先理解区块链证据能证明什么
以比特币区块链为例，区块按顺序记录交易，并通过交易标识、区块哈希、前一区块哈希和默克尔树等结构形成可验证的关联。节点会依据共识规则验证区块和交易，已纳入链中的记录通常能够用于核对某笔交易是否存在、关联地址、所在区块及其相对时间顺序。
但地址或交易标识并不天然等同于现实中的个人、公司或设备。链上数据主要回答“发生了什么链上记录”，而立案或后续审理通常还要回答“谁实施了行为、行为是否违法、损害或危险结果是什么，以及各事实之间是否存在因果关系”。因此，区块链数据应与账户资料、聊天记录、转账凭证、设备信息、平台记录或证人陈述等其他证据相互印证。
立案条件应从哪些方面判断
具体立案门槛取决于案件性质和适用地区的法律规定，不能仅凭一笔链上转账或一个钱包地址作出结论。作为入门判断，可以先核对是否存在明确的报案事实、可识别的涉案行为和初步证据，是否属于受理机关的管辖范围，以及是否达到相应案件类型要求的事实和线索强度。行政、民事和刑事程序的证明目标并不相同，不能混用标准。
区块链取证材料通常需要与四类事实建立联系：第一，涉案交易或数据确实存在；第二，数据与被举报人、相关平台或具体设备之间能够建立联系；第三，行为可能触及相应法律规定，而非单纯的交易失败或合同争议；第四，损失、危险、获利或其他关键结果能够由证据支持。材料越能围绕这些事实形成清晰时间线，越便于受理人员理解和核查。
取证时应保留完整过程
数字证据的价值不仅在于内容，也在于获取和保管过程。RFC 3227提出，证据收集应尽量减少对原始数据的改变，按照从易消失数据到较稳定数据的顺序处理，并详细记录操作人员、时间、设备、工具、步骤和系统时钟情况。该思路适用于区块链案件中的配套电子证据，例如手机、电脑、交易平台后台记录、节点日志和通信记录。
对链上信息，应保存能够复核的数据范围，包括网络或链的名称、交易标识、区块标识、相关地址、查询时间、页面或接口返回内容，以及必要的原始文件。对网页截图或复制文本，不宜作为唯一材料；应同时保留可供复核的原始记录，并记录获取路径和时间。若对文件生成校验值，应把校验值、生成工具和操作过程一并记载。
证据保管还应形成连续的交接记录，说明谁在何时接收、复制、分析或移交了材料。原始证据与分析副本应尽量区分，分析过程避免覆盖或改变原始文件。这样的记录有助于说明证据真实、完整、可靠，并降低因来源不明、内容被修改或过程无法复现而产生的争议。
一份基础材料清单
准备报案或咨询时，可以按时间顺序整理事实说明：事件何时开始、涉及哪些账户或平台、发生了哪些交易、对方通过何种方式联系、已经造成或可能造成什么损害。每一项事实后面标注对应证据，避免只提交零散截图而缺少解释。
链上部分可整理交易标识、地址、区块信息和交易前后关系；链下部分可整理实名或账户关联材料、平台工单、充值或提现凭证、聊天记录、邮件、合同、设备导出数据及损失证明。涉及他人隐私的数据应限制传播范围，只提交与事实核查有关的内容，并遵守适用的隐私和数据处理要求。
材料应区分已确认事实、合理推断和仍待核实的线索。例如，能够确认某地址收到资产，不等于已经确认该地址由某人实际控制；能够确认记录未被轻易改写，也不等于已经确认记录内容合法或交易目的真实。清楚标注证据边界，通常比作出过度确定的结论更有利于后续核查。
常见问题
区块链记录不可篡改就一定能立案吗？不一定。链上结构可以增强记录的可验证性，但立案还涉及管辖、案件性质、行为人关联、损害结果和其他法定要求。不可轻易修改只能解决部分真实性问题，不能单独完成身份和违法事实证明。
只有钱包地址，能否证明对方身份？通常不能。地址首先是链上标识，身份关联需要依靠平台实名资料、设备或登录记录、通信内容、资金流向等链下证据，并由有权机关依法调取或核验。
先分析还是先保全？通常应先保全与记录，再进行分析。分析可能改变文件时间属性或原始状态，因此宜使用副本，并保留可复核的原始材料和操作日志。
是否达到立案条件，应由谁最终判断？应由有权受理机关依据具体事实、案件类型和适用法律判断。取证材料的准备重点是准确、完整、可复核地呈现事实，而不是自行替代机关作出法律结论。