详解 CryptoTrace 的每项功能
先寻找钱包，再根据证据选择适合的工具。本指南介绍 CryptoTrace 5.1.1 的各项操作、使用步骤，以及结果能够说明和不能证明的事项。
寻找现有钱包和恢复材料
Find wallets 在支持的本地来源中查找钱包文件、私钥模式和 BIP39 助记词。支持的 Electrum 和 Ethereum 容器即使被重命名也可以识别。在配置的结果上限内保留多个不同私钥，并优先选择完整、有效的助记词，而不是与其重叠的片段。
使用方法
- 使用 Quick 检查已知位置，或用 Deep 搜索文件内容。
- 选择电脑、磁盘或文件夹，然后点击 Scan。
- 查看结果及覆盖范围，再决定下一步。
请注意限制： 检测到文件、助记词或公共地址不能证明钱包所有权、访问权限或资金。
控制扫描范围与性能
Quick、Deep、Old drive/folder 和 Browser wallets 面向不同的搜索范围。Technician 还提供取证镜像候选扫描。Advanced 选择来源；Settings 配置排除规则、读取预算及 SSD/NVMe/HDD 性能方案。排除规则也适用于发现的文件名和解析后的链接目标。
使用方法
- 选择适合来源的模式。
- 设置排除规则和磁盘性能方案。
- 要检查当前内容请使用全新扫描；仅在了解影响后启用元数据复用。
请注意限制： 快速复用信任文件大小和时间戳，可能漏掉同时保留这两项的修改。读取限制与跳过项目仍会造成覆盖缺口。
理解结果、恢复线索与报告
结果区分文件名线索、结构识别和经过验证的恢复材料。置信度筛选、搜索和建议步骤帮助您排序处理。Home 与 Technician 显示完整路径、打开位置，并导出 JSON/HTML 元数据报告。Copy Safe Summary 避免复制原始秘密值。
使用方法
- 阅读置信度、验证详情和覆盖信息。
- 打开来源位置并保存私密副本。
- 保存报告或安全摘要。
请注意限制： 置信度和恢复准备状态用于指导调查，并非恢复保证。报告中的路径和元数据也可能涉及隐私。
恢复符合条件的已删除钱包数据
Deleted wallets 在支持的 NTFS 来源中搜索符合条件的已删除钱包文件和恢复材料。默认选择物理磁盘，Advanced 可使用镜像。来源只读，恢复输出必须存到另一块物理磁盘。进度、Stop 和清单记录已完成的工作。
使用方法
- 选择源物理磁盘。
- 在另一块物理磁盘选择私密目标目录。
- 按提示使用管理员权限开始，并阅读清单和警告。
请注意限制： 支持 512 字节逻辑扇区（包括 512e），不支持 4Kn。覆盖、擦除或不完整的数据可能无法恢复。加密保持不变。
恢复对加密钱包备份的访问
Recover access 在本地处理支持的 Bitcoin Core、Ethereum v3、标准 Electrum，以及完整的直接 MetaMask vault。可使用已知密码，或根据自己的提示进行有界搜索。支持的 GPU 任务使用可信 Hashcat 后端，提供 CPU 回退和独立 CPU 验证。受保护会话可继续符合条件的工作。
使用方法
- 选择保留的备份并确认格式支持。
- 输入已知密码，或定义搜索提示和限制。
- 先审查搜索，再开始；仅主动选择显示或导出已验证材料。
请注意限制： 仅支持特定格式变体。耗时取决于加密成本和候选数量；不保证成功或资金。必须获得钱包所有者授权。
检查并比较钱包备份
Check backup 对支持的备份执行只读识别和诊断。Electrum 元数据可区分仅公钥、私钥、加密和外部设备状态。详情显示 SHA-256，付费版本可比较副本。独立的 Recover access 流程提供更广泛的受支持密码恢复。
使用方法
- 选择要检查的备份。
- 阅读密钥材料状态、格式详情与警告。
- 比较另一副本，或进入 Recover access。
请注意限制： 哈希相同只证明字节相同，不证明钱包有效或可恢复。数据库头不能验证钱包记录或密钥。
分享前检查文件
Privacy check 检查选定文件或文件夹中的受支持可读恢复材料、带标签的 API 秘密、密码导出 CSV 和私钥容器。支持的 ZIP 与 DOCX 文本无需解压到磁盘即可检查。报告指出暴露风险，不写入原始秘密值。
使用方法
- 浏览或拖入一个文件或文件夹。
- 运行检查并阅读覆盖详情。
- 自行修改工作副本，然后再次检查。
请注意限制： 不检查加密或嵌套压缩包、图片及 PDF/OCR。空结果不是安全分享证明；应用不会清理文件或撤销凭据。
查找本地交易所账户线索
支持的本地交易所邮件和文档导出可提供注册、购买、充值或提现线索。Accounts 筛选将其与钱包结果区分。证据日期和相关位置帮助调查；应使用应用显示的固定官方网址，而不是旧邮件中的链接。
使用方法
- 将获授权的可读导出纳入范围。
- 在结果中选择 Accounts。
- 通过服务的官方账户恢复流程继续处理。
请注意限制： 不会访问在线邮箱或账户。邮件日期不是经过验证的交易时间；线索不证明所有权或余额。
保存历史并比较扫描
History 保存会话扫描，付费版本还可明确保存本地检查以供重启后读取。比较区分新出现、持续存在和未见到的证据，并保留范围、策略及覆盖警告。已保存记录保留可用的原路径和解析目标，不保存原始秘密令牌。
使用方法
- 使用 Report → Save scan 或 History 保存操作。
- 从历史重新打开记录。
- 与相关来源的另一检查进行比较。
请注意限制： 未见到不证明已删除、已撤销或安全。范围、检测策略或覆盖不同可能导致无法得出结论。
在应用打开时执行定期检查
Home 与 Technician 可对 Privacy check 选定位置安排每日或每周检查。检查保存本地基线并提示需要复查的变化，手动扫描优先。该流程依赖应用运行，不安装 Windows 后台服务或启动任务。
使用方法
- 在 Privacy check 选择文件或文件夹。
- 打开 Repeat checks，选择频率并保存。
- 保持应用打开，查看变化；需要时使用 Stop。
请注意限制： 退出应用后不会检查。重新打开且空闲时可补做错过的检查；排除规则与覆盖限制仍然适用。
组织 Technician 客户工作
Technician 支持最多十个来源的顺序队列、.img/.dd/.raw/.bin 取证候选、命名客户案例与笔记。记录原件保留、备份检查、恢复尝试及交接步骤。HTML 交接报告与密码加密 .ctcase 证据包支持私密传输和审查。
使用方法
- 在 Advanced 添加授权来源及案例编号。
- 输入不含秘密的客户笔记并记录操作。
- 导出交接报告或加密证据包。
请注意限制： 镜像候选扫描不同于 Deleted wallets 恢复。证据包不是钱包备份；笔记中不要输入密码、私钥或助记词。
管理隐私、更新及应用控制
Settings 管理外观、界面语言、扫描选项、排除规则、缓存复用及签名许可证导入。手动更新检查连接 crypto-trace.app，启动检查可选且默认关闭。在 Windows 关闭窗口会先提示再最小化至托盘；Tray → Exit 完成活动任务清理后退出。
使用方法
- 调整 Settings 并查看已披露的网络选项。
- 导入签名许可证或手动检查更新。
- 从托盘重新打开应用，或使用 Exit 退出。
请注意限制： 扫描内容保持本地。Trial 使用遥测会披露；可选 Bitcoin 活动查询经同意发送所选公共地址。更新须手动下载和安装。
经同意查询 Bitcoin 公共活动
Home / Technician · 选中支持的 Bitcoin 公共地址结果后，可在同意后通过可选操作查询 Blockstream。仅发送所选公共地址，不发送钱包文件、密码、私钥或助记词。应把返回的活动作为线索，与本地证据一并判断。
使用方法
- 选择支持的 Bitcoin 公共地址结果。
- 选择活动查询并阅读同意提示。
- 仅在需要外部查询时同意，然后查看响应。
请注意限制： 这是在线查询，不是离线扫描。活动不证明所有权，不恢复钱包，也不保证可花费资金；网络和服务响应可能变化。
选择适合的版本
- Trial
- 扫描与备份检查共用三次使用机会，完整路径隐藏。付费恢复流程需要先激活。
- Home
- 供一人个人使用：无限检查、完整路径、已删除数据恢复、本地访问恢复、报告、已保存比较和定期检查。
- Technician
- 包含 Home，另支持客户电脑上的商业工作、最多十个来源的队列、取证镜像候选、客户案例、交接记录和加密证据包。
仅检查您拥有或已获授权的来源。妥善保护原文件和恢复材料。本地检查不能证明所有权、余额或完整恢复。
比较许可证