地下钱庄图谱：跨境对敲与分拆结售汇，图数据库如何识别隐秘网络？

同一分钟的两次动作：深圳某个体工商户账户收到人民币 86 万元，香港某账户向境外收款人付出等额外币。这两个账户分属两个完全独立的客户、两个不同的管辖区，在系统里没有任何一笔跨境汇款记录把它们连起来，各自的单笔交易也都符合规定。但一笔跨境资金交割已经完成了——钱从境内收进来，在境外付出去，中间没有一分钱真正跨越边境。这就是地下钱庄最核心的手法：对敲。它之所以长期难以被发现，不是因为隐蔽技巧多高明，而是因为监测的观察单元一直停留在"单笔交易"上，而地下钱庄的存在形态是"一组交易之间的对应关系"。看清对应关系，需要的是图数据库。

一、地下钱庄的三种典型运作模式

实际案件中，地下钱庄很少只用一种手法，但可以按主要形态分为三类。

模式一：跨境对敲（最主流）。 境内客户需要把人民币换成外币汇出，钱庄让客户把人民币打入境内指定账户，确认收款后，由钱庄在境外的关联账户向客户指定的境外收款人付出外币。资金两头收付、中间不跨境，靠的是钱庄在两地各自维持的资金池。对银行而言，境内这一侧看到的只是一次普通的人民币入账，境外那一侧根本不在视野内。

模式二：分拆结售汇（俗称蚂蚁搬家）。 利用个人年度便利化购汇额度，由钱庄组织大量人头，每人分多次、每次不超过额度上限购汇后汇往同一或关联境外账户。单看每个自然人，购汇金额、用途申报、频次都合规，问题只存在于"这群人是一伙的"这个事实里。

模式三：虚假贸易背景下的资金跨境。 通过虚构进出口合同、高报低报货值、构造转口贸易等方式，让资金以经常项目名义合法出入境。这类案件的单据往往成套、形式完备，银行单证审核很难挑出毛病，破绽通常出现在交易对手关系的重复性与货物流的缺失上。

三种模式的识别难点并不相同：

二、钱庄网络的四个层级与三套隐身术

撇开具体手法，地下钱庄的组织结构相当稳定，通常分为四层。

客户层：有真实跨境资金需求的企业或个人，可能是出于规避额度、逃避税务，也可能是上游犯罪所得需要清洗。

掮客与中介层：对接客户需求、报价、安排账户的人。这一层往往同时服务多家钱庄，是网络里最活跃的连接点。

账户层（人头户与钱骡）：提供银行卡、身份证件、营业执照的群体。一个中型钱庄常年控制的账户数量常在数百个量级，且不断轮换。

核心清算层：钱庄的实际控制人、境内外资金池的管理者、与境外对手方对接的结算人。这一层人数最少，但控制着全部资金流的调度。

网络隐身主要靠三套办法。账户轮换，一个账户使用周期通常只有几周到几个月，被关注后立即弃用；化整为零，把大额资金拆成大量小额交易，让每一笔都落在常规监测阈值之下；混同于正常贸易，把非法资金与合法经营流水混在同一个账户里，使账户整体看起来就是一家正常经营的小企业。

这三套办法有一个共同指向：让单笔交易无法被证伪。既然单笔都合规，唯一能突破的角度就只剩下结构——把交易之间的对应关系还原出来。

传统监测与图谱识别在这件事上的差异可以这样对照：

三、建模的关键：把交易本身也作为节点

地下钱庄图谱通常设置六类实体节点——自然人、企业、银行账户、设备指纹、IP 与登录环境、境外收款方；同时把"交易"单独建模成带时间、金额、币种、渠道属性的边或节点。之所以要这么做，是因为对敲识别的本质是交易与交易之间的匹配，而不是账户与账户之间的连接。若只建账户与账户的转账关系，对敲这种"两侧不相往来"的结构在图上根本不会相连，图再大也看不出来。

识别模式一：镜像对手方匹配。 这是打对敲的核心。逻辑是在滑动时间窗内（通常是数分钟到数小时），寻找一组境内账户的收款与境外账户的付款在金额区间、频率、方向上呈现稳定对应关系。落到图上，就是把境内收款账户与境外付款账户按"时间邻近 + 金额带一致 + 客户群体重合"三重条件做匹配，匹配度高的账户对进入人工核查队列。这个查询在关系数据库里要跨多张表做自连接再加窗口函数，实际几乎跑不动；在图上是一次带属性过滤的多跳遍历。

四、人头网、过渡账户与算法清单

对敲抓的是"对应关系"，另外两类问题则要回到账户群体本身。下面两种识别模式分别对应分拆结售汇与清算层账户。

识别模式二：人头网的聚合。 对付分拆结售汇，重点不是每个人购了多少，而是这些人为什么是一伙的。图上通常有几条强证据：同一设备指纹或同一 IP 段下的多个购汇主体、同一注册地址或同一联系电话的多个主体、资金最终汇向同一个或高度关联的境外收款方、操作时间高度聚集（比如集中在某个下午的十几分钟内）。把这四类证据叠加，人头网会自动浮出来。

识别模式三：过渡账户与枢纽识别。 钱庄控制的账户在资金流上有一个典型特征——只做中转不做沉淀，资金进来后极短时间内转出，账户余额长期接近于零，但累计流水巨大。这类账户在图上的位置也特殊：它们往往同时连接多个互不相邻的集群，是网络里的"桥"。用中介中心性（Betweenness）或 PageRank 排序，这批账户会自然排到前列；用社区发现把网络拆开后，跨社区连接的节点基本就是清算层的手。

三类识别模式与适配算法可以整理成一张建模清单：

一个实战推演。 某分行在核查中发现一个账户月流水 2400 万元，但账户日均余额不足 3000 元，交易对手超过 400 个且互不关联。以该账户为起点做三跳遍历后返回：它连接着 6 个互不重叠的账户集群，每个集群内部成员高度分散、跨省分布；集群成员中有 31 人在此前一个季度内办理过购汇，其中 22 人的购汇资金汇往同一个境外收款方；有 9 个账户共用 3 个设备指纹。这三条组合起来指向的是典型的分拆结售汇网络，而非正常的贸易结算。后续协查证实了这一点。

需要强调的是，图谱输出的始终是线索而不是结论。地下钱庄类案件的最终认定要走完整的合规与司法程序，图谱负责的是把散落在数千笔交易中的结构性异常提前挑出来，让有限的核查人力用在最该看的地方。

五、悦数图数据库的核心能力支撑

针对地下钱庄这类跨币种、跨机构、时效性强的资金网络分析场景，悦数图数据库提供了几项关键支撑：万亿边规模可容纳全量账户、交易与历史流水；存算分离架构使批量入图与在线风控查询互不干扰；CDC 实时同步让新发生的交易在秒级内进入图谱，缩短发现延迟；内置图算法库提供社区发现、PageRank、中介中心性、环检测、最短路径等算子，无需自研分布式算法；动态 Schema 支持新增数据源（如报关单、物流单据）不停机扩展模型；配合 Text2nGQL，合规调查人员可用自然语言查询资金链路，不必先掌握图查询语言。

钱庄之所以隐蔽，是因为它把一笔完整的跨境交易拆成了两笔互不往来的本地交易，让监测永远只看到一半。图数据库做的是把这两半重新对上：当境内那笔收款和境外那笔付款在时间、金额、人群三个维度上严丝合缝地咬合在一起时，钱有没有跨境已经不重要了——对应关系本身就是答案。