帮助和用户指南

CryptoTrace 5.1.1：选择工作区

1. 查找钱包：选择类型与位置，然后扫描。高级保留自定义路径、技术人员队列和案件。账户显示本地注册、充值、提现或购买线索；邮件日期不是已验证交易时间。使用下一步显示的固定官方网站，不要点击旧邮件中的链接。

2. 检查备份：只读检查一个文件，最多 64 MiB；JSON 元数据最多 2 MiB。Electrum 可区分公开、私密、加密和硬件状态。详情提供 SHA-256 与付费副本比较。数据库头不验证 Core 钱包、完整性或可恢复密钥。

3. 已知密码仅用于参数受限且支持的 Ethereum v3 PBKDF2-HMAC-SHA256/AES-128-CTR。验证 MAC，在内存打开密钥内容，不显示或保存，并清空输入框。未验证钱包身份、资金或完整恢复。不支持 Scrypt、Electrum/Core 密码。

4. 隐私检查：拖入一个文件或文件夹，或浏览 → 文件/文件夹，然后检查。读取 ZIP/DOCX 文本，不解压到磁盘。可标记恢复材料、带标签 API 秘密、密码 CSV 和私钥容器，不显示值。请自行修正工作副本后复查。

5. 历史：报告 → 保存扫描或历史 → 保存扫描，可用付费许可在关闭后保留元数据。保留 20 个未保存会话扫描，并显示最新 100 个保存记录，不删除更早文件。比较显示新增、仍存在和未检出，附范围及覆盖警告。未检出不证明删除、撤销或安全擦除。

6. 定期检查（Home/技术人员）：在隐私检查选择来源，展开定期检查，每天/每周并保存。关闭 → 保存可停用；停止扫描可中断。仅应用打开时运行，保留本地比较基线。手动扫描优先。不安装 Windows 任务、服务或自动启动。

7. 技术人员：高级 → 案件编号 → 备注，记录客户、报告编制者和恢复/交接步骤。新案件随下次扫描保存，已有案件立即保存。HTML 报告包含交接记录。不要在备注输入秘密。十来源队列、命名案件、取证候选和加密 .ctcase 仍可用。

8. 限制：账户仅支持本地文本/EML/MBOX/HTML/CSV/JSON/Markdown 导出，不支持在线邮箱、PST/OST、MIME/base64 或浏览器原生历史数据库。不检查嵌套/加密压缩文件、图片、PDF/OCR 和其他不支持格式。不修改、上传、清理或安全擦除原件。请查看扫描详情。

搜索已删除的钱包资料

Deleted wallets（Home/Technician）：选择源硬盘和另一块物理硬盘上的私密文件夹。Scan → Continue as administrator 保留选择，然后点击 Scan。默认直接读取物理硬盘；Advanced 可选 NTFS/MBR 镜像。支持 512 字节逻辑扇区，包括 512e；不支持 4Kn。重建符合条件的已删除文件，并在未分配空间查找支持的 Ethereum/Electrum JSON、英文 BIP39 助记词和 Bitcoin WIF 密钥。已重用、覆盖、擦除、不完整或不支持的数据可能无法恢复。保留加密，不验证密码、钱包身份、完整还原或资金。结果可能含秘密，请私密保存。Stop 保留完整文件和取消报告。阅读覆盖范围警告。Trial 必须先激活才能恢复。

支持的加密货币和钱包

CryptoTrace 目前会查找钱包文件、钱包文件夹、地址、私钥跟踪、浏览器扩展存储和助记词备份：

• 比特币家族：比特币、莱特币、狗狗币、达世币、Zcash、比特币现金、Electrum、Sparrow、Wasabi、Ledger Live 和 Trezor Suite 痕迹。
• 以太坊和 EVM 链：以太坊、币安智能链、Polygon、Arbitrum、Optimism、Avalanche、MetaMask、Coinbase 钱包、Rabby 和 OKX 钱包痕迹。
• 其他主要链：Monero、XRP/Ripple、Cardano、Solana、Tron、Polkadot 和 Kusama。
• 多币种钱包：Exodus 和 Atomic 钱包。
• 浏览器钱包：MetaMask、Phantom、TronLink、Coinbase Wallet、Rabby、OKX Wallet、Nami、Yoroi、Eternl 和 Keplr 式扩展存储路径（浏览器配置文件支持）。
• 读取支持的 NTFS 硬盘，将符合条件的文件、助记词或密钥保存到另一块物理硬盘。适用于 Home 和 Technician；不保证恢复成功或存在资金。

钱包文件还在，但密码忘了，或者记不准。Recover access 使用保留的副本工作。你可以尝试记得的密码，也可以根据自己的线索和可能用过的变体，设定有范围限制的搜索。 计算在本机进行。支持 Bitcoin Core legacy/descriptor、Ethereum v3 PBKDF2/scrypt、标准 Electrum 加密 JSON/BIE1，以及完整的直接 MetaMask vault。符合条件的任务可使用可信的 Hashcat GPU 后端，并提供 CPU 后备和独立 CPU 验证。受保护会话可用于继续符合条件的任务。 需要 Home/Technician。并非所有格式变体都支持。大范围搜索可能耗时很久且一无所获。仅处理你有权打开的钱包。

隐私说明

扫描是本地且只读的。试用版可能会发送最少的应用程序使用分析（匿名安装 ID、应用程序版本、操作系统、时间戳），但不会上传扫描内容、钱包内容、助记词、私钥和文件路径。

快速启动

• 选择扫描模式：快速、深度、旧驱动器/文件夹或浏览器扩展程序。
• 可以选择自定义路径来扫描一个文件夹或导出的浏览器配置文件。
• 按开始扫描。 Turbo 管道使用单独的工作人员扫描文件夹和文件。
• 首先审核排序的恢复线索，然后信心十足地检查原始结果。
• 专业版用户可以显示完整的恢复路径、导出 JSON、保存 HTML 恢复报告、复制安全摘要或打开文件位置。

扫描模式

• 快速：检查已知钱包位置和常用用户文件夹。
• 深度：通过智能排除更广泛地扫描 Windows 系统。
• 旧驱动器/文件夹：在未设置自定义路径时扫描选定的文件夹或附加的可移动/非系统驱动器。
• 浏览器扩展程序：扫描检测到的浏览器钱包存储文件夹或选定的浏览器配置文件。

恢复线索

• CryptoTrace 将相关痕迹分组为评分恢复机会。
• 每条线索都包含可能的钱包家族、信心、证据数量和下一步行动。
• 试用显示隐藏路径的线索； Pro 显示确切的恢复位置。

隐私和许可

• 不会上传扫描内容、钱包内容、助记词、私钥和文件路径。
• 试用分析可能会发送匿名安装 ID、应用版本、操作系统和时间戳。
• Pro 使用由应用在本地验证的签名 .lic 文件。
• 复制安全摘要不包括路径、种子、私钥和完整令牌。

还卡住了吗？电子邮件hello@crypto-trace.app。

应用更新

从 CryptoTrace 4.2.1 起，更新检查功能会在本地将已安装版本与公开发布信息进行比较。启动检查为可选功能，默认关闭；启用后每次打开应用会检查一次。

手动检查以及启用后的启动检查会通过 HTTPS 连接 crypto-trace.app。托管服务提供商会收到您的 IP 地址和请求元数据。不会发送安装 ID、许可证、本地路径或扫描内容。下载和安装均需手动完成。

关闭到系统托盘

使用 v3.7 恢复工具

理解验证、恢复就绪度和覆盖范围

1. 运行合适的扫描，并先查看恢复线索。Bitcoin Core 系列的 Berkeley DB 和 SQLite 钱包、Ethereum 密钥库以及 Electrum 容器现在可以进行结构验证。
2. 阅读就绪度标签、说明和下一步操作。通过验证的容器是更有力的证据，但仍可能需要原始密码或恢复方式。
3. 检查“扫描覆盖范围”。“已完成但存在覆盖缺口”表示部分文件无法读取或只检查了一部分，不能据此认定不存在钱包。

恢复中断或重复的扫描

1. 在“设置”中保持“重复扫描时复用未更改文件”开启；该选项默认启用。
2. 取消或中断扫描后，选择相同模式和目标并重新开始。CryptoTrace 会复用未更改文件的已完成工作，并重新扫描已更改文件。
3. 在覆盖面板确认“已恢复”和复用文件数量。需要全新基线时，可在“设置”中使用“清除重复扫描缓存”。

创建并导出技术人员案例

1. 使用 Technician 许可证时，在扫描前输入客户或案例编号。使用 + 按钮可将最多 10 个不同驱动器或文件夹加入顺序扫描队列。
2. 扫描后，不含秘密信息的本地快照会出现在“最近案例”中。选择它并点击“打开”即可稍后查看。
3. 选择“加密案例”导出 .ctcase 包。密码至少需要 10 个字符，并应单独保存；CryptoTrace 无法恢复该密码。

扫描取证磁盘映像

1. 使用 Technician 许可证，选择“取证磁盘映像扫描”，点击“浏览”，然后选择一个 .img、.dd、.raw 或 .bin 映像。
2. 开始扫描。CryptoTrace 使用磁盘安全配置，以只读方式搜索受支持的钱包签名。
3. 将提取出的签名视为候选证据，而不是已重建的钱包文件。请保留原始映像，并根据报告的偏移位置和下一步操作继续调查。

检查 Bitcoin 公开活动

1. 在 Pro 结果中找到符合条件的 Bitcoin 公共地址，然后选择“检查公开活动”。
2. 查看同意对话框。确认后，仅该公共地址会发送到 Blockstream 的 Esplora 服务；钱包文件、助记词、私钥和本地路径不会发送。
3. 交易数量和余额仅用于确定优先级。公开活动不能证明你控制该钱包。

在 Windows 上，点击 X 会先显示说明，然后将 CryptoTrace 最小化到系统托盘。勾选“不再显示此消息”可记住选择，也可在“设置”中重新启用提示。应用运行时扫描可继续进行。点击托盘图标可重新打开应用，或在其菜单中选择“退出”以安全关闭。