Uma pasta chamada “backup-final-2” parece pouco importante. A data e o computador de origem podem torná-la uma boa pista.
Quais backups vale a pena pesquisar?
- HDDs e SSDs externos usados para backups completos do PC ou do histórico de arquivos
- Pens USB usados durante uma migração de computador
- Pastas de perfil de usuário do Windows copiadas Diretórios
Windows.oldde uma reinstalação do sistema operacional- OneDrive, Dropbox, Google Drive e outras pastas sincronizadas
- Arquivos ZIP, 7Z e RAR chamados backup, laptop antigo, documentos, perfil ou criptografia
- Perfis de navegador e pastas de dados de aplicativos exportados
- Backups de fotos do telefone que podem conter capturas de tela com instruções de recuperação
Faça um inventário de backup antes de abrir arquivos
Crie uma lista simples com o nome do backup, data aproximada, computador de origem, nome de usuário do Windows e local de armazenamento. Isso evita verificações repetidas e ajuda a conectar uma descoberta ao período em que você usou uma carteira específica. As datas são importantes: um backup de laptop de 2014 é mais relevante para o uso inicial do Bitcoin Core ou Electrum do que para uma carteira de navegador introduzida anos depois.
Pesquisar por tipo de artefato
Arquivos de banco de dados da carteira
Pesquise wallet.dat, diretórios de carteiras Electrum, backups de carteiras e arquivos localizados próximos a pastas conhecidas de aplicativos de carteira. Um nome de arquivo genérico ainda pode ser importante quando sua estrutura de pastas original é preservada.
Keystore Ethereum
Procure arquivos JSON contendo estruturas de armazenamento de chaves criptografadas em vez de presumir que cada arquivo JSON é relevante. O guia do keystore Ethereum explica as pistas comuns e por que esses arquivos ainda exigem a senha correta.
Frase de recuperação e dicas de chave privada
Arquivos de texto, exportações de gerenciadores de senhas, PDFs, documentos e capturas de tela podem conter palavras de recuperação ou material de chave privada. Essas pesquisas criam falsos positivos, portanto a validação e o contexto são importantes. Mantenha possíveis segredos off-line e não os cole em ferramentas on-line.
Armazenamento na carteira do navegador
Um perfil de navegador copiado pode reter o armazenamento de extensões mesmo quando não existe nenhuma exportação óbvia de carteira. Preservar toda a estrutura do perfil. Copiar apenas um arquivo de banco de dados aleatório pode remover o contexto necessário para identificar a extensão e o perfil.
Tenha cuidado com arquivos compactados
Não extraia arquivos desconhecidos em massa diretamente no seu sistema principal. Trabalhe em uma pasta controlada com espaço livre suficiente, verifique se há malware nos arquivos quando apropriado e preserve o arquivo original inalterado. Os arquivos protegidos por senha podem ser backups de carteira; registre seus nomes e datas, mesmo que não consiga abri-los imediatamente.
Uma ordem de pesquisa prática
- Priorize por data e dispositivo. Comece com backups do período em que você adquiriu ou usou criptografia.
- Preservar a estrutura de pastas. Os caminhos de dados do aplicativo podem identificar a família de carteiras.
- Execute pesquisas direcionadas de nomes de arquivos. Verifique arquivos de carteira, armazenamentos de chaves, exportações e pastas específicas de carteira.
- Verifique raízes de backup legíveis. Use um scanner local para encontrar padrões criptográficos e artefatos de carteira conhecidos.
- Analise primeiro leads de alta confiança. Não perca tempo abrindo milhares de arquivos de texto e JSON não relacionados.
- Registre o que foi pesquisado. Anote caminhos, datas e resultados antes de passar para o próximo backup.
Verificando várias unidades de backup
Técnicos e usuários com muitos discos podem enfileirar até 10 unidades ou pastas exclusivas no fluxo de trabalho do CryptoTrace Technician. Cada destino é executado sequencialmente, o que evita sobrecarregar vários discos antigos ao mesmo tempo, e os resultados finais combinam descobertas, totais, erros e relatórios. Os usuários domésticos podem verificar os mesmos tipos de backup, um destino por vez.
Todas as verificações permanecem locais e somente leitura. O CryptoTrace pode identificar prováveis artefatos de carteira e pistas de recuperação, mas não pode garantir que um arquivo contenha fundos ou ignorar uma senha esquecida.
O que fazer com um backup promissor
- Copie toda a pasta relevante, não apenas o arquivo destacado.
- Mantenha o backup original inalterado.
- Documente a data do backup, o computador original e o nome de usuário do Windows.
- Identifique o software e a versão da carteira antes de importar qualquer coisa.
- Use um ambiente limpo para restauração e crie uma nova carteira segura para fundos recuperados.
Backups transformam uma pesquisa vaga em evidência
Um backup não precisa estar bem identificado para ser útil. Sua data, estrutura de pastas, perfil do navegador e arquivos próximos podem reconstruir como você usou a criptografia anos atrás. Pesquise sistematicamente, preserve os originais e deixe que cada pista verificada restrinja o próximo passo.