2026 年 7 月 20 日，投资平台 Fun Coffee 的手机应用突然停止运作，港澳两地的投资者既取不回本金，也拿不到平台承诺的回报，多次联络客服都没有回音。香港警方随后与澳门司法警察局认定其为诈骗集团，截至 8 月 19 日共接获 286 宗报案，涉案总金额约 1.18 亿港元。
图 · Fun Coffee 受害者维权（图源：星岛日报）
这家公司对外宣称总部位于越南富国岛，业务是高科技咖啡设备研发、咖啡基因优化技术和智能灌溉施肥系统，自称总资产超过 10 亿美元、员工超过 5,000 人。香港警方披露的投资方案分启航、成长、远航三档，声称年回报率约 197% 至 278%。以最高档远航为例，投入 29,800 个 USDT（约 23 万港元）、存放 570 天，平台声称可获约 100 万港元利润。
图 · Fun Coffee 投资计划（图源：香港电台）
我们的还原从其中一名受害者的转账记录开始。这个由 99 个地址构成的网络自外部累计接收 72,829,035 USDT，至本次数据截止时已全部转出，99 个地址当前的 USDT 余额经链上逐一查询合计只有 1.52。
本文关于案件背景的部分引自香港证监会、越南庆和省公安厅与港澳警方的公开披露，均已核对原始页面；其余数据与结论出自我们对链上记录的独立分析，只覆盖 TRON 链上的 USDT 流转。文中对地址功能的描述依据链上行为形态与 BlockSec 标签库中的实体归属记录，不等同于认定其持有人的身份或法律责任。为保护受害人隐私，本文不展示其钱包地址、交易哈希与个人出资金额。
监管警示都发生在平台停运之前
在看任何链上数据之前，公开信息本身的时间顺序就值得留意。越南庆和省公安厅早在 2026 年 5 月 15 日就发布了风险警告，指该模式宣称的收益"通常为每月 10% 至 30%"，并通过多层级的系统佣金与团队业绩奖励鼓励参与者发展新人，认定其存在变相多层营销及庞氏骗局风险。警告说得很直白：这些收益不来自卖咖啡，而依赖后加入者的资金。7 月 13 日，香港证监会把"Fun Coffee GCM 專案"列入可疑投资产品名单，类别登记为其他投资，并把营运方与推广方都记为 Fun Coffee（香港 / 越南），即监管口径已经把两地视作同一实体。
7 月 20 日，App 停止运作。香港警方的刑事调查是在停运之后、自 7 月起陆续接报才启动的。8 月 1 日至 3 日，港澳警方开展代号峻立的联合行动，共拘捕 8 人，其中香港 6 人以串谋诈骗罪被捕，身份包括公司董事、股东、秘书以及负责推广项目和招募投资者的骨干成员，警方冻结约 61 万港元怀疑犯罪得益。
平台的运作手法本身并不复杂。参与者拉亲友进来可以拿到额外奖金，越南警方指出，宣讲会现场就在教怎么拉人以获取系统佣金与团队业绩奖励。收款则全程走加密货币，按香港警方的披露，投资者下载 App 并登记后，客服"會指示他們將虛擬貨幣轉帳至指定的加密貨幣錢包，完成充值後才可以在平台投資"。澳门的模式略有不同，受害者把现金交给门店职员，由职员协助完成充值，投资款最终转到上线指定的加密货币账户，而这个上线还负责以加密货币给门店拨运营资金。澳门门店于 2025 年 11 月开设。
91 个收款地址，最终收敛到同一个地址
这 99 个地址按功能分为四层，各层都不留存资金，如图 1 所示。
图 · Fun Coffee 涉案资金的四层链上结构
第一层是 91 个收款地址。平台对外公布的收款地址始终在换，是一组按批次轮换启用的地址池，每个地址接收 67 至 649 笔入金。这些地址在网络外部收到的 15,272 笔入金里，有 13,903 笔（91%）的付款方是交易所热钱包，也就是散户从自己的交易所账户直接提币过来；单个地址的这项占比介于 78.7% 至 98.2% 之间，没有一个低于 50%，与香港警方公布的作案手法完全吻合。
第二层只有一个地址，第一层收到的全部资金都汇集到这里，入金的 99.99% 来自第一层，出金则全部流向第三层的 4 个中转地址，自己一分不留。这是整个网络唯一的收敛点，也正因为存在这样一个收敛点，我们才能从一名受害者的转账记录出发把整套结构完整拉出来。
第三层是 4 个中转地址，按时间接力使用。中枢向这四个地址拨付资金的区间首尾相接、互不重叠，三次交接都发生在同一日（2026 年 2 月 2 日至 3 日、7 月 1 日、7 月 14 日）。这看起来不像四个并行的角色，更像同一个功能属性的钱包换了三次。第四层是 3 个处置枢纽，第三层出金的 91.1% 收敛到这里，资金在这里按用途分流。其中一个兑付枢纽只在 2026 年 7 月 15 日至 23 日活跃，正好卡在平台停止运作、港澳警方开始接报的窗口，是前一个枢纽停用后接手的最后一个兑付地址。
有两个细节不符合这套整齐的分层，需要一并说明。一是不是所有钱都往下走到第四层，第三层出金的 8.5%（共 6,245,984 USDT）直接从这一层流出了网络；二是不是所有钱都从第一层进来，第三层另有 3,355,420 USDT（302 笔）直接来自网络外部，第四层的两个枢纽还有 1,293,472 USDT，这些资金从没碰过收款地址。
入金九个月单调递增，地址池反而在收缩
图 2 是第一层 91 个收款地址按月入金的规模。九个月里没有一次回落，从 518,213 USDT 一路增至 14,349,354 USDT，末月是首月的 27.7 倍。入金最高的一个月恰好是平台停运的 2026 年 7 月，说明停运前的吸金强度仍处于峰值，平台并不是在资金枯竭后自然停摆的。
图 · 入金九个月单调递增，地址数量却在收缩
更值得看的是地址数量与入金规模的脱钩。2026 年 3 月和 4 月一个新地址都没启用，却是入金加速最快的两个月；到了 7 月只有 11 个地址在活动，处理了 14,349,354 USDT，单地址月均 1,304,487 USDT，是 2025 年 11 月的 83 倍。地址池不是随资金规模逐步扩张的，而是按批次一次性铺开，2025 年 11 月一次启用 33 个、2026 年 5 月一次启用 20 个，其余月份基本不新增，之后靠提高单个地址的承载量来消化增长。首批 33 个地址启用的月份，正好是澳门门店开业的月份。
另有一项数据比总额更能说明变化：笔均金额从 814 USDT 涨到 6,882 USDT，增长了 8.5 倍。不只是参与人数在增加，单次出资额本身也在系统性上升，越到后期单笔押注越大。
钱是还给投资人还是被搬走，看单笔金额就能分开
网络对外一共有三个出口，判断每个出口承担什么功能，我们用的依据是它单笔转出金额的形态。
图 · 三条对外通道的单笔金额形态对比
图 3 中差别最悬殊的是整千金额占比这一项。通道一的转账几乎从不取整，整千金额只占 1.1%，出现频率最高的是 393、448、324 这类带零头的数；通道二和通道三则分别有 86.2% 和 73.4% 是整千，最高频金额是 150,000、5,000、10,000 这样的规整数。这个差别来自金额的产生方式：逐笔兑付用户的提现与派息，金额由本金乘以利率算出，通常带零头；批量转移资金则由人工指定金额，而人工输入的往往是整数。
这只是一般倾向而非定律，平台可以把派息取整，转移方也可以刻意使用非整数金额。但本案数据与该倾向吻合得相当好，再加上通道一是 12,532 笔小额打给 1,428 个地址、通道二是 87 笔大额打给 19 个地址，两者的性质基本可以定下来。
通道一是兑付通道，45,574,708 USDT 拆成小额回流给投资人和团长，其中 86.63% 进了 946 个 Binance 充值地址。通道二和通道三是把钱移出网络，通道二的 19 个下游地址是独立运作的大额枢纽，自身累计入金合计 174,114,070 USDT，本案资金只占其中 12.8%，其余部分的来源我们暂未追溯。
图 · 通道与层级的对应关系
层级和通道并不是一一对应的。图 4 显示，通道一与通道二自第四层流出，通道三却直接从第三层流出，不经过第四层。这处错位说明该团伙并未严格按层级走账，第三层在承担中转职能的同时，还直接对外划转了 6,245,984 USDT。按功能归类，网络对外流出的 72,829,035 USDT 中，经兑付通道流出的为 45,389,827 USDT，经通道二与通道三对外转移的为 27,439,208 USDT，比例约为 62% 与 38%。
链上能单独追踪的那批出资人，多数收回了本金
这一节的结论只适用于链上可单独识别的那部分出资人，范围需要先说清楚。从自己钱包直接打款给收款地址的人，链上能把每一笔都归到具体地址；而通过交易所账户出资的人，付款方是交易所热钱包，一个热钱包背后是成千上万个用户，没办法把某笔出资对应到某个人。剔除属于该网络自身的地址以及出资低于 100 USDT 的尘埃地址后，前一类剩下 175 个。
图 · 自托管出资地址的回收情况
这 175 个地址中有 151 个（86.3%）收到过回款，它们累计出资 6,211,277 USDT、累计收款 7,830,067 USDT，整体回收率 126.1%，其中 110 个（72.8%）的回收率达到或超过 100%，作为一个群体是净赚的；另有 24 个地址出资后分文未回，合计出资 466,630 USDT。图 5 按出资额分档给出了回收率中位数，随出资规模递减。
按首次出资月份分组则看不到随时间下降的趋势，各月回收率中位数在 75.0% 至 183.2% 之间波动，最早参与的 2025 年 11 月那一组是 113.4%。也就是说，早进的赚、晚进的血本无归这个庞氏骗局的典型剧本，在这批样本里并没有出现。
这一现象要回到开头那条时间线来解释。这个资金盘不是因为资金枯竭而停运的，停运当月的募资额是九个月里最高的一个月；真正打断它的是 5 月境外警方的风险警告和 7 月 13 日香港证监会的警示名单。平台随后于 7 月 20 日停运，刑事调查在这之后才启动。一个在资金仍然充裕时被外部因素打断的资金盘，还没有走到停止兑付的阶段。
这同时也解释了一个宣称年化 278% 的项目为什么能撑近一年：早期参与者是真的拿到了钱，他们的经历就成了平台继续吸纳新资金的凭据。香港警方对受害人心理的描述与此同向，指参与者"只見別人投資成功，以及自己投資後能獲得小額回報，便相信計劃真確並放下戒心，進一步加大投資額"。
126.1% 的回收率不能代表全体参与人
这组数据有两重限制，都不能忽略。第一重是覆盖范围。把同一地址的收款额与出资额相比，这个做法只对自托管地址成立，交易所充值地址的持有人其出资在链上表现为热钱包的付款，无从与其收款相比。这 175 个地址合计只接收了兑付通道金额的 12.51%，而占 86.63% 的 946 个 Binance 充值地址完全不在适用范围内；按笔数算，经交易所出资的参与人占第一层入金笔数的 91%。
第二重限制更关键：这批人作为群体是净赚的，这恰好说明链上能单独追踪到的这部分出资人不能代表普通受害人。使用自托管钱包参与这类盘的人往往更活跃、金额更大、进场更早，其中相当比例是团长。这个形态在链上看得很直接，有个地址出资 581 USDT 却累计收款 100,434 USDT，相差 173 倍，另有 100 倍、75 倍的多例。任何基于这一样本对受害人损失作出的推断，都会系统性低估真实损失。
不过对团长这个判断我们也留了余地。拉人抽成的团长与早期获利退出的投资人，在链上都表现为收款远大于自身出资，仅凭这一形态无法区分两者，因此本文没有对任何具体地址下这个结论。同样的道理，我们由入金笔数与兑付通道去向数交叉推算出的 1,650 至 1,950 人，是参与人规模而不是受害人规模，因为兑付通道的收款地址里至少混有普通投资人、团长和无法排除的操作方套现账户三类主体。这个区间还偏向低估，若按普通散户的实际出资频次估计，参与人数可高至 7,000 量级。
本次分析起点所涉的那名受害者恰好提供了一个直接的对照。他的出资全部经交易所账户完成，付款方是交易所热钱包，因此并不在上述 175 个地址之列，而他累计收到的回款只相当于自身出资额的约 3.8%，与自托管样本 126.1% 的整体回收率相差两个数量级。单一个案不构成统计证据，但它的方向与上面那条偏差完全一致：链上看不见的那批人，情况可能比看得见的差得多。
参与人到底损失了多少
损失有三种常见口径，其中只有一种适合参与人用于损失主张。平台账面口径就是 App 里显示的参与金额累计值，它包含账面收益与等级奖励的再投资部分，明显高于参与人实际投入的资金。
链上累计接收口径指收款地址自网络之外累计接收的总额，本次追出 68,170,144 USDT。这是可举证的资金规模，但它不等于损失金额：庞氏结构下同一笔资金会在出资与兑付之间多轮循环，累计接收额必然高于实际净损失，而这笔总额里是否掺有操作方自行注入、用于制造流水的资金，链上无法分辨。第三种是净损失口径，指参与人整体实际损失的金额，这是唯一适合用于损失主张的口径。
图 · 三种损失口径与净损失下界
如图 6 所示，因为这 99 个地址的资金已全部转出、余额清零，存在一个恒等式：参与人总出资 ＝ 返还给参与人的部分 ＋ 操作方抽走的部分 ＋ 网络残留（≈ 0）。也就是说，参与人整体的净损失等于操作方抽走的金额。三条通道里，通道二与通道三的资金离开网络后，进入的是同时汇集大量其他来源资金的大额枢纽与交易所充值地址，形态为大额规整划转，不具备逐笔兑付用户的特征，可以确定为对外转移。通道二真正离开网络的金额为 21,193,224 USDT，通道三为 6,245,984 USDT，合计 27,439,208 USDT，这就是参与人净损失的下界。
上界我们无法确定。上界应为下界再加上通道一流出网络的 45,389,827 USDT 中流向操作方自有套现账户的那一部分，而这取决于 946 个 Binance 充值地址里有多少属于操作方，正是链上无解的那个问题。因此本文只给下界，不给上界，也不作单点估计。
即便是这个下界，也依赖通道三流向的地址确实在网络之外这一前提。与该网络发生过往来的 1,636 个外部地址中，有 160 个是双向往来，既向网络打款也从网络收款。这类形态提示其中一部分在功能上可能本就属于同一操作方，只是没有被纳入本次分析界定的 99 个地址；如果后续核查把它们并进来，通道三的对外流出与净损失下界都需要下修。
链上分析能回答什么，不能回答什么
从一名受害者的转账记录出发，链上交出了整个盘的形状：91 个轮换启用的收款地址、一个唯一的收敛点、4 个接力使用的中转地址、3 个功能可分辨的出口，以及 27,439,208 USDT 可以证明是被搬走而不是还给投资人的资金。
交不出来的是身份。那 946 个持有兑付通道 86.63% 金额的交易所充值地址，就是链上分析的边界所在。一个交易所充值地址对应一个交易所账户，但账户是谁的、这个人有没有也向平台出过资，这些信息不存在于链上，只能通过向交易所调取实名信息并配合其他链下材料来解决。过了这个点，问题就不再是分析问题，而是交易所手里的记录问题，这类案子的下一步只能走到那里。
分析范围：TRON 链 USDT。交易数据截至 2026 年 8 月 24 日，余额查询于 8 月 25 日，公开信源核实于 8 月 25 日。文中百分比除注明地址数者外均按金额计算。链上查不到实体归属的地址统一记为无实体标注，这只表示未查明，不代表已确认为个人钱包。交易所充值地址仅表明资金进入该交易所，不代表交易所涉案。
这次还原由 BlockSec 的 MetaSleuth 资金追踪调查平台完成，地址的实体归属判定来自我们超过 6 亿条的链上地址标签库。同一套能力也支撑着 BlockSec 的 Phalcon Compliance 产品，为交易所、支付机构、虚拟资产服务商以及执法与监管部门提供入金溯源、地址风险评分与交易监控。这类资金盘的链上形态高度相似：轮换启用的收款地址池、单点收敛的归集中枢、按时间接力的中转钱包，以及兑付与转移并行的双线出口。在资金还在网络里流动时识别出这套形态，比崩盘之后再追溯有价值得多。
