没有名为 “Phantom wallet” 的文件并不奇怪。先查浏览器配置，再确认当初创建钱包的方式。
找到这些痕迹很有价值，但将其分开也很重要 钱包的证据 来自可以恢复它的凭据。浏览器配置文件可以确认使用了哪个钱包并保存加密的本地数据。它不会自动显示恢复短语、私钥或可用余额。
Phantom 会在 Windows 电脑上留下哪些痕迹
- 识别 Phantom 已安装在浏览器配置文件中的扩展文件
- 与该配置文件关联的加密扩展存储和浏览器数据库
- 多个浏览器配置文件，包括从旧计算机复制的配置文件
- 笔记、交易记录、屏幕截图或浏览器历史记录中的公共钱包地址
- 存储在磁盘其他位置的恢复说明、密码提示或迁移说明
- 里面有备份
Windows.old、云同步文件夹、ZIP 存档或外部驱动器
Phantom 声明恢复短语和私钥存储在本地加密保管库中。浏览器扩展程序的密码可解锁该设备上的保管库；它不能替代钱包的恢复方法。切勿将复制的浏览器配置文件或可疑的保管库上传到恢复网站。
打开之前先保存浏览器配置文件
请勿首先重新安装 Phantom、清除浏览器数据、重置扩展程序或登录浏览器同步。这些操作可能会改变您正在尝试调查的个人资料。在尝试之前，复制完整的 Windows 用户配置文件，或者在驱动器不稳定时创建磁盘映像。
保留原来的文件夹结构。扩展存储分布在多个浏览器数据库和目录中，因此复制一个看起来有趣的文件可以删除将其与 Phantom 和正确的浏览器配置文件关联所需的上下文。
在哪里查找 Phantom 痕迹
- 盘点每个 Windows 用户。 检查下面的所有文件夹
Users，包括旧帐户、重命名帐户和迁移帐户。 - 识别每个浏览器配置文件。 Chrome、Edge、Brave、Firefox 和其他基于 Chromium 的浏览器都可以包含多个配置文件。
- 保留扩展存储目录。 查找扩展设置、本地存储、IndexedDB 和配置文件数据库而不更改它们。
- 搜索备份以及实时配置文件。 检查
Windows.old、复制的 AppData 文件夹、云存储、外部磁盘和压缩档案。 - 搜索支持文件。 包含“Phantom”、“Solana”、公共地址、恢复措辞或密码提示的注释可以解释哪个配置文件很重要。
确认原始的恢复方式
先确认使用的是恢复词、导入私钥、硬件钱包，还是 Google/Apple 登录。社交登录仅在原设置使用 PIN 时需要该 PIN。恢复应用本身并不等于恢复钱包访问。
把浏览器密码与原始配置对应起来，其作用取决于恢复方式和保留的数据。公开地址可以用于调查账户，但本身不能证明有过活动或授权支出，需要另查交易记录。
安全恢复 Phantom 的操作流程
- 至少制作两份相关浏览器配置文件的副本，并记录其原始路径。
- 使用干净、可信的 Windows 环境处理副本。
- 在尝试访问之前，请确认浏览器、配置文件名称和 Phantom 安装。
- 收集可能的分机密码、恢复说明以及当时使用的 Google 或 Apple 帐户。
- 如果访问恢复，请在移动任何内容之前验证公共地址。
- 如果旧的配置文件或计算机可能已暴露，请将恢复的资产转移到新安全的钱包中。
Phantom 支持不会要求您提供秘密恢复短语或私钥。任何请求任一凭证的人都可以控制钱包。
CryptoTrace 如何协助查找 Phantom
CryptoTrace 可以扫描旧的 Windows 配置文件、安装的驱动器和本地备份，以查找浏览器钱包存储、公共地址、私钥模式、候选助记词和相关工件。结果被分组为排名恢复线索，以便更容易将可能的Phantom配置文件与不相关的浏览器数据库区分开来。
扫描保持只读和本地状态。 CryptoTrace 不会绕过 Phantom 加密、恢复丢失的短语或保证访问。它的作用是查找和组织合法恢复尝试所需的证据，同时将敏感文件置于您的控制之下。
切实可行的下一步
如果旧电脑可能包含 Phantom，请在更改任何内容之前保留其浏览器配置文件。搜索每个用户帐户和备份，确定钱包的最初创建方式，并将任何可能的恢复凭据视为高度敏感。仔细的配置文件级别搜索可以将“我在某处使用过 Phantom”转变为特定的、可测试的恢复路径。
接下来可阅读 MetaMask 痕迹查找指南和助记词备份查找指南。