPN 帮助的是把你的 IP 地址与请求解耦，但若 VPN 提供商保留日志，所有跳还是会被同一份日志串起来。要做就用 Tor，且对每条电路使用隔离的"流隔离"（stream isolation）。
• "用交易所的内部转账作为一次免费的搅动跳"。这并不是搅动。交易所的内部转账甚至可能根本不触发链上交易，且交易所完全掌握映射关系。把它当作搅动是自欺欺人。
• "搅动越多越好，反正手续费便宜"。搅动不是越多越好。超过 3 跳之后，你的钱包行为开始与"普通持币人"明显偏离，反而成为可识别特征。请把"看起来像所有人"作为目标，而不是"看起来像没有人"。

一份适合不同人群的快速决策表

这张表只是起点。你的具体情况——例如同时持有多种身份、需要兼顾税务申报、或者必须在一个监控严格的网络环境里操作——都可能要求更精细的调整。请把它当作"开局参数"，而不是"最终答案"。

结语

Monero 搅动属于那种"看情况"才有正确答案的话题——但这里的"情况"其实是可以明确判断的。如果你从 KYC 场所提币，请在花费前搅动。如果你是挖矿或从私密来源收到资金，搅动是可选的。如果你只是在钱包内部做日常整理，请不要折腾。把做法与威胁匹配起来，能随机化的都随机化，再把搅动与基础操作配合好——Tor、自有节点、由你掌控的钱包——这样 Monero 的密码学保证才能真正落地。

如果你的隐私策略需要的是"从零开始"——即获得一批与你身份毫无历史关联的币——那么通过 MoneroSwapper 用 BTC 或其他资产做一次原子互换大约只需一次搅动跳跃的时间，却能完成一个互补的目标。两件工具完全可以并肩使用：当你需要一张白纸时，轮换到新币；其余时间则用搅动让你已经持有的币默默保持可替代性。

最后给一句给所有读者的忠告：隐私不是一次性配置，而是一种持续维护的习惯。今天 Monero 的环签名、明天 FCMP++ 的全链证明、后天可能上线的某种全新原语，都只是工具。真正决定你是否安全的，是你日常的操作选择——你用谁的节点、何时连上线、向谁公开了什么。把搅动当作这套日常习惯中的一环，而不是一种孤立的"魔法仪式"，你才能在持续变化的链上分析环境中保持长期的隐私优势。当威胁模型变化时，请回头重读本文，并按当下的环境再做一次自我评估；技术细节会更新，但"匹配威胁、随机化、与基础卫生配合"这三条原则会一直适用。