直接答案：高质量案件材料不是截图越多越好，而是每项信息都能回答“谁、何时、通过什么渠道、向哪个地址、转了什么资产、金额多少、由什么原件支持”。
一、建立案件索引
- 报案人及联系方式；
- 首次接触时间、渠道和对方账号；
- 受损钱包、网络、资产、金额、交易哈希和时间；
- 涉案网站、应用、合约、收款地址及客服账号；
- 已采取的止损、平台申诉和报案动作。
二、建立交易表
每笔损失交易单独一行，至少记录网络、哈希、发送地址、接收地址、资产合约、原始数量、显示数量、区块时间、执行状态和区块浏览器链接。EVM 交易的 to 可能是普通地址，也可能是执行代码的合约，因此不能只看页面显示的“转账”字样。
三、保存原始沟通与设备证据
保存聊天原始导出、完整邮件头、网页或应用地址、安装来源、登录通知、设备安全告警及客服工单。不要只保留裁剪后的截图；建立只读副本并记录导出时间。FBI/IC3 建议保留原始文件，以便有需要时由调查机关直接索取。
四、制作证据等级表
- 事实：由区块链、原始文件或平台正式记录直接支持；
- 关联：来自地址标签、共同交易对手、时间金额交叉或基础设施复用；
- 推断：对骗局类型、控制关系或转移目的的专业解释；
- 未知：当前资料无法回答的问题。
FATF 提醒，单一风险指标必须结合上下文，不应孤立地作为可疑或归属结论。
五、列出证据缺口
常见缺口包括：缺少完整哈希、时间使用本地时区但未说明、币种或链不明确、聊天仅有截图、无法证明钱包控制权、标签只有单一来源、跨链前后金额未做费用和兑换校正。缺口应转化为下一步补证任务，而不是由分析人员猜测补齐。
相关案例
在案例库中，跨链、分散与归集案例展示了为什么必须保留资产、金额、时间和交易对手四类锚点。
审核与数据范围
数据截止：2026-08-02。审核主体：Crypto Forensics Lab 编辑团队。审核范围：证据字段完整性、来源可追溯性、事实与推断分离。本文不替代当地执法机关对证据形式和可采性的要求。