OSINT 方法论

OSINT 调查中的核心痛点

开放情报收集往往陷入两个极端：要么零散使用零散工具，每次面对新目标都要重复搭建流程；要么在海量数据中迷失方向，不知道从哪里开始、何时结束。缺乏标准化的方法论会导致调查不完整、操作痕迹暴露、证据链断裂，最终难以形成可复现、可审计的报告。

结构化方法论的运作方式

该技能将 OSINT 调查拆解为可执行的检查清单，遵循固定流程：

• 操作安全（OpSec）：建立无法追溯到自身的马甲账号，使用 Firefox Multi-Account Containers 隔离浏览器配置，通过 Burner 或 Silent Link 获取一次性 VoIP/SMS 号码，对每个案件维护独立的操作链路
• 加密货币追踪：利用 Cielo、TRM、Arkham 等工具进行多链钱包分析，识别地址集群和资金流向，处理跨链桥和 Layer 2 的复杂追踪场景
• 图像与视频分析：使用反向图片搜索、EXIF 元数据提取、地理定位技术，结合 SunCalc、ShadeMap 进行阴影分析和时间定位
• 社交媒体情报：处理 Bluesky AT Protocol、Mastodon Fediverse 等去中心化平台，利用 API 和联邦搜索提取身份文档和帖子内容
• 证据管理：记录操作时间戳、哈希关键产物、保留工具版本，形成最小化的保管链

技能按照目标定义 → 来源选择 → 数据采集 → 关联分析 → 时间线重建 → 报告输出的顺序执行，除非用户明确要求跳过某些步骤。

适用边界与注意事项

该方法论适用于合法合规的 OSINT 调查场景，如威胁狩猎、品牌监控、身份验证。调查人员需自行评估目标所在司法管辖区的法律风险。

加密货币追踪中的启发式方法存在误报可能：跨链桥、混币器和 MEV 机器人会创建虚假的资金流向，供应商的实体标签应视为假设而非事实，需要通过多个数据集交叉验证。

操作安全是前提条件而非可选项。浏览器扩展供应链攻击已多次针对调查人员，安装前必须审计代码来源。马甲账号需要预先建立真实的发布历史，临时创建的账号极易被平台风控识别。

L2 层的隐私协议（如 Aztec Network、Railgun）限制了链上可见性，调查难度显著增加。Layer 2 的最终性机制不同（Optimistic rollups 有 7 天挑战期，zkRollups 证明可能延迟），时间线重建需要考虑这些因素。