2026-09-25 05:00:23 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本文详细解析了美亚杯虚拟货币专题，包括五届77道币题的拆解，涵盖了钱包、助记词、合约地址、链上资金流等概念，并提供了官方工具和重复考点的分析。文章还介绍了区块链、私钥、公钥、地址、助记词等基本概念，并分析了不同类型钱包和交易所的特点。 综合评分： 85 文章分类： 渗透测试,代码审计,应急响应,漏洞分析,威胁情报

2026年“美亚杯”虚拟货币专题

原创

小谢小谢

小谢取证

2026年9月23日 17:40 宁夏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

AI 取证实战 · 第 16 期

美亚杯虚拟货币专题：五届 77 道币题全拆解

先讲清概念，再按届拆题——钱包、助记词、合约地址、链上资金流，以及美亚官方工具与五届重复考点

这是一篇专题长文，建议收藏后按章节看：第二章是零基础概念（含形象类比），第三至七章按届拆解题思路，第八章盘工具，第九至十一章给你重复考点、易错点和一张能力自测表。全文所有题目都标了届次＋题号，可直接回原题解核对。

美亚杯办到第十一届，有一类考点一直在，而且越来越重：虚拟货币。它不像手机取证那样占大头，却几乎每年都出现，并且从“问你这是什么币”，一路进化到“钱从哪来、到哪去、最后躺在谁的地址里”。

我把 2021—2025 五届个人赛（资格赛）与团体赛的公开题解逐题过了一遍，凡是与虚拟货币、区块链、加密资产相关的题目全部挑出来——一共 77 道。这篇文章就做三件事：先讲清楚概念，再把 77 道题按届拆开讲思路，最后把重复考法和易错点汇总成一张表。

i 这篇的统计口径

只统计题解里与虚拟货币／区块链技术直接相关的题：币种识别、钱包与地址、私钥/助记词、合约地址、链上交易、NFT、挖矿。像“勒索信要求支付比特币”这种只出现币名但考点在别处的题，我会注明但不算进这 77 道。每一题都标了届次和题号，你可以直接拿去对题解原文。

题解来源是西电 XD Forensics Wiki 的公开发布（2021—2025 五届个人赛＋团体赛共 10 篇），需要原文的话文末资源清单里有路径。

一、五届 77 道币题：一张表看清演化方向

先看总量分布。这张表是按“题解分节标题 ∪ 题干点名 ∪ 选项里出现的地址/文件名”三处同时核过的，不是按题解小节猜的。

| 届次 | 个人赛（资格赛） | 团体赛 | 小计 | 当年的考点焦点 | | — | — | — | — | — | | 2021 第七届 | 2 题 Q34、Q35 | 4 题 Q7、Q69、Q70、Q72 | 6 | 比特币赎金识别；HIVE OS 矿机取证（挖什么币／几张显卡／收款钱包地址） | | 2022 第八届 | 2 题 Q42、Q43 | — | 2 | 用哪种币付 VPN 费；钱包名称成为证物（本专题最小的一届） | | 2023 第九届 | 0 题 | 25 题 Q94—Q118 （+挖矿 3 题） | 28 | 赛道分工明确：个人赛完全没有币题，团体赛单设“加密货币部分”，考 NFT／合约地址／BIP-44 派生 | | 2024 第十届 | 15 题 Q16、Q38、Q56—Q58、 Q91—Q100 | 8 题 Q7、Q20—Q26 | 23 | MetaMask 手机端取证（3 题）；IDFC 代币资金流全链路追踪（个人赛＋团体赛连打） | | 2025 第十一届 | 8 题 Q22、Q69、Q92—Q97 | 10 题 Q17—Q25、Q36 | 18 | IQ Coin：二维码→钱包地址→压缩包密码；BscScan 交易截图／CSV 的离线分析 | | 合计 | 27 题 | 50 题 | 77 | 币题在团体赛的比重远高于个人赛 |

✓ 读表先记一个结论

虚拟货币题在资格赛里是“送分题＋理解题”，在团体赛里是“主线剧情”。资格赛问你“这个钱包有几个账号”“这笔转账什么时候发的”；团体赛直接让你把一整条洗钱链路的资金流向画出来。想拿团体赛的分，必须先把资格赛的币题练到不需要思考。

1.1 三条演化线

把五届的题按时间排开，会发现它沿着三条线同时升级。

一句话概括这条线：从“认得出币”，到“看得懂钱包”，到“算得出地址”，最后到“追得动资金流”。2024、2025 两届已经把这条路走完了，2026 大概率是在同一条路上加码，而不是换方向。

1.2 为什么值得单独练这一个专题

性价比极高。

币题的知识点是有限的几组（地址/私钥/助记词、链与代币标准、链浏览器、时间换算），练一次能用三届；不像手机取证要记几十个 App 的数据库名。
它经常和别的模块交叉。

2024 个人赛的币题答案要从聊天记录里找（IDFC 的助记词是 Clara 拍照发给 Emma 的）；2025 个人赛的钱包地址藏在 PDF 的白色文字里、藏在二维码里。币题往往是“交叉印证”的落点。
它最容易在细节上翻车。

手续费不足还是地址错误？UTC 还是东八区？同一句助记词派生出来的四个地址里，哪个才是被盗的那个？这些坑不练就是不会。

二、先补齐概念：用最土的话讲一遍

下面这段是给“完全没碰过币”的人看的。如果你已经做过钱包取证，可以跳到第三章。

但建议还是扫一眼——美亚杯的币题里，很多错误不是工具不会用，而是概念搞混了。

2.1 区块链：一本全村共用的账本

把一个村的账本复印很多份，发给全村每个人。谁家转给谁多少钱，都要在账本上写一行，所有人都能看到这一行；写完就擦不掉，因为别人的复印件上也有。

这就是区块链。它最大的取证价值不是“匿名”，恰恰是“公开且不可篡改”——涉案钱包的每一笔转账，都在链上公开躺着，谁都能查（区别只在于你能不能把地址和人对上号）。美亚杯里之所以敢出“这笔钱最后到了哪个地址”的题，就是因为这份账本查得到。

2.2 私钥、公钥、地址：钥匙、信箱、门牌号

三者是单向的关系：私钥 →（算出）公钥 →（算出）地址。反过来，拿到地址算不出公钥，拿到公钥算不出私钥。所以办案里“只拿到一个地址”是干不了什么的，能证明身份的是私钥或助记词——2024 个人赛 Q92 问“Emma 用什么方法盗走 IDFC”，答案就是“盗取了回复匙（助记词）”，而不是地址。

2.3 助记词：为什么一句话能变出无数个地址

助记词不加密钱包，它直接等于私钥的种子。钱包拿这串词，按固定算法一层层推导，就能生成任意多个私钥，每个私钥对应一个地址。这套推导路径叫 BIP-44，长得像 m/44'/60'/0'/0/0。

这一句话解释了两个考点的由来：

“哪些地址是由同一句恢复短语生成的？”

（2024 个人赛 Q97、Q100）——同一句助记词派生出的一串地址，都是同一个人的。
“以太坊的 m/44’/60’/0’/0/0 和波场的 m/44’/195’/0’/0/2 分别是什么？”

（2023 团体赛 Q117、Q118）——同一个助记词，换一条链、换一个序号，出来的是完全不同的地址和私钥。路径里的数字有讲究：60 是以太坊、195 是波场。

! 这里是最常见的失分点

同一句助记词 → 不同链 → 不同地址。考生常犯的错是“把助记词恢复出来的第一个以太坊地址，当成波场地址交上去”。做题时先把题目问的链和路径抄在草稿纸上，再动手派生。

2.4 钱包与交易所：钱到底存在哪里

“钱包”这个名字极具误导性——它不装钱，它装的是私钥／助记词，钱始终在链上。

| 类型 | 是什么 | 取证价值 | | — | — | — | | 热钱包 | 联网的软件钱包，如手机的 MetaMask、imToken、TokenPocket | 本地会留下 App 数据：账号列表、收发记录、时间戳。2024 个人赛的核心检材就是它 | | 冷钱包 | 不联网的硬件钱包或纸钱包 | 几乎没有数字痕迹，通常只能从别处找助记词／地址 | | 中心化交易所 | 币安、OKX 等 | 链上是“交易所的地址”，需要调证才能对到人。注册信息可能留在手机／邮箱里 |

还有一个常被问到的点：MetaMask 是浏览器插件＋手机 App 两端都在的热钱包，手机端的数据存在 persist-root 目录下，是个 JSON，里面能找到账号地址列表。2024 个人赛 Q56 问“钱包里有多少个账号”，答案 4 个，就是在这份 JSON 里数出来的。

2.5 Gas：转账的邮费，也是题目里的坑

在链上转账要付手续费，叫 Gas。Gas 不够，交易就发不出去。2024 个人赛 Q58 问“David 三次发送虚拟货币失败的原因”，选项里有“网络连接问题、权限被拒、接收地址错误、手续费不足”，正确答案是手续费不足。你只要知道 Gas 是什么，这题就是送分。

2.6 代币标准与“链”：地址长得一样，不一定是一条链

这是美亚杯最爱考的概念，没有之一。地址格式相同 ≠ 同一条链；代币名字相同 ≠ 同一个东西。

! 地址撞脸陷阱

以太坊、BNB Chain、Polygon 的地址都是 0x 开头、长度一致。同一个 0x… 字符串在三条链上都能查到记录，但那是三份完全不同的账本。题目问“这个合约在哪条链上”，唯一可靠的办法是逐个链浏览器去查，看哪条链上有交易记录。2023 团体赛 Q101 就是标准考法：四个选项三条链，答案以太坊——因为只有在以太坊查到了该合约的交易记录。

2.7 NFT 与 Opensea：链上的“数字藏品柜台”

NFT 可以理解成链上的一张带编号的凭证，Opensea 是买卖它的市场。2023 团体赛单开了一块“加密货币部分”，前几题全在 NFT 上：在哪条链铸造的（Polygon）、Collection ID 是多少、卖出了几个、买家的地址和交易哈希是什么。对取证人的意义是：你在嫌疑人电脑的浏览器记录里，能还原出他在 Opensea 上做过什么。

2.8 案情里的两个“假币”

美亚杯有两届用了虚构代币当剧情主线，别去网上搜它们——搜不到。

| 代币 | 届次 | 设定 | 链与标准 | | — | — | — | — | | IDFC International Digital Forensics Coin | 2024 第十届个人赛＋团体赛 | 面值 1 IDFC = 1 HKD；被窃 90,000；团体赛里演变成洗钱链路的记账单位 | Token 地址 0x56E7A6dd…b7b， Binance Smart Chain | | IQ Coin | 2025 第十一届个人赛＋团体赛 | “Pure Growth Fund”投资骗局；单笔转账 10 亿枚；钱包余额 97 亿枚 | BEP-20，BNB Smart Chain |

i 顺便记住两件事

① BEP-20 是以太坊 ERC-20 的“同门兄弟”，只是跑在 BNB Chain 上，转账记录要去 BscScan 看；② 2025 个人赛 Q93 问“这个钱包属于哪一种加密货币”，答案是 BNB——因为截图里能看到智能合约在 BNB 链上。这类题考的正是“链归属”。

2.9 概念速查表（建议考前扫一遍）

三、2021（第七届）：矿机与赎金，币还很“物理”

第一届有币题的年份，虚拟货币在检材里还是“看得见摸得着”的东西：一张写着地址的桌面图片、一台插着两张显卡的矿机、一个写在配置文件里的收款地址。

| 赛道 | 题号 | 问什么 | 答案 | 数据在哪 | | — | — | — | — | — | | 个人赛 | Q34 | WhatsApp 对话里提到 “BTC 係唔係呢个啊”，关于这段对话的正确描述 | 题解未标答案 | iPhone 的 WhatsApp 聊天记录（回到上下文看） | | 个人赛 | Q35 | 阿力士要求工地主管支付多少个 BTC | 10 个 | 同上一题的聊天截图 | | 团体赛 | Q7 | 工地职员 A 的计算机被加密后，被要求存入什么虚拟货币 | 比特币 | 桌面上的 BTCaddress.bmp | | 团体赛 | Q69 | 矿机上没有进行哪种加密货币挖矿 | 题解备注“白给” | 矿机系统配置（实际配置为 ETH） | | 团体赛 | Q70 | 矿机有几张显示适配器在挖矿 | 2 张 | PhoenixMiner 日志里的 “Available GPUs for mining” | | 团体赛 | Q72 | 哪个不是收取挖矿收益的钱包地址 | 题解未标答案 | HIVE/wallet.conf 的 WALLET 字段 |

3.1 关键题思路：挖矿收益地址藏在哪

2021 团体赛的矿机检材是一台跑 HIVE OS 的挖矿机（镜像 HIVE OS.E01）。这类机器的取证关键就三步：找挖矿程序配置 → 找日志 → 找钱包地址。

路径一：挖矿程序清单（HIVE OS.E01/分区7） hive/miners/phoenixminer/h-manifest.conf # 其中可见（节选） MINER_NAME=phoenixminer MINER_LATEST_VER=5.7b MINER_LOG_BASENAME=/var/log/miner/$MINER_NAME/$MINER_NAME # 路径二：矿机钱包与矿池配置 HIVE OS.E01/HIVE/wallet.conf ### FLIGHT SHEET “1stFlight” ### # Miner phoenixminer PHOENIXMINER_URL=”POOL: eth.gpumine.org:3333, \ WALLET: 0xE365625f402537151304ceba7C7D9dF0C7E82986.ETH-Player, PSW: x” META='{“phoenixminer”:{“coin”:”ETH”}}’

看懂这两段，两道题就都有答案了：wallet.conf 里的 WALLET 就是收矿收益的地址（Q72 让你从一堆长得极像的地址里挑出“不是”的那个，办法就是拿配置文件里的真地址去比）；PhoenixMiner 的日志里会列出可用的显卡（Q70 的答案就是日志中 “Available GPUs for mining” 下面的两条：GeForce RTX 3060 与 Quadro P2000，共 2 张）。

✓ 这一届告诉你的方法论

虚拟货币题的第一落点永远是“配置文件与日志”。矿机、钱包客户端、交易所客户端、浏览器插件，都会在本地留下配置或缓存；先找配置文件里的地址字段（wallet、address、account），再拿日志／记录去佐证。这套思路在 2023（wallet.conf 变浏览器记录）和 2024（变 App 本地 JSON）里反复出现，只是载体换了。

3.2 一个容易看错的细节

2021 团体赛里“勒索要比特币”和“矿机挖以太坊”是并存的——矿机配置显示 PhoenixMiner 接的是 eth.gpumine.org:3333 的 ETH 池。所以做题时不要看到“案情里提比特币”就默认矿机挖的是 BTC，必须落到配置文件里看 coin 字段。这也是 Q69 的考点所在。

四、2022（第八届）：钱包第一次成为“证物”

这一届币题只有 2 道，但性质变了——不再是“辨认赎金币种”，而是从检材里定位一个人用过的钱包。

| 赛道 | 题号 | 问什么 | 答案 | 解法 | | — | — | — | — | — | | 个人赛 | Q42 | 林浚熙用哪种加密货币支付虚拟专用网络（VPN）软件 | BITCOIN | 顺着支付方式／订阅记录找币种 | | 个人赛 | Q43 | 林浚熙的加密货币钱包名称 | tellaw_ieh | 在钱包客户端的数据里读钱包名（钱包名是本地配置，不是链上数据） |

这两题合起来说明一件事：钱包有“链上身份”和“本地身份”两套。链上身份是地址（0x…），本地身份是钱包名、备注、账号别名。取证时两者都要捞：地址用来追钱，钱包名用来印证“这个钱包确实属于这个人”。

i 别被标题骗了

这一届团体赛有一道题看起来跟币有关：WordPress 网站上一篇标题叫“比特币”的文章，有哪个邮箱留过评论。但它的考点其实是 WordPress 数据库关联查询（wp_posts 与 wp_comments 表），跟虚拟货币技术没有关系。统计币题时这类题要剔除——这也是我在开篇写“只统计技术相关题”的原因。

五、2023（第九届）：NFT、合约地址与 BIP-44 派生

这一年出现了五届中最明显的赛道分工：个人赛（资格赛）100 题里一道币题都没有；而团体赛直接单设了一个“加密货币部分”。题解里写得很清楚：“加密货币部分，参考 benckwindow10.e01 及附加检材回答以下题目，本部分涉及题目为 94-118。”

i 这是本专题唯一一次被出题人“明示”的显式分块

25 道题连号排布（Q94—Q118），前后还夹着恶意程序里的挖矿考点（Q130、Q132、Q133）。换言之，2023 的团体赛把虚拟货币当成了一个独立的取证场景在考。

5.1 加密货币部分全景表（Q94—Q118）

| 题号 | 考什么 | 要点／答案 | | — | — | — | | Q94 | NFT 用哪条链铸造 | Polygon PoS Chain （提示：Matic 是它的前身） | | Q95 | NFT 的 Collection ID | 题解未标答案，给的是查询方法（Opensea 的 collection 页） | | Q96 | 该 Collection 卖出几个 NFT | 2 个 | | Q97 | 购买 NFT 的加密货币地址 | 题解未标答案（在 Opensea／链上找买家地址） | | Q98 | 购买 NFT 的交易哈希 | 题解未标答案（四选一，全是 0x 开头的 66 位哈希） | | Q99 | 铸造该 NFT 的地址 | 题解未标答案（找 mint 的那笔交易） | | Q100 | 该地址还铸造过什么 | 以上皆是 ：Uniswap V3 BHB-WETH 池、合约 0xa071e23f…、Token ID 561068 | | Q101 | 合约 0xa071e23f…7575 在哪条链 | Ethereum ——判据是“只有以太坊查到了交易记录” | | Q102 | 该合约的币名与简写 | Binince (BHB) （注意选项里故意混进了 Binance/Bihaibi 这类近似拼写） | | Q103 | 该合约的创建时间 | 2023-09-06 16:58:11 | | Q104 | 该合约总铸造量 | 题解未标答案（四选一：1 万／1 亿／3 亿／5 亿） | | Q105 | 第一个持有该合约的地址 | 题解未标答案 | | Q106 | 铸造该合约的交易哈希 | 题解未标答案 | | Q107/Q108 | 由铸造时间反推电脑里的文件 | 题解自述“此题存疑” | | Q109 | 哪个 DEX 能兑换该合约 | 题解未标答案（选项：PancakeSwap／Uniswap／ShibaSwap／1inch） | | Q110 | 该合约在 2023-09-07 15:11 的美元价格 | 题解备注“正确价格应为 0.01647”，与四个选项均不符 | | Q111 | 持有 5,000 万枚该合约的地址 | 题解未标答案（用持仓排行找） | | Q112/Q113 | 浏览器里的 remix.ethereum.org 是什么 | 以太坊官方在线 IDE ，可编写、测试、部署智能合约 | | Q114 | 哪个扩展名与“创建加密货币”有关 | .sol （Solidity 智能合约源码） | | Q115 | 恢复种子相关文件的两个扩展名 | png + txt ：壁纸上写着 12 个语义不通的汉字，Documents 里的 txt 是英文单词↔中文汉字对照表 | | Q117 | 按恢复种子算出以太坊 m/44’/60’/0’/0/0 的公钥 | 用工具做 BIP-39→BIP-44 派生 | | Q118 | 按恢复种子算出波场 m/44’/195’/0’/0/2 的私钥 | 同一条助记词，换链换路径 → 完全不同的私钥 |

5.2 三条技术线，逐个说清

技术线一：NFT 与 Opensea（Q94—Q100）

这一组的解题动作非常“网页取证”：从嫌疑人电脑的浏览器记录／缓存里，还原他在 Opensea 上做过什么——在哪条链铸造、Collection 是什么、卖了几件、买家是谁、交易哈希是什么。

Q94 的判据是链名。

选项里 Ethereum、Polygon PoS Chain、Arbitrum、Base 都是真实存在的链，而题解给了一句关键提示：“Matic 是 Polygon PoS Chain 的前身”——这是标准答案的线索来源。
Q100 是典型的“顺着地址往下挖”。

一个地址在 Opensea 上不仅铸造过带 Collection 的 NFT，还参与过 Uniswap V3 的 BHB-WETH 流动性池、持有一个无 Collection 的 Token（Token ID 561068）。答案是“以上皆是”，意思是：拿到一个地址，要把它的链上活动全部铺开看。

技术线二：合约地址识别（Q101—Q111）

这是整套题里最“标准化”的一块，考的就是链浏览器用得熟不熟。步骤固定：

把合约地址粘进链浏览器 → 看有没有交易记录 → 有记录的那条链就是答案（Q101 答案以太坊）；
在同一条链上读合约的 Token Name / Symbol（Q102 答案 Binince/BHB）；
读合约的 创建交易，拿到创建时间与铸造总量（Q103、Q104）；
读 Holders 持仓榜，找第一个持有人、找持有 5,000 万枚的地址（Q105、Q111）；
读 交易明细，拿铸造交易哈希（Q106）；
读 DEX 交易对，看哪个去中心化交易所支持它（Q109）；
读 历史价格（Q110，注意题解自己都标了答案与选项对不上）。

! Q102 是本块最“脏”的题

选项写成 Binance (BNB) / Bihaibi (BHB) / BHB(BHB) / Binince (BHB)——把知名交易所名、近似拼写、真名混在一起。考的不是知识，是你愿不愿意回链上核对一次。考场上一眼扫过去就选会吃大亏。

技术线三：恢复种子 → BIP-44 派生（Q115—Q118）

这是 2023 团体赛最漂亮的一组题，也是最能体现“概念＋工具”结合的题。剧情是嫌疑人被捕后拒不交出钱包密码，还挑衅说“重要信息已经放好在桌面上了”。

你要做的事：

找到两样东西

：桌面壁纸（png）上一句语义不通的 12 个汉字；Documents 里一个 txt，内容是两列——左边英文单词、右边中文汉字（Q115 答案 png + txt）。
拼出恢复种子

：用壁纸上的汉字去对照表里反查对应的英文单词，12 个词就是助记词。
派生地址

：用助记词工具按 BIP-44 路径算出目标链上的公钥／私钥——Q117 要以太坊 m/44'/60'/0'/0/0 的公钥，Q118 要波场 m/44'/195'/0'/0/2 的私钥（Q117/Q118 用的工具是 Mnemonic-Code-Converter）。

✓ 路径数字速记

44 是 BIP-44 标记，60＝以太坊，0＝比特币，195＝波场。链不同，路径不同，派生出的地址/私钥就完全不同——2024 个人赛 Q97/Q100 又问了一次同样的知识点，可见出题人的偏爱。

5.3 顺带出现的一块：恶意程序里的挖矿

| 题号 | 考什么 | 要点 | | — | — | — | | Q130 | 恶意软件里与两种加密货币名相关的字符串 | 二进制字符串里翻出 Ravencoin、Wownero（搜 coin 更容易命中） | | Q132 | 哪段指令用于与挖矿服务器交互 | 字符串里出现 password for mining server 之类的线索 | | Q133 | 该程序是什么、版本、关联币种 | 从字符串判断为挖矿程序 |

这块严格说算“恶意程序＋挖矿”交叉考点，但对虚拟货币专题的意义是：挖矿木马的识别靠字符串。IDA 里直接搜 coin、stratum、wallet，比一个个函数看快得多。

5.4 这一届的三个易错点

别把“浏览器取证”当成“币题”放过。

Q112/Q113 考的 remix.ethereum.org 是以太坊官方在线 IDE，考的是“看到不认识的域名，要能说清它干什么”。
选项里的近似拼写要警惕。

（Q102）
题解本身有存疑题。

Q107/Q108 题解自述存疑、Q110 的“正确价格”与选项不符——遇到这类题，复盘时要标注清楚，别把错答案背下来。

六、2024（第十届）：MetaMask 与 IDFC 资金流，最难的一届

这一届币题数量最多（23 题），而且难度上了台阶：钱包搬到了手机里，币有了完整的剧情，个人赛的检材还要在团体赛里再用一次。如果你只挑一届币题精练，就挑这届。

6.1 案情与两个关键设定

6.2 MetaMask 三题：钱包搬进手机之后

| 题号 | 问什么 | 答案 | 怎么做 | | — | — | — | — | | Q56 | MetaMask 钱包内有多少个账号 | 4 个 | 在 persist-root 目录下找到一个 JSON，里面有 4 个 0x… 地址 | | Q57 | 何时向地址 0x10A4F01B…1281C 发送了虚拟货币 | 2024-08-14 16:58（GMT+8） | 把该 JSON 里的 engine 项单独导出更清晰；时间戳是毫秒，换算后要对时区 | | Q58 | 三次发送失败的原因 | 手续费不足 | 选项里“网络问题／权限被拒／接收地址错误／手续费不足”，考的是 Gas 概念 |

! Q57 的两个坑，一个都别踩

① 毫秒 vs 秒：MetaMask 记录的时间戳是 13 位（毫秒），直接当秒数换算会得到 1970 年附近的时间；② 时区：链上时间是 UTC，钱包本地记录常是设备本地时间，题目问的是 GMT+8。两个坑叠加，就是“算出来的时间跟选项差 8 小时”这一类经典翻车。

6.3 IDFC 窃币主线（个人赛 Q16、Q38、Q91—Q100）

这一段是整届的剧情主干，逻辑链非常完整，值得按顺序走一遍：

Q16

：Emma 从 David 处窃取的虚拟货币叫什么 → IDFC（线索在聊天记录里的一张图片，消息 id 206）。
Q38

：8 月 21 日 David 钱包里有多少 IDFC → 5,022,915.66（在 Emma 手机里也看到了同一张截图）。
Q91

：哪个网站能查 Binance Smart Chain 的交易 → bscscan.com（浏览器记录里能看出来）。
Q92

：Emma 用什么方法盗走 IDFC → 盗取了回复匙（助记词）——不是私钥、不是手机。
Q95

：被盗的是哪个地址 → 0x10a4f01b80203591ccee76081a4489ae1cd1281c（用聊天记录里的助记词算出地址即可）。
Q96

：总共盗走多少 IDFC → 90,000（在导出的交易记录里，8-27 04:45:51 有一笔从被盗地址转出的 90,000）。
Q97 / Q100

：哪些地址是同一句恢复短语生成的 → 同一句助记词派生出的地址互相“认亲”。
Q98

：有多少笔 IDFC 流入被盗地址 → 2 笔（筛选 To 列）。
Q99

：David 另一个钱包的恢复短语里有哪个单词 → dove——D 盘里一张图片给出了前两个词 infant、fragile，拿这两个词去内存镜像里全局搜索，就能捞到完整助记词。

✓ Q99 是近五届最“惊艳”的一题

“图片给线索 → 内存镜像里搜索关键词 → 找回完整助记词”。它同时考了三件事：知道助记词的用途、知道内存镜像能做全局字符串检索、以及愿意在两条检材之间做交叉印证。这种“跨检材拼线索”的思路，2025 年又被复用了一次（PDF 隐写地址 → 钱包截图 → 压缩包密码）。

6.4 团体赛：把资金流画出来（Q7、Q20—Q26）

团体赛这一块是“顺着钱走”的经典考法，题目之间是串起来的：

| 题号 | 问什么 | 答案／做法 | | — | — | — | | Q7 | 受骗女子被指示把币转到哪个地址 | 0xdA9AE5b1bA2F404D0490dcd18a5C2247866FD148 （线索在群聊里） | | Q20 | 三人筹资的目的 | 建立一个网站用作行骗 | | Q21 | 哪个地址存放三人筹集的 IDFC | 题解未标答案；方法是用 WhatsApp 里“把我们昨天凑钱资金存入了 IDFC 钱包”的时间，去对个人赛导出的 token 交易记录（export-token-0x56E7A6dd…csv） | | Q22 | Alice 用了多少个地址直接收受害人 IDFC | 6 个 （题解把 6 个地址全列出来了） | | Q23 | 这些 IDFC 之后流向哪些地址 | BCD （一级→二级→最终，题解用 Python 小工具画了资金流向图） | | Q24 | 这些 IDFC 最终由谁掌管 | David （把选项里 4 句「回复种子」逐个恢复成地址，与 Q23 的最终地址比对，命中 0x63a8ba1d…） | | Q25 | AI 换脸骗走 1,000 万 IDFC 的交易哈希 | C （在 David 电脑的交易记录 CSV 里按时间＋收款地址定位） | | Q26 | 哪些是最终储存犯罪所得的地址 | AD （0x63a8ba1d… 与 0x90f73497…） |

这块有两个方法论必须记住：

“用助记词认人”

：手里有一堆地址和几句候选助记词，怎么知道地址归谁？把每句助记词恢复成地址，再去比对——链上身份（地址）与本地身份（助记词）的绑定，就是靠这一步完成的。
“导出 CSV 比在线查更可控”

：题解里所有资金流分析都基于一份导出文件 export-token-0x56E7A6dd…csv，用表格筛选／排序／画图，比在网页上翻页快得多。这也是 2025 团体赛链上题的做法。

6.5 一条容易被忽略的实战经验

2024 是第一次在团体赛里要求使用个人赛的检材。题解作者的原文是：“之前我就考虑过会不会出现这种情况，所以每次比赛都会专门留着个人赛导出的文件和案件档案，没想到这次真的用上了。”

✓ 把它变成你的习惯

个人赛结束后不要关掉工作站、不要删导出文件。把本次个人赛的：① 导出的交易记录与表格、② 案件档案与笔记、③ 关键地址清单，放到一个共享目录里。团体赛开场时这部分“热身资产”能直接省掉十几分钟。

6.6 这一届的易错点

Gas 不足 ≠ 地址错误

（Q58）；
毫秒时间戳

（Q57）；
同一助记词派生的多个地址要分清

（Q97/Q100 与 Q95 是同一知识点的两面）；
别只用一份检材

：Q93 的“发现被盗时间”在微信记录里比在别处更好找，Q94 的动机在 Clara 的微信里。题解作者的原话是“涉及‘交互’的问题，一定不要拘泥于题目中提到的单一检材”。

七、2025（第十一届）：IQ Coin 与断网环境下的链上分析

这一届的币题有两个鲜明特征：一是个人赛里“地址藏在非钱包检材里”（藏在二维码、藏在 PDF 的白色文字里）；二是团体赛整块在考“拿着截图做数据分析”——因为赛场断网，链上数据只能以截图形式给你。

7.1 个人赛：二维码 → 钱包地址 → 压缩包密码（Q92—Q96）

这一段的设计很漂亮，是一条完整的链：

加载容器（加密镜像）后，看到一个 IQ_1.jpg；
扫描其中的二维码

，得到钱包地址 0x548dafDe4B17d7d3C9485E79B3B5018801C7855E（Q92）；
这个地址同时就是

后面“虚拟货币交易截图”检材压缩包的解压密码——这是 2025 个人赛两个“毒点”之一；
在同一张截图里能看出智能合约在 BNB 链上，所以该钱包属于 BNB（Q93）；
在交易记录里筛选 To 列，共 1 次转入（Q94）；存入来源地址 0x6144ACfd…b3ee48c1A（Q95）；该笔转账 1,000,000,000 枚 BEP-20 IQ Coin（Q96）。

! 这条链最容易断在哪

截图上的地址只有片段（0x6144ACfd…b3ee48c1A），完整地址必须去 BscScan 查。考场上如果只盯着截图硬看，就会卡在这里——这也是为什么题解里反复强调“在线环境可以导出 CSV，离线环境才被迫看截图”。

7.2 助记词知识题（Q97）

题目是一句判断：“助记词通常由 12 到 24 个单词组成”，答案正确。但题解补充了一层：按 BIP-39 规范，助记词理论上可以由 3—24 个单词组成，但少于 12 个词熵太低、容易被爆破，所以工具会直接给出警告。这类题就是“概念题”，不练就只能猜。

7.3 藏在别处的地址（Q69、Q22）

| 题号 | 问什么 | 答案 | 关键动作 | | — | — | — | — | | Q69 | WhatsApp 群聊里机主发的一份 PDF，内容是什么 | 0xe36D4bCf0132B8Dc7317C2Fb9bfa1845629F6638 | 钱包地址被隐写在 PDF 里：用 PDF 编辑器能看到被设为白色的文本；或者直接 Ctrl+A 全选复制也能拿到 | | Q22 | Safari 搜索过哪些词 | ABC （含 “cypto wallet” 这个拼错的词） | 看 Safari 的“搜索历史”分析结果。注意：拼错的关键词也是有效痕迹，出题人还专门在题解里点出了这个 typo |

7.4 团体赛：9 道链上数据题（Q17—Q25）

案情是 IQ Coin 投资骗局。检材是一份 BscScan 交易记录，题目全部是“筛选、排序、求和、换算时间”：

| 题号 | 问什么 | 答案 | 操作 | | — | — | — | — | | Q17 | 某地址在 2025 年 5 月的 BEP-20 IQ Coin 交易次数 | 2 | 按 From 筛选该地址 + 限定月份 | | Q18 | 2025-03-07 至 05-02 共多少笔交易 | 25 | 按时间区间筛选计数 | | Q19 | 某地址最近一次交易时间 | 2025-05-02 07:44:39 | 按时间排序取最后一条；截图上看不到完整地址，只能按首字符推断 | | Q20 | 该地址在 2025-04-25 09:52:36(UTC) 转出多少 | 150,000,000 | 按时间＋地址定位那一行 | | Q21 | 某笔转账 15 分钟内的最终接收地址 | B （0xe36D4bCf…5629F6638） | 顺着多级跳转往下追，题解原话“倒了好几次” | | Q22 | 某地址 5 月作为发送方发起几次交易 | 1 | 按 From 筛选 | | Q23 | 该地址最早的 BEP-20 IQ Coin 交易时间(UTC) | 2025-04-11 06:37:14 | 排序找最早（数据量不大，倒序翻也行） | | Q24 | BEP-20 IQ Coin 中最小的交易金额 | 150,000 | 按金额排序 | | Q25 | 截至 2025-05-03 该地址持有多少 | 97 亿 （9,700,000,000） | To 列求和 − From 列求和 = 10,700,000,000 − 1,000,000,000 | | Q36 | Manson 公司筹备投资的加密货币名称 | IQ Coin | 从 WhatsApp 对话里读出来（送分题） |

i 这一届给出的最重要信号

从 2024 的“导出 CSV”到 2025 的“只有截图”，出题人在反复考同一件能力：把链上交易数据当成表格来处理（筛选、计数、排序、求和、时间换算）。2026 无论给你 CSV 还是截图，这套操作都是必须练的。

7.5 断网环境下怎么做出这些题

这是 2025 团体赛最有价值的实战细节。题解把两种环境写得非常清楚：

| 环境 | 做法 | | — | — | | 在线环境 | 直接在 BscScan 把交易记录导出为 CSV，用表格软件做题，最快 | | 离线环境 | 拿不到原始 CSV，只能对着检材里的截图硬看；截图上的水印会污染 OCR 结果 |

题解作者的原话很有参考价值：“这个截图非常恶心，上面的水印会直接导致 OCR 识别出来很多脏信息，调了很久识别效果都比较差。最后拿 Photoshop 调了一下色阶曲线才让 OCR 能正常识别了。”并且补了一句：“离线 OCR 对表格的识别不太好的话，可以一列一列识别，手动拼接成一个 CSV 表格。”

✓ 可直接复用的三条实战技巧

① 截图做表格分析时，先调色阶／对比度再送 OCR，能显著减少水印噪声；② 整表识别效果差，就纯色列切成一列一列识别，再手工拼表；③ 数据量不大时（本例 25 笔），对着图硬看反而比调 OCR 快——先估一下数据量再决定路线。

7.6 这一届的易错点

时间基准。

题目会明确写 (UTC) 或 (GMT+8)，Q19/Q23 全是 UTC——换算错一次就丢分；
地址不完整。

截图里只有首尾片段（Q19 题解注明“只能根据首位来推断”），能查完整地址就别猜；
多级跳转要耐心。

Q21 的答案经过多次中转（题解原话“倒了好几次”），不要只追一跳；
“余额”是净额。

Q25 不是只看最后一笔，而是全部转入减全部转出。

八、工具链：从官方平台到链浏览器，各自干什么用

虚拟货币取证的工具可以分成三层：官方平台（解决“链上链下身份关联”与批量分析）→ 公开链浏览器（解决“这一笔在哪、什么时间、到哪个地址”）→ 本地数据工具（解决“检材里有没有地址／助记词”）。美亚杯的题绝大多数落在第二、三层，但第一层是现在实务里进步最快的地方。

**### 8.1 美亚官方推荐/主打的虚拟货币工具

用户问到“美亚官方推荐的虚拟货币工具”，这里把两个主力产品说清楚（信息来自国投智能·美亚柏科的公开产品介绍）。

工具一：区块链云勘大师系统

| 维度 | 内容 | | — | — | | 定位 | 一款针对区块链虚拟货币资金交易的取证分析系统 | | 设计主线 | 聚焦 “钱包、交易、人” 三大主体，追踪虚拟货币交易记录，最终落地到目标对象 | | 核心能力 | ① 自动标识交易所；② 覆盖主流虚拟货币；③ 拥有数十 T 的交易数据；④ 标签数据覆盖主流交易平台 | | 解决什么痛点 | 虚拟货币“匿名性”导致链上地址与真实身份脱节——它用标签把地址往回挂到人 |

工具二：取证云平台 — 虚拟货币分析中心

这是取证云平台里的一个板块（2025 年 3 月随平台 V2 上线强化）。它面向的是案件级的资金分析：

它对外宣传的三项核心能力，正好对应链上取证最难的三件事：

标签能力

：融合取证大数据标签、AI 智能标签、开源情报标签，快速识别一个钱包地址的来源（是交易所？是混币器？是某个已知涉案地址？）。
资金分析

：融入多维资金分析模型，按资金总额／交易频次可视化分析资金流向与多地址关联。
调证分析

：一键拓展分析对象的可调证信息，把“链上地址”推进到“能去调证的对象”。

平台 V2 里还有三个和币案直接相关的新能力，值得记住：

i 但请记住赛场现实

美亚杯的比赛环境是断网的。官方平台的价值在于“你会知道专业工具能做到什么程度”，而真题给你的检材是：导出的交易记录 CSV、链上截图、钱包 App 的本地数据、浏览器记录。所以备考的重点仍然是——用公开链浏览器的思路 + 表格工具，把数据看明白。

顺带一提：自动取证工具能覆盖多少

2024 个人赛的题解作者给过一句很实在的评价：“大部分题目都可以通过火眼自动取证完成，最大的挑战在于时间非常紧张……但文件系统相关的题目仍然需要使用其他工具。”

这句话对币题的启示是：钱包 App 的本地数据（比如 MetaMask 的 persist-root）属于“应用数据解析”，自动工具通常能直接提出来；而“把助记词派生成地址”“把 CSV 做资金流”这类计算与分析，自动工具帮不上忙，得自己动手。

工具三（轻量但关键）：bip39-standalone.html

除了上面那套平台，美亚杯官方还提供了一个单文件小工具 bip39-standalone.html——双击用浏览器打开即用，专门做助记词 → 地址／公钥／私钥的派生。平台解决的是“链上数据怎么查、怎么关联到人”，而这个小工具解决的是“把一句助记词变成一串具体地址”，两者正好互补。它的详细用法在 8.3，对应 2023 团体赛 Q117／Q118。

8.2 公开链浏览器四件套：考场上的主力

这是五届币题里出现频率最高的“工具”。本质就是四个网站，但用法要非常熟练。

先直接回答一个最常被问到的问题：BscScan 不是某个“接口”或插件，而是一个网站——浏览器里输入 https://bscscan.com 就能打开。它的身份是区块链浏览器（Block Explorer），把 BNB 智能链（BNB Chain，曾名币安智能链 BSC）上的地址、交易、区块、代币与智能合约，做成可以搜索、可以点开、可以翻页的网页。链上数据本来就是公开的，这类网站做的事只有一件：把公开数据翻译成人看得懂的样子。

四个浏览器的一句话简述

这里有一条很省力的规律：BscScan 与 Etherscan 由同一团队运营，PolygonScan 的界面与操作也基本一致——它们属于同一个浏览器家族。把 BscScan 用熟，另外几个几乎不用重新学，所以下面我只讲一遍固定动作。

i BscScan 在美亚杯里的分量

它出现的次数比任何链浏览器都多：2024 个人赛 Q91 直接考“哪个网站能查 Binance Smart Chain 的交易”，标准答案就是 bscscan.com。2024 的 IDFC、2025 的 IQ Coin 都是 BEP-20 代币、都跑在 BNB 链上，所以这两届整块链上资金流分析，基本都是在 BscScan 的界面里完成的。一句话记牢：BEP-20 的币，就去 BscScan。

把这四个网站的用法拆成固定动作，考场上就是肌肉记忆：

动作一：粘地址看全景。

直接搜地址 → 看余额、交易笔数、最早一笔交易。这一步回答“这个地址是活的还是死的”。
动作二：判链归属。

把同一个 0x… 粘进以太坊、BSC、Polygon 三家分别查——哪家有交易记录，就是哪条链。这就是 2023 Q101 的解法。
动作三：读合约。

搜合约地址 → 看 Token Name / Symbol / Total Supply / Creator；从 Creation 那笔交易里拿创建时间与铸造量（2023 Q102—Q104）。
动作四：看 Holders。

持仓排行榜能回答“第一个持有人是谁”“谁持有 5,000 万枚”（2023 Q105、Q111）。
动作五：点进单笔交易。

拿 TxHash、时间戳（通常是 UTC）、From、To、Value（2023 Q98/Q106、2024 团体赛 Q25）。
动作六：导出 CSV。

有导出功能的链浏览器，直接把交易记录导成表格——这是 2024、2025 两届团体赛资金流题的标准起手式。

✓ 一个必须养成的习惯：随手把 UTC 换算好

链浏览器上的时间是 UTC，而题目经常问 GMT+8。2024 个人赛 Q57 与 2025 团体赛 Q19/Q23 都栽在这个点上。做法：先在草稿纸上写死“UTC + 8 = 北京时间”，再开始读表。

8.3 钱包与助记词工具

MetaMask 本地数据（2024 个人赛的核心检材）

手机的 MetaMask 会把钱包数据写在 App 私有目录里，关键目录名是 persist-root。它是一份 JSON，里面能读到：

// 概念结构（字段名以实际检材为准） persist-root/….json ├─ 账号列表：4 个 0x 开头的地址 ← 2024 个人赛 Q56“钱包里有几个账号” ├─ 交易记录：含毫秒级时间戳、From/To ← 2024 个人赛 Q57（注意毫秒 vs 秒） └─ engine 字段：交易明细集中在这里 ← 题解建议“单独导出更清晰”

技巧：如果整份 JSON 又长又乱，就把 engine 这一段单独提出来看，题解里就是这么做的。

助记词派生工具：bip39-standalone.html（美亚杯官方提供的小工具）

这是美亚杯官方提供的一个单文件小工具——一个 .html 文件，双击用浏览器打开就能用，不需要安装、不需要服务器。它的底子是开源项目 iancoleman/bip39 的 standalone 构建，把 BIP-39（助记词↔种子）、BIP-32（种子→密钥树）、BIP-44（派生路径规范） 三套标准打包进了一个页面。

i 官方为什么给的是 html，而不是一个网站

因为赛场断网。任何在线派生网站都打不开，而一个本地 html 文件不用网络、不用安装、不用服务器，是断网环境下开箱可用的少数方案。它也顺带说明一个安全常识：助记词就等于钱包本身，把它敲进任何联网网站，等于把钱包交出去。

界面就几块内容，从上到下按顺序用：

| 位置 | 字段 | 怎么填 | | — | — | — | | ① | BIP39 Mnemonic | 把 12／24 个英文单词粘进去（旁边的 Generate Random Phrase 是随机生成用的，做题时不用） | | ② | BIP39 Passphrase | 没设过就留空——它不是钱包的支付密码 | | ③ | Coin 下拉框 | 选目标链：ETH – Ethereum、TRX – Tron、BNB 等 | | ④ | Derivation Path | 选 BIP44（找不到目标链时选 BIP32 → Custom 手填路径）；下方可设 Addresses 数量（默认 20 条） | | ⑤ | Derived Addresses 表 | 结果在这里 ：每行＝一个派生路径，列出 Address / Public Key / Private Key |

用它做 2023 团体赛那两道题，动作完全是固定的：

| 题号 | 要什么 | 在工具里怎么拿 | | — | — | — | | Q117 | 以太坊 m/44'/60'/0'/0/0 的公钥 | Mnemonic 填入由壁纸汉字对照 txt 反查出的 12 个词 → Coin 选 ETH – Ethereum → 路径选 BIP44、确认 coin 位是 60 → 在派生表里找路径为 m/44'/60'/0'/0/0 的那一行（一般就是第一行）→ 取该行 Public Key | | Q118 | 波场 m/44'/195'/0'/0/2 的私钥 | 助记词不动 → Coin 改选 TRX – Tron（列表里没有目标链时改选 BIP32 → Custom 手填）→ 确认 coin 位是 195 → 找路径 m/44'/195'/0'/0/2 的行（索引 2）→ 取该行 Private Key |

三个用法要点，都是考场上真会踩的：

列可以点表头隐藏。

派生表列很多，点列头就能把其它列藏起来，只留要抄的那一列——否则整行复制下来，路径、地址、公私钥糊在一起，抄错一位就全错。
链名写法随版本略有差异。

Coin 下拉里找不到目标链，就选 BIP32 → Custom 手填路径；硬化符号用半角单引号 '（例如 m/44'/195'/0'/0/2），别写成字母 H。
它和题解点名的 Mnemonic-Code-Converter 是同一类工具，正好互相印证。

两个独立工具派生出同一个地址，才能确认助记词拼对了——这是防“少抄一个词、整串地址全错”最省事的办法。

! 断网环境下最容易忽视的一步

工具本身离线可用，但助记词要你先“拼”出来：2023 团体赛的助记词是壁纸上 12 个语义不通的汉字，必须先用 Documents 里那份「英文单词↔中文汉字」对照表反查成英文。这一步错了，工具算得再对也没用——所以拿两个工具各派生一次做交叉验证，是这道题最后的安全网。

智能合约 IDE：remix.ethereum.org

2023 团体赛 Q112/Q113 专门考了它：这是以太坊官方的在线 IDE，可以在浏览器里编写、编译、测试、部署 Solidity 智能合约。与之配套的考点是 Q114——“.sol”是 Solidity 源码的扩展名。看到嫌疑人电脑里有 .sol 文件 + 浏览器访问过 remix，基本就能说明他动过“发币”的念头。

8.4 本地数据与检材处理工具

8.5 题型 → 工具速查表

九、五年重复考点与高频考点：哪些必须练到条件反射

把 77 道题按“考的是什么能力”归并，重复度非常高。下面这张表是逐题点出来的（标了届次与题号，可回原文核对）。

9.1 高频考点排行榜

| 排名 | 考点 | 出现届数 | 具体题号（届次-题号） | | — | — | — | — | | 1 | 从检材中定位／识别钱包地址 | 5/5 | 2021G-Q72（wallet.conf）；2022I-Q43（钱包名）；2023G-Q97/Q105；2024I-Q95；2025I-Q92（二维码）、2025I-Q69（PDF 隐写） | | 2 | 币种识别与链归属判定 | 5/5 | 2021G-Q7/Q69；2022I-Q42；2023G-Q101；2024I-Q91；2025I-Q93、2025G-Q36 | | 3 | 助记词／私钥与 BIP-44 派生 | 3/5 | 2023G-Q115—Q118；2024I-Q97/Q100、2024I-Q99（内存捞词）、2024G-Q24（用助记词认人）；2025I-Q97 | | 4 | 链上交易数据表格化处理 （筛选/计数/排序/求和） | 3/5 | 2023G-Q96；2024G-Q22—Q26；2025G-Q17—Q25 | | 5 | 交易所与币安生态 （BSC/BscScan/BEP-20） | 3/5 | 2022I-Q42；2024I-Q91、2024I-Q96；2025G 整块 | | 6 | 交易哈希／单笔交易定位 | 2/5 | 2023G-Q98/Q106；2024G-Q25 | | 7 | 时间戳与时区换算 | 2/5 | 2024I-Q57（毫秒）；2025G-Q19/Q23（UTC） | | 8 | 挖矿（矿机配置／挖矿木马） | 2/5 | 2021G-Q69/Q70/Q72；2023G-Q130/Q132/Q133 | | 9 | NFT 与市场平台 | 1/5 | 2023G-Q94—Q100 |

✓ 只盯前四条，就覆盖了大半的分

前四条（找地址、判链、派生、做表格）跨了 2021—2025 每一届。把这四件事练到不需要思考，币题的基本盘就稳了。

9.2 同一考点在不同届的复现（重点看“怎么变”的）

复现一：找钱包地址——载体换了五茬

| 届次 | 地址藏在哪里 | 考点迁移 | | — | — | — | | 2021 团体赛 | 矿机配置文件 wallet.conf 的 WALLET 字段 | 纯文本配置 | | 2022 个人赛 | 钱包客户端的本地配置（钱包名 tellaw_ieh） | 从“链上身份”到“本地身份” | | 2023 团体赛 | Opensea 页面的买家／铸造者地址 | 网页数据 | | 2024 个人赛 | 聊天记录里的助记词 → 派生出的被盗地址 | 跨检材（聊天 + 派生） | | 2025 个人赛 | 二维码图片（Q92）与 PDF 白色文字（Q69） | 隐写／视觉载体 |

规律很清楚：出题人每隔一届就换一次地址的“藏法”。所以练的不是某个文件路径，而是“看到一个检材，先问自己：地址可能被藏在哪里”。

复现二：判链归属——从“说出来”到“查出来”

同一个知识点的考法在升级：2023 团体赛 Q101 给你合约地址、让你用链浏览器查出来它在以太坊；2025 个人赛 Q93 只给你一张截图，让你看出来“智能合约在 BNB 链上，所以是 BNB”；2025 团体赛 Q36 干脆从聊天记录里读出来。三种考法，考的是同一件事。

复现三：助记词认人——2024 年用了两次

2024 年把这个知识点在个人赛和团体赛各考了一遍：个人赛 Q97/Q100 问“哪些地址由同一句恢复短语生成”；团体赛 Q24 反向问“这些 IDFC 最终由谁掌管”——做法是把选项里 4 句助记词逐个恢复成地址，跟资金流的终点地址比对。正向问一遍、反向问一遍，这是美亚杯很喜欢的手法。

i 把这条规律用起来

凡是遇到“有一堆地址 + 几句候选助记词”的组合，条件反射就是：先把每句助记词恢复成地址，再拿地址去比对。这一步是“链上身份”与“本地身份”唯一的绑定方式。

9.3 反向提醒：看着像币题、其实不是

统计时最容易被误算进来的三类题，做题时也别被它们带偏：

这不是说它们不重要，而是说：它们的分不在“虚拟货币”这条知识线上，别指望靠币的知识去拿。

十、易错点总清单：这些坑五届里反复出现

| 类别 | 易错点 | 正确做法 | 出处 | | — | — | — | — | | 概念 | 把“地址”当身份证据 | 能证明身份的是私钥／助记词，地址谁都能看到 | 2024I-Q92 | | 概念 | 以为地址一样就是同一条链 | 0x 地址在以太坊／BSC／Polygon 上都存在，必须逐个链查 | 2023G-Q101 | | 概念 | 以为代币名一样就是同一种币 | 看合约地址，不看名字；选项里常混近似拼写 | 2023G-Q102 | | 概念 | 把“手续费不足”当成“地址错误” | 转账失败先想 Gas——Gas 不足交易发不出去 | 2024I-Q58 | | 派生 | 同一助记词在不同链上算同一个地址 | 链不同、路径不同 → 地址／私钥完全不同 | 2023G-Q117/Q118 | | 派生 | 路径数字抄错（60 与 195） | 60＝以太坊、195＝波场、0＝比特币 | 2023G-Q118 | | 派生 | 派生出的第一个地址就往上交 | 先看清题目问的是哪条链、哪个序号 | 2023G-Q117 | | 时间 | 毫秒时间戳当秒用 | 13 位要除以 1000；换算出 1970 年附近就是踩坑了 | 2024I-Q57 | | 时间 | UTC 与 GMT+8 混用 | 链上时间默认 UTC，题目问北京时间要 +8h | 2025G-Q19/Q23 | | 数据 | “余额”只看最后一笔 | 余额 = 全部转入 − 全部转出 | 2025G-Q25 | | 数据 | 资金流只追一跳 | 多级跳转要一路追到终点（题解原话“倒了好几次”） | 2025G-Q21 | | 数据 | 地址只有片段就硬猜 | 截图里只有首尾片段时，能查完整地址就去链上查 | 2025G-Q19 | | 数据 | 截图直接送 OCR | 水印会污染结果，先调色阶再 OCR；数据量小就硬看 | 2025G-Q17—Q25 | | 检材 | 只信题目提到的那一份检材 | “涉及交互的问题，不要拘泥于单一检材” | 2024I-Q93/Q94 | | 检材 | 个人赛结束就清空工作站 | 导出文件与案件档案要留到团体赛——2024 年真的用上了 | 2024G（题解自述） | | 复盘 | 把题解里的“存疑题”当标准答案背 | Q107/Q108 题解自述存疑、Q110 答案与选项不符，要标注清楚 | 2023G-Q107/Q108/Q110 |

! 最贵的一类错：算对了，交错了

币题最后的答案形式往往是一长串十六进制。抄地址时少一位、大小写抄错（虽然地址本身不分大小写，但校验和格式敏感）、把 To 抄成 From——这些都不是不会，是最后一步手抖。交卷前对答案形式再看一眼：地址是不是 0x+40 位？哈希是不是 0x+64 位？

十一、要掌握哪些技能，才算真的“会做币题”

把上面的内容倒推成能力清单。可以当作自测表——每一项都问自己“我能不能不看笔记做出来”。

11.1 四级能力清单

用 2026 的备考时间算，L1 + L2 是保底，L3 是提分项，L4 决定你能不能碰团体赛的大分。

11.2 备考路线（按周推进）

11.3 一句话总结这个专题的命题逻辑

五届走下来，虚拟货币题的命题逻辑其实非常稳定：它考的不是“你懂不懂币”，而是“你能不能把一件发生在链上的事，用检材里的痕迹还原出来”。

链上的部分：地址、交易、合约——公开、可查、讲规矩，靠链浏览器和表格就能拿下；
链下的部分：助记词藏在哪张图里、钱包名是什么、谁把图发给了谁——要靠检材交叉印证，这是拉开差距的地方；
两者之间那座桥，是派生：把助记词变成地址，才能把“链上的一串字符”和“某个具体的人”连起来。

把这座桥修好，虚拟货币这道题，就从“看运气”变成了“拿分项”。

结语：把 77 道题当练习册用

这篇文章把 2021—2025 五届、共 77 道虚拟货币相关题目做了一次完整梳理：先讲概念（第二章），再按届拆题（第三—七章），然后盘点工具（第八章），最后汇总重复考点、易错点与能力清单（第九—十一章）。

给三个具体的使用建议：

别只读不做。

第八章的每一条“用法要点”，都对应着一道真题。读完一条，就去把那道题真做一遍。
把易错点清单打印出来。

考前每做完一套题，花三分钟对着第十章过一遍——这比多刷一套题更划算。
把十章的“算对了、交错了”记在心里。

币题的分经常丢在最后抄写的那一步。

✓ 最后一句

虚拟货币这条线，五届下来没有一年缺席、没有一年换方向，只是载体在变、难度在涨。对备考的人来说，这是少有的“投入确定、回报确定”的专题——练它就对了。

资料与口径说明：本文题目统计与解题思路整理自西电 XD Forensics Wiki 公开发布的 2021—2025 五届“美亚杯”个人赛／团体赛题解与选手复盘；官方工具信息来自国投智能·美亚柏科（取证云平台—虚拟货币分析中心、区块链云勘大师系统）的公开产品介绍。凡题解本身标注“存疑”或答案与选项不符的题目，文中均已如实注明。统计口径为“题解中与虚拟货币／区块链技术直接相关的题”，仅出现币名但考点在别处的题目不计入 77 道之内。

本文为「AI 取证实战」系列 · 2026 美亚杯备赛专刊。题目统计与解题思路整理自西电 XD Forensics Wiki 公开发布的 2021—2025 五届“美亚杯”个人赛／团体赛题解与选手复盘；官方工具信息来自国投智能·美亚柏科公开产品介绍。写作口径与易错点均以题解原文为准，题解自述存疑之处已如实标注。**

敬请各位大佬关注：小谢取证

扫取二维码获取

更多精彩

小谢取证

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：小谢取证小谢小谢《2026年“美亚杯”虚拟货币专题》