“backup-final-2” 这样的文件夹很不起眼，但日期和来源电脑可能说明钱包备份去了哪里。
哪些备份值得搜索？
- 用于完整 PC 或文件历史记录备份的外部 HDD 和 SSD
- 计算机迁移期间使用的 USB 记忆棒
- 复制的 Windows 用户配置文件文件夹
Windows.old操作系统重新安装中的目录- OneDrive、Dropbox、Google 云端硬盘和其他同步文件夹
- 名为备份、旧笔记本电脑、文档、配置文件或加密的 ZIP、7Z 和 RAR 存档
- 导出的浏览器配置文件和应用程序数据文件夹
- 手机照片备份，可能包含恢复说明的屏幕截图
打开文件之前先备份清单
创建一个包含备份名称、大致日期、源计算机、Windows 用户名和存储位置的简单列表。这可以防止重复扫描，并有助于将结果与您使用特定钱包的时间段联系起来。日期很重要：2014 年的笔记本电脑备份与早期的 Bitcoin Core 或 Electrum 使用比与几年后推出的浏览器钱包更相关。
按痕迹类型搜索
钱包数据库文件
搜索 wallet.dat、Electrum 钱包目录、钱包备份以及位于已知钱包应用程序文件夹附近的文件。当保留原始文件夹结构时，通用文件名仍然很重要。
以太坊密钥库
查找包含加密密钥库结构的 JSON 文件，而不是假设每个 JSON 文件都是相关的。 以太坊密钥库指南解释了常见线索以及为什么这些文件仍然需要正确的密码。
助记词和私钥线索
文本文件、密码管理器导出、PDF、文档和屏幕截图可能包含恢复字或私钥材料。这些搜索会产生误报，因此验证和上下文很重要。离线保存可能的秘密，不要将其粘贴到在线工具中。
浏览器钱包存储
即使不存在明显的钱包导出，复制的浏览器配置文件也可以保留扩展存储。保留整个轮廓结构。仅复制一个随机数据库文件可能会删除识别扩展名和配置文件所需的上下文。
小心压缩档案
不要将未知档案直接批量提取到您的主系统上。在具有足够可用空间的受控文件夹中工作，在适当的时候扫描存档中是否存在恶意软件，并保留原始存档不变。受密码保护的档案本身可能是钱包备份；记录他们的姓名和日期，即使您无法立即打开它们。
实用的搜索顺序
- 按日期和设备确定优先级。从您获取或使用加密货币期间的备份开始。
- 保留文件夹结构。应用程序数据路径可以识别钱包类型。
- 运行目标文件名搜索。检查钱包文件、密钥库、导出和钱包特定文件夹。
- 扫描可读备份根。使用本地扫描仪查找加密模式和已知的钱包痕迹。
- 首先查看高可信度潜在客户。不要浪费时间打开数千个不相关的文本和 JSON 文件。
- 记录搜索内容。在移至下一个备份之前记下路径、日期和结果。
扫描多个备份驱动器
拥有许多磁盘的技术人员和用户可以在 CryptoTrace 技术人员工作流程中对最多 10 个唯一的驱动器或文件夹进行排队。每个目标都按顺序运行，这避免了同时攻击多个旧磁盘，最终结果结合了发现、总计、错误和报告。家庭用户可以一次扫描一个目标的相同类型的备份。
所有扫描均保持本地且只读。 CryptoTrace 可以识别可能的钱包痕迹和恢复线索，但它不能保证文件包含资金或绕过忘记的密码。
如何处理有前途的备份
- 复制完整的相关文件夹，而不仅仅是突出显示的文件。
- 保持原始备份不变。
- 记录备份日期、原始计算机和 Windows 用户名。
- 在导入任何内容之前先确定钱包软件和版本。
- 使用干净的环境进行恢复，并为恢复的资金创建一个新的安全钱包。
备份将模糊的搜索变成证据
备份不需要整齐地标记即可有用。它的日期、文件夹结构、浏览器配置文件和附近的文件可以重建您多年前使用加密货币的方式。系统地搜索，保留原文，让每条经过验证的线索缩小下一步的范围。