2026-10-16 09:56:51 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

2026年“美亚杯”虚拟货币专题

原创

小谢
小谢

小谢取证

2026年9月23日 17:40
宁夏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

AI 取证实战 · 第 16 期

美亚杯虚拟货币专题：五届 77 道币题全拆解

先讲清概念，再按届拆题——钱包、助记词、合约地址、链上资金流，以及美亚官方工具与五届重复考点

这是一篇专题长文，建议收藏后按章节看：第二章是零基础概念（含形象类比），第三至七章按届拆解题思路，第八章盘工具，第九至十一章给你重复考点、易错点和一张能力自测表。全文所有题目都标了届次＋题号，可直接回原题解核对。

美亚杯办到第十一届，有一类考点一直在，而且越来越重：虚拟货币。它不像手机取证那样占大头，却几乎每年都出现，并且从“问你这是什么币”，一路进化到“钱从哪来、到哪去、最后躺在谁的地址里”。

我把 2021—2025 五届个人赛（资格赛）与团体赛的公开题解逐题过了一遍，凡是与虚拟货币、区块链、加密资产相关的题目全部挑出来——一共 77 道。这篇文章就做三件事：先讲清楚概念，再把 77 道题按届拆开讲思路，最后把重复考法和易错点汇总成一张表。

i 这篇的统计口径

只统计题解里与虚拟货币／区块链技术直接相关的题：币种识别、钱包与地址、私钥/助记词、合约地址、链上交易、NFT、挖矿。像“勒索信要求支付比特币”这种只出现币名但考点在别处的题，我会注明但不算进这 77 道。每一题都标了届次和题号，你可以直接拿去对题解原文。

题解来源是西电 XD Forensics Wiki 的公开发布（2021—2025 五届个人赛＋团体赛共 10 篇），需要原文的话文末资源清单里有路径。

一、五届 77 道币题：一张表看清演化方向

先看总量分布。这张表是按“题解分节标题 ∪ 题干点名 ∪ 选项里出现的地址/文件名”三处同时核过的，不是按题解小节猜的。

届次	个人赛（资格赛）	团体赛	小计	当年的考点焦点
2021 第七届	2 题 Q34、Q35	4 题 Q7、Q69、Q70、Q72	6	比特币赎金识别；HIVE OS 矿机取证（挖什么币／几张显卡／收款钱包地址）
2022 第八届	2 题 Q42、Q43	—	2	用哪种币付 VPN 费；钱包名称成为证物（本专题最小的一届）
2023 第九届	0 题	25 题 Q94—Q118 （+挖矿 3 题）	28	赛道分工明确：个人赛完全没有币题，团体赛单设“加密货币部分”，考 NFT／合约地址／BIP-44 派生
2024 第十届	15 题 Q16、Q38、Q56—Q58、 Q91—Q100	8 题 Q7、Q20—Q26	23	MetaMask 手机端取证（3 题）；IDFC 代币资金流全链路追踪（个人赛＋团体赛连打）
2025 第十一届	8 题 Q22、Q69、Q92—Q97	10 题 Q17—Q25、Q36	18	IQ Coin：二维码→钱包地址→压缩包密码；BscScan 交易截图／CSV 的离线分析
合计	27 题	50 题	77	币题在团体赛的比重远高于个人赛

✓ 读表先记一个结论

虚拟货币题在资格赛里是“送分题＋理解题”，在团体赛里是“主线剧情”。资格赛问你“这个钱包有几个账号”“这笔转账什么时候发的”；团体赛直接让你把一整条洗钱链路的资金流向画出来。想拿团体赛的分，必须先把资格赛的币题练到不需要思考。

1.1 三条演化线

把五届的题按时间排开，会发现它沿着三条线同时升级。

演化线	2021	2023	2024	2025
检材形态（你要去哪里找数据）	矿机系统的配置文件与日志（wallet.conf、h-manifest.conf）	浏览器记录 + Opensea 网页数据 + 桌面图片/文本拼助记词	手机 App 本地数据（MetaMask 的 persist-root）+ 导出的代币交易 CSV	二维码图片 + BscScan 网页截图（断网，只能 OCR 或肉眼看）
能力要求（你要会做什么）	认得币、找得到地址	判链归属、读懂合约、会做派生地址	解钱包数据、算毫秒时间戳、追资金流	从截图里数交易、求和、算余额、还原多级跳转
题型（怎么给分）	纯识别题，看一眼就得分	知识题＋查证题（知道去哪个网站、查什么字段）	操作题＋交叉印证题（同一份检材个人赛用过、团体赛再用）	数据处理题（排序、筛选、求和、时间换算）

一句话概括这条线：从“认得出币”，到“看得懂钱包”，到“算得出地址”，最后到“追得动资金流”。2024、2025 两届已经把这条路走完了，2026 大概率是在同一条路上加码，而不是换方向。

1.2 为什么值得单独练这一个专题

性价比极高。

币题的知识点是有限的几组（地址/私钥/助记词、链与代币标准、链浏览器、时间换算），练一次能用三届；不像手机取证要记几十个 App 的数据库名。
* 它经常和别的模块交叉。

2024 个人赛的币题答案要从聊天记录里找（IDFC 的助记词是 Clara 拍照发给 Emma 的）；2025 个人赛的钱包地址藏在 PDF 的白色文字里、藏在二维码里。币题往往是“交叉印证”的落点。
* 它最容易在细节上翻车。

手续费不足还是地址错误？UTC 还是东八区？同一句助记词派生出来的四个地址里，哪个才是被盗的那个？这些坑不练就是不会。

二、先补齐概念：用最土的话讲一遍

下面这段是给“完全没碰过币”的人看的。如果你已经做过钱包取证，可以跳到第三章。

但建议还是扫一眼——美亚杯的币题里，很多错误不是工具不会用，而是概念搞混了。

2.1 区块链：一本全村共用的账本

把一个村的账本复印很多份，发给全村每个人。谁家转给谁多少钱，都要在账本上写一行，所有人都能看到这一行；写完就擦不掉，因为别人的复印件上也有。

这就是区块链。它最大的取证价值不是“匿名”，恰恰是“公开且不可篡改”——涉案钱包的每一笔转账，都在链上公开躺着，谁都能查（区别只在于你能不能把地址和人对上号）。美亚杯里之所以敢出“这笔钱最后到了哪个地址”的题，就是因为这份账本查得到。

2.2 私钥、公钥、地址：钥匙、信箱、门牌号

概念	一句话理解	能不能公开	在题里长什么样
私钥 Private Key	你家保险柜的钥匙，谁拿到谁就能把钱全部转走	绝对不能	64 位十六进制串，或一个 .key／keystore 文件里的内容
公钥 Public Key	由私钥算出来的中间产物，用来生成地址	可以公开	2023 团体赛 Q117 直接问“以太坊 m/44'/60'/0'/0/0 的公钥是多少”
地址 Address	门牌号，别人往这里打钱	公开	`0x` 开头的 42 位字符串（0x + 40 位十六进制）
助记词 Mnemonic	钥匙的“人话备份”，12 或 24 个英文单词	绝对不能	2024 个人赛那张被拍照发出去的图片；2023 团体赛桌面壁纸＋文本文档拼出来的那串词

三者是单向的关系：私钥 →（算出）公钥 →（算出）地址。反过来，拿到地址算不出公钥，拿到公钥算不出私钥。所以办案里“只拿到一个地址”是干不了什么的，能证明身份的是私钥或助记词——2024 个人赛 Q92 问“Emma 用什么方法盗走 IDFC”，答案就是“盗取了回复匙（助记词）”，而不是地址。

2.3 助记词：为什么一句话能变出无数个地址

助记词不加密钱包，它直接等于私钥的种子。钱包拿这串词，按固定算法一层层推导，就能生成任意多个私钥，每个私钥对应一个地址。这套推导路径叫 BIP-44，长得像 m/44'/60'/0'/0/0。

这一句话解释了两个考点的由来：

“哪些地址是由同一句恢复短语生成的？”

（2024 个人赛 Q97、Q100）——同一句助记词派生出的一串地址，都是同一个人的。
* “以太坊的 m/44'/60'/0'/0/0 和波场的 m/44'/195'/0'/0/2 分别是什么？”

（2023 团体赛 Q117、Q118）——同一个助记词，换一条链、换一个序号，出来的是完全不同的地址和私钥。路径里的数字有讲究：60 是以太坊、195 是波场。

派生路径里的数字	代表什么链	常见用途
m/44'/60'/…	Ethereum 以太坊（含 BNB Chain 等 EVM 链默认同路径）	2023 团体赛 Q117；MetaMask 默认路径
m/44'/195'/…	TRON 波场	2023 团体赛 Q118（要的是私钥）
m/44'/0'/…	Bitcoin 比特币	BTC 钱包默认

! 这里是最常见的失分点

同一句助记词 → 不同链 → 不同地址。考生常犯的错是“把助记词恢复出来的第一个以太坊地址，当成波场地址交上去”。做题时先把题目问的链和路径抄在草稿纸上，再动手派生。

2.4 钱包与交易所：钱到底存在哪里

“钱包”这个名字极具误导性——它不装钱，它装的是私钥／助记词，钱始终在链上。

类型	是什么	取证价值
热钱包	联网的软件钱包，如手机的 MetaMask、imToken、TokenPocket	本地会留下 App 数据：账号列表、收发记录、时间戳。2024 个人赛的核心检材就是它
冷钱包	不联网的硬件钱包或纸钱包	几乎没有数字痕迹，通常只能从别处找助记词／地址
中心化交易所	币安、OKX 等	链上是“交易所的地址”，需要调证才能对到人。注册信息可能留在手机／邮箱里

还有一个常被问到的点：MetaMask 是浏览器插件＋手机 App 两端都在的热钱包，手机端的数据存在 persist-root 目录下，是个 JSON，里面能找到账号地址列表。2024 个人赛 Q56 问“钱包里有多少个账号”，答案 4 个，就是在这份 JSON 里数出来的。

2.5 Gas：转账的邮费，也是题目里的坑

在链上转账要付手续费，叫 Gas。Gas 不够，交易就发不出去。2024 个人赛 Q58 问“David 三次发送虚拟货币失败的原因”，选项里有“网络连接问题、权限被拒、接收地址错误、手续费不足”，正确答案是手续费不足。你只要知道 Gas 是什么，这题就是送分。

2.6 代币标准与“链”：地址长得一样，不一定是一条链

这是美亚杯最爱考的概念，没有之一。地址格式相同 ≠ 同一条链；代币名字相同 ≠ 同一个东西。

链	代币标准	地址长相	对应的链浏览器	题目出处
以太坊 Ethereum	ERC-20	0x 开头	etherscan.io	2023 团体赛 Q101（判合约在哪条链）
BNB 智能链（BSC）	BEP-20	0x 开头（和以太坊一样）	bscscan.com	2024 个人赛 Q91；2025 团体赛 Q17—Q25
Polygon PoS（Matic）	ERC-20 兼容	0x 开头	polygonscan.com	2023 团体赛 Q94（NFT 铸造在哪条链，答案 Polygon）
波场 TRON	TRC-20	T 开头	tronscan.org	2023 团体赛 Q118（派生波场私钥）

! 地址撞脸陷阱

以太坊、BNB Chain、Polygon 的地址都是 0x 开头、长度一致。同一个 0x… 字符串在三条链上都能查到记录，但那是三份完全不同的账本。题目问“这个合约在哪条链上”，唯一可靠的办法是逐个链浏览器去查，看哪条链上有交易记录。2023 团体赛 Q101 就是标准考法：四个选项三条链，答案以太坊——因为只有在以太坊查到了该合约的交易记录。

2.7 NFT 与 Opensea：链上的“数字藏品柜台”

NFT 可以理解成链上的一张带编号的凭证，Opensea 是买卖它的市场。2023 团体赛单开了一块“加密货币部分”，前几题全在 NFT 上：在哪条链铸造的（Polygon）、Collection ID 是多少、卖出了几个、买家的地址和交易哈希是什么。对取证人的意义是：你在嫌疑人电脑的浏览器记录里，能还原出他在 Opensea 上做过什么。

2.8 案情里的两个“假币”

美亚杯有两届用了虚构代币当剧情主线，别去网上搜它们——搜不到。

代币	届次	设定	链与标准
IDFC International Digital Forensics Coin	2024 第十届个人赛＋团体赛	面值 1 IDFC = 1 HKD；被窃 90,000；团体赛里演变成洗钱链路的记账单位	Token 地址 0x56E7A6dd…b7b， Binance Smart Chain
IQ Coin	2025 第十一届个人赛＋团体赛	“Pure Growth Fund”投资骗局；单笔转账 10 亿枚；钱包余额 97 亿枚	BEP-20，BNB Smart Chain

i 顺便记住两件事

① BEP-20 是以太坊 ERC-20 的“同门兄弟”，只是跑在 BNB Chain 上，转账记录要去 BscScan 看；② 2025 个人赛 Q93 问“这个钱包属于哪一种加密货币”，答案是 BNB——因为截图里能看到智能合约在 BNB 链上。这类题考的正是“链归属”。

2.9 概念速查表（建议考前扫一遍）

名词	一句话解释	在真题里的位置
区块链浏览器	公开查询某条链上地址／交易／合约的网站	2024 个人赛 Q91；2025 团体赛全块
合约地址	代币的“账号”，一个代币对应一个合约	2023 团体赛 Q101—Q106；2024 个人赛案情
交易哈希（TxID）	一笔转账的唯一编号	2023 团体赛 Q98、Q106；2024 团体赛 Q25
区块确认时间	这笔交易被写进账本的时间（通常 UTC）	2025 团体赛 Q15、Q19、Q23
DEX 去中心化交易所	链上直接兑换代币的协议，如 Uniswap	2023 团体赛 Q109、Q100
钱包余额	该地址收到总额 − 转出总额	2024 个人赛 Q38；2025 团体赛 Q25

三、2021（第七届）：矿机与赎金，币还很“物理”

第一届有币题的年份，虚拟货币在检材里还是“看得见摸得着”的东西：一张写着地址的桌面图片、一台插着两张显卡的矿机、一个写在配置文件里的收款地址。

赛道	题号	问什么	答案	数据在哪
个人赛	Q34	WhatsApp 对话里提到 “BTC 係唔係呢个啊”，关于这段对话的正确描述	题解未标答案	iPhone 的 WhatsApp 聊天记录（回到上下文看）
个人赛	Q35	阿力士要求工地主管支付多少个 BTC	10 个	同上一题的聊天截图
团体赛	Q7	工地职员 A 的计算机被加密后，被要求存入什么虚拟货币	比特币	桌面上的 `BTCaddress.bmp`
团体赛	Q69	矿机上没有进行哪种加密货币挖矿	题解备注“白给”	矿机系统配置（实际配置为 ETH）
团体赛	Q70	矿机有几张显示适配器在挖矿	2 张	PhoenixMiner 日志里的 “Available GPUs for mining”
团体赛	Q72	哪个不是收取挖矿收益的钱包地址	题解未标答案	`HIVE/wallet.conf` 的 WALLET 字段

3.1 关键题思路：挖矿收益地址藏在哪

2021 团体赛的矿机检材是一台跑 HIVE OS 的挖矿机（镜像 HIVE OS.E01）。这类机器的取证关键就三步：找挖矿程序配置 → 找日志 → 找钱包地址。

路径一：挖矿程序清单（HIVE OS.E01/分区7） hive/miners/phoenixminer/h-manifest.conf # 其中可见（节选） MINER\_NAME=phoenixminer MINER\_LATEST\_VER=5.7b MINER\_LOG\_BASENAME=/var/log/miner/$MINER\_NAME/$MINER\_NAME # 路径二：矿机钱包与矿池配置 HIVE OS.E01/HIVE/wallet.conf ### FLIGHT SHEET \"1stFlight\" ### # Miner phoenixminer PHOENIXMINER\_URL=\"POOL: eth.gpumine.org:3333, \ WALLET: 0xE365625f402537151304ceba7C7D9dF0C7E82986.ETH-Player, PSW: x\" META='{\"phoenixminer\":{\"coin\":\"ETH\"}}'

看懂这两段，两道题就都有答案了：wallet.conf 里的 WALLET 就是收矿收益的地址（Q72 让你从一堆长得极像的地址里挑出“不是”的那个，办法就是拿配置文件里的真地址去比）；PhoenixMiner 的日志里会列出可用的显卡（Q70 的答案就是日志中 “Available GPUs for mining” 下面的两条：GeForce RTX 3060 与 Quadro P2000，共 2 张）。

✓ 这一届告诉你的方法论

虚拟货币题的第一落点永远是“配置文件与日志”。矿机、钱包客户端、交易所客户端、浏览器插件，都会在本地留下配置或缓存；先找配置文件里的地址字段（wallet、address、account），再拿日志／记录去佐证。这套思路在 2023（wallet.conf 变浏览器记录）和 2024（变 App 本地 JSON）里反复出现，只是载体换了。

3.2 一个容易看错的细节

2021 团体赛里“勒索要比特币”和“矿机挖以太坊”是并存的——矿机配置显示 PhoenixMiner 接的是 eth.gpumine.org:3333 的 ETH 池。所以做题时不要看到“案情里提比特币”就默认矿机挖的是 BTC，必须落到配置文件里看 coin 字段。这也是 Q69 的考点所在。

四、2022（第八届）：钱包第一次成为“证物”

这一届币题只有 2 道，但性质变了——不再是“辨认赎金币种”，而是从检材里定位一个人用过的钱包。

赛道	题号	问什么	答案	解法
个人赛	Q42	林浚熙用哪种加密货币支付虚拟专用网络（VPN）软件	BITCOIN	顺着支付方式／订阅记录找币种
个人赛	Q43	林浚熙的加密货币钱包名称	tellaw\_ieh	在钱包客户端的数据里读钱包名（钱包名是本地配置，不是链上数据）

这两题合起来说明一件事：钱包有“链上身份”和“本地身份”两套。链上身份是地址（0x…），本地身份是钱包名、备注、账号别名。取证时两者都要捞：地址用来追钱，钱包名用来印证“这个钱包确实属于这个人”。

i 别被标题骗了

这一届团体赛有一道题看起来跟币有关：WordPress 网站上一篇标题叫“比特币”的文章，有哪个邮箱留过评论。但它的考点其实是 WordPress 数据库关联查询（wp_posts 与 wp_comments 表），跟虚拟货币技术没有关系。统计币题时这类题要剔除——这也是我在开篇写“只统计技术相关题”的原因。

五、2023（第九届）：NFT、合约地址与 BIP-44 派生

这一年出现了五届中最明显的赛道分工：个人赛（资格赛）100 题里一道币题都没有；而团体赛直接单设了一个“加密货币部分”。题解里写得很清楚：“加密货币部分，参考 benckwindow10.e01 及附加检材回答以下题目，本部分涉及题目为 94-118。”

i 这是本专题唯一一次被出题人“明示”的显式分块

25 道题连号排布（Q94—Q118），前后还夹着恶意程序里的挖矿考点（Q130、Q132、Q133）。换言之，2023 的团体赛把虚拟货币当成了一个独立的取证场景在考。

5.1 加密货币部分全景表（Q94—Q118）

题号	考什么	要点／答案
Q94	NFT 用哪条链铸造	Polygon PoS Chain （提示：Matic 是它的前身）
Q95	NFT 的 Collection ID	题解未标答案，给的是查询方法（Opensea 的 collection 页）
Q96	该 Collection 卖出几个 NFT	2 个
Q97	购买 NFT 的加密货币地址	题解未标答案（在 Opensea／链上找买家地址）
Q98	购买 NFT 的交易哈希	题解未标答案（四选一，全是 0x 开头的 66 位哈希）
Q99	铸造该 NFT 的地址	题解未标答案（找 mint 的那笔交易）
Q100	该地址还铸造过什么	以上皆是：Uniswap V3 BHB-WETH 池、合约 0xa071e23f…、Token ID 561068
Q101	合约 0xa071e23f…7575 在哪条链	Ethereum ——判据是“只有以太坊查到了交易记录”
Q102	该合约的币名与简写	Binince (BHB) （注意选项里故意混进了 Binance/Bihaibi 这类近似拼写）
Q103	该合约的创建时间	2023-09-06 16:58:11
Q104	该合约总铸造量	题解未标答案（四选一：1 万／1 亿／3 亿／5 亿）
Q105	第一个持有该合约的地址	题解未标答案
Q106	铸造该合约的交易哈希	题解未标答案
Q107/Q108	由铸造时间反推电脑里的文件	题解自述“此题存疑”
Q109	哪个 DEX 能兑换该合约	题解未标答案（选项：PancakeSwap／Uniswap／ShibaSwap／1inch）
Q110	该合约在 2023-09-07 15:11 的美元价格	题解备注“正确价格应为 0.01647”，与四个选项均不符
Q111	持有 5,000 万枚该合约的地址	题解未标答案（用持仓排行找）
Q112/Q113	浏览器里的 remix.ethereum.org 是什么	以太坊官方在线 IDE ，可编写、测试、部署智能合约
Q114	哪个扩展名与“创建加密货币”有关	.sol （Solidity 智能合约源码）
Q115	恢复种子相关文件的两个扩展名	png + txt ：壁纸上写着 12 个语义不通的汉字，Documents 里的 txt 是英文单词↔中文汉字对照表
Q117	按恢复种子算出以太坊 m/44'/60'/0'/0/0 的公钥	用工具做 BIP-39→BIP-44 派生
Q118	按恢复种子算出波场 m/44'/195'/0'/0/2 的私钥	同一条助记词，换链换路径 → 完全不同的私钥

5.2 三条技术线，逐个说清

技术线一：NFT 与 Opensea（Q94—Q100）

这一组的解题动作非常“网页取证”：从嫌疑人电脑的浏览器记录／缓存里，还原他在 Opensea 上做过什么——在哪条链铸造、Collection 是什么、卖了几件、买家是谁、交易哈希是什么。

Q94 的判据是链名。

选项里 Ethereum、Polygon PoS Chain、Arbitrum、Base 都是真实存在的链，而题解给了一句关键提示：“Matic 是 Polygon PoS Chain 的前身”——这是标准答案的线索来源。
* Q100 是典型的“顺着地址往下挖”。

一个地址在 Opensea 上不仅铸造过带 Collection 的 NFT，还参与过 Uniswap V3 的 BHB-WETH 流动性池、持有一个无 Collection 的 Token（Token ID 561068）。答案是“以上皆是”，意思是：拿到一个地址，要把它的链上活动全部铺开看。

技术线二：合约地址识别（Q101—Q111）

这是整套题里最“标准化”的一块，考的就是链浏览器用得熟不熟。步骤固定：

把合约地址粘进链浏览器 → 看有没有交易记录 → 有记录的那条链就是答案（Q101 答案以太坊）；
在同一条链上读合约的 Token Name / Symbol（Q102 答案 Binince/BHB）；
读合约的 创建交易，拿到创建时间与铸造总量（Q103、Q104）；
读 Holders 持仓榜，找第一个持有人、找持有 5,000 万枚的地址（Q105、Q111）；
读 交易明细，拿铸造交易哈希（Q106）；
读 DEX 交易对，看哪个去中心化交易所支持它（Q109）；
读 历史价格（Q110，注意题解自己都标了答案与选项对不上）。

! Q102 是本块最“脏”的题

选项写成 Binance (BNB) / Bihaibi (BHB) / BHB(BHB) / Binince (BHB)——把知名交易所名、近似拼写、真名混在一起。考的不是知识，是你愿不愿意回链上核对一次。考场上一眼扫过去就选会吃大亏。

技术线三：恢复种子 → BIP-44 派生（Q115—Q118）

这是 2023 团体赛最漂亮的一组题，也是最能体现“概念＋工具”结合的题。剧情是嫌疑人被捕后拒不交出钱包密码，还挑衅说“重要信息已经放好在桌面上了”。

你要做的事：

找到两样东西

：桌面壁纸（png）上一句语义不通的 12 个汉字；Documents 里一个 txt，内容是两列——左边英文单词、右边中文汉字（Q115 答案 png + txt）。
* 拼出恢复种子

：用壁纸上的汉字去对照表里反查对应的英文单词，12 个词就是助记词。
* 派生地址

：用助记词工具按 BIP-44 路径算出目标链上的公钥／私钥——Q117 要以太坊 m/44'/60'/0'/0/0 的公钥，Q118 要波场 m/44'/195'/0'/0/2 的私钥（Q117/Q118 用的工具是 Mnemonic-Code-Converter）。

✓ 路径数字速记

44 是 BIP-44 标记，60＝以太坊，0＝比特币，195＝波场。链不同，路径不同，派生出的地址/私钥就完全不同——2024 个人赛 Q97/Q100 又问了一次同样的知识点，可见出题人的偏爱。

5.3 顺带出现的一块：恶意程序里的挖矿

题号	考什么	要点
Q130	恶意软件里与两种加密货币名相关的字符串	二进制字符串里翻出 Ravencoin、Wownero（搜 coin 更容易命中）
Q132	哪段指令用于与挖矿服务器交互	字符串里出现 `password for mining server` 之类的线索
Q133	该程序是什么、版本、关联币种	从字符串判断为挖矿程序

这块严格说算“恶意程序＋挖矿”交叉考点，但对虚拟货币专题的意义是：挖矿木马的识别靠字符串。IDA 里直接搜 coin、stratum、wallet，比一个个函数看快得多。

5.4 这一届的三个易错点

别把“浏览器取证”当成“币题”放过。

Q112/Q113 考的 remix.ethereum.org 是以太坊官方在线 IDE，考的是“看到不认识的域名，要能说清它干什么”。
* 选项里的近似拼写要警惕。

（Q102）
* 题解本身有存疑题。

Q107/Q108 题解自述存疑、Q110 的“正确价格”与选项不符——遇到这类题，复盘时要标注清楚，别把错答案背下来。

六、2024（第十届）：MetaMask 与 IDFC 资金流，最难的一届

这一届币题数量最多（23 题），而且难度上了台阶：钱包搬到了手机里，币有了完整的剧情，个人赛的检材还要在团体赛里再用一次。如果你只挑一届币题精练，就挑这届。

6.1 案情与两个关键设定

设定	内容
涉案代币	IDFC（International Digital Forensics Coin），设定面值 1 IDFC = 1 HKD
代币合约地址	`0x56E7A6dd8aA1c78ba77944C94c43054978E89b7b`
所在链	Binance Smart Chain （BNB 链）
作弊手法	Clara（David 的妻子）把存有助记词的图片发给 Emma，Emma 用助记词恢复钱包并转走 IDFC
关键检材	David 的手机（MetaMask 数据）、David 的笔记本 E01、导出的代币交易记录 CSV、内存镜像

6.2 MetaMask 三题：钱包搬进手机之后

题号	问什么	答案	怎么做
Q56	MetaMask 钱包内有多少个账号	4 个	在 `persist-root` 目录下找到一个 JSON，里面有 4 个 `0x…` 地址
Q57	何时向地址 0x10A4F01B…1281C 发送了虚拟货币	2024-08-14 16:58（GMT+8）	把该 JSON 里的 `engine` 项单独导出更清晰；时间戳是毫秒，换算后要对时区
Q58	三次发送失败的原因	手续费不足	选项里“网络问题／权限被拒／接收地址错误／手续费不足”，考的是 Gas 概念

! Q57 的两个坑，一个都别踩

① 毫秒 vs 秒：MetaMask 记录的时间戳是 13 位（毫秒），直接当秒数换算会得到 1970 年附近的时间；② 时区：链上时间是 UTC，钱包本地记录常是设备本地时间，题目问的是 GMT+8。两个坑叠加，就是“算出来的时间跟选项差 8 小时”这一类经典翻车。

6.3 IDFC 窃币主线（个人赛 Q16、Q38、Q91—Q100）

这一段是整届的剧情主干，逻辑链非常完整，值得按顺序走一遍：

Q16

：Emma 从 David 处窃取的虚拟货币叫什么 → IDFC（线索在聊天记录里的一张图片，消息 id 206）。
* Q38

：8 月 21 日 David 钱包里有多少 IDFC → 5,022,915.66（在 Emma 手机里也看到了同一张截图）。
* Q91

：哪个网站能查 Binance Smart Chain 的交易 → bscscan.com（浏览器记录里能看出来）。
* Q92

：Emma 用什么方法盗走 IDFC → 盗取了回复匙（助记词）——不是私钥、不是手机。
* Q95

：被盗的是哪个地址 → 0x10a4f01b80203591ccee76081a4489ae1cd1281c（用聊天记录里的助记词算出地址即可）。
* Q96

：总共盗走多少 IDFC → 90,000（在导出的交易记录里，8-27 04:45:51 有一笔从被盗地址转出的 90,000）。
* Q97 / Q100

：哪些地址是同一句恢复短语生成的 → 同一句助记词派生出的地址互相“认亲”。
* Q98

：有多少笔 IDFC 流入被盗地址 → 2 笔（筛选 To 列）。
* Q99

：David 另一个钱包的恢复短语里有哪个单词 → dove——D 盘里一张图片给出了前两个词 infant、fragile，拿这两个词去内存镜像里全局搜索，就能捞到完整助记词。

✓ Q99 是近五届最“惊艳”的一题

“图片给线索 → 内存镜像里搜索关键词 → 找回完整助记词”。它同时考了三件事：知道助记词的用途、知道内存镜像能做全局字符串检索、以及愿意在两条检材之间做交叉印证。这种“跨检材拼线索”的思路，2025 年又被复用了一次（PDF 隐写地址 → 钱包截图 → 压缩包密码）。

6.4 团体赛：把资金流画出来（Q7、Q20—Q26）

团体赛这一块是“顺着钱走”的经典考法，题目之间是串起来的：

题号	问什么	答案／做法
Q7	受骗女子被指示把币转到哪个地址	`0xdA9AE5b1bA2F404D0490dcd18a5C2247866FD148` （线索在群聊里）
Q20	三人筹资的目的	建立一个网站用作行骗
Q21	哪个地址存放三人筹集的 IDFC	题解未标答案；方法是用 WhatsApp 里“把我们昨天凑钱资金存入了 IDFC 钱包”的时间，去对个人赛导出的 token 交易记录（`export-token-0x56E7A6dd…csv`）
Q22	Alice 用了多少个地址直接收受害人 IDFC	6 个（题解把 6 个地址全列出来了）
Q23	这些 IDFC 之后流向哪些地址	BCD （一级→二级→最终，题解用 Python 小工具画了资金流向图）
Q24	这些 IDFC 最终由谁掌管	David （把选项里 4 句「回复种子」逐个恢复成地址，与 Q23 的最终地址比对，命中 0x63a8ba1d…）
Q25	AI 换脸骗走 1,000 万 IDFC 的交易哈希	C （在 David 电脑的交易记录 CSV 里按时间＋收款地址定位）
Q26	哪些是最终储存犯罪所得的地址	AD （0x63a8ba1d… 与 0x90f73497…）

这块有两个方法论必须记住：

“用助记词认人”

：手里有一堆地址和几句候选助记词，怎么知道地址归谁？把每句助记词恢复成地址，再去比对——链上身份（地址）与本地身份（助记词）的绑定，就是靠这一步完成的。
* “导出 CSV 比在线查更可控”

：题解里所有资金流分析都基于一份导出文件 export-token-0x56E7A6dd…csv，用表格筛选／排序／画图，比在网页上翻页快得多。这也是 2025 团体赛链上题的做法。

6.5 一条容易被忽略的实战经验

2024 是第一次在团体赛里要求使用个人赛的检材。题解作者的原文是：“之前我就考虑过会不会出现这种情况，所以每次比赛都会专门留着个人赛导出的文件和案件档案，没想到这次真的用上了。”

✓ 把它变成你的习惯

个人赛结束后不要关掉工作站、不要删导出文件。把本次个人赛的：① 导出的交易记录与表格、② 案件档案与笔记、③ 关键地址清单，放到一个共享目录里。团体赛开场时这部分“热身资产”能直接省掉十几分钟。

6.6 这一届的易错点

Gas 不足 ≠ 地址错误

（Q58）；
* 毫秒时间戳

（Q57）；
* 同一助记词派生的多个地址要分清

（Q97/Q100 与 Q95 是同一知识点的两面）；
* 别只用一份检材

：Q93 的“发现被盗时间”在微信记录里比在别处更好找，Q94 的动机在 Clara 的微信里。题解作者的原话是“涉及‘交互’的问题，一定不要拘泥于题目中提到的单一检材”。

七、2025（第十一届）：IQ Coin 与断网环境下的链上分析

这一届的币题有两个鲜明特征：一是个人赛里“地址藏在非钱包检材里”（藏在二维码、藏在 PDF 的白色文字里）；二是团体赛整块在考“拿着截图做数据分析”——因为赛场断网，链上数据只能以截图形式给你。

7.1 个人赛：二维码 → 钱包地址 → 压缩包密码（Q92—Q96）

这一段的设计很漂亮，是一条完整的链：

加载容器（加密镜像）后，看到一个 IQ_1.jpg；
扫描其中的二维码

，得到钱包地址 0x548dafDe4B17d7d3C9485E79B3B5018801C7855E（Q92）；
* 这个地址同时就是

后面“虚拟货币交易截图”检材压缩包的解压密码——这是 2025 个人赛两个“毒点”之一；
* 在同一张截图里能看出智能合约在 BNB 链上，所以该钱包属于 BNB（Q93）；
* 在交易记录里筛选 To 列，共 1 次转入（Q94）；存入来源地址 0x6144ACfd…b3ee48c1A（Q95）；该笔转账 1,000,000,000 枚 BEP-20 IQ Coin（Q96）。

! 这条链最容易断在哪

截图上的地址只有片段（0x6144ACfd…b3ee48c1A），完整地址必须去 BscScan 查。考场上如果只盯着截图硬看，就会卡在这里——这也是为什么题解里反复强调“在线环境可以导出 CSV，离线环境才被迫看截图”。

7.2 助记词知识题（Q97）

题目是一句判断：“助记词通常由 12 到 24 个单词组成”，答案正确。但题解补充了一层：按 BIP-39 规范，助记词理论上可以由 3—24 个单词组成，但少于 12 个词熵太低、容易被爆破，所以工具会直接给出警告。这类题就是“概念题”，不练就只能猜。

7.3 藏在别处的地址（Q69、Q22）

题号	问什么	答案	关键动作
Q69	WhatsApp 群聊里机主发的一份 PDF，内容是什么	`0xe36D4bCf0132B8Dc7317C2Fb9bfa1845629F6638`	钱包地址被隐写在 PDF 里：用 PDF 编辑器能看到被设为白色的文本；或者直接 Ctrl+A 全选复制也能拿到
Q22	Safari 搜索过哪些词	ABC （含 “cypto wallet” 这个拼错的词）	看 Safari 的“搜索历史”分析结果。注意：拼错的关键词也是有效痕迹，出题人还专门在题解里点出了这个 typo

7.4 团体赛：9 道链上数据题（Q17—Q25）

案情是 IQ Coin 投资骗局。检材是一份 BscScan 交易记录，题目全部是“筛选、排序、求和、换算时间”：

题号	问什么	答案	操作
Q17	某地址在 2025 年 5 月的 BEP-20 IQ Coin 交易次数	2	按 From 筛选该地址 + 限定月份
Q18	2025-03-07 至 05-02 共多少笔交易	25	按时间区间筛选计数
Q19	某地址最近一次交易时间	2025-05-02 07:44:39	按时间排序取最后一条；截图上看不到完整地址，只能按首字符推断
Q20	该地址在 2025-04-25 09:52:36(UTC) 转出多少	150,000,000	按时间＋地址定位那一行
Q21	某笔转账 15 分钟内的最终接收地址	B （0xe36D4bCf…5629F6638）	顺着多级跳转往下追，题解原话“倒了好几次”
Q22	某地址 5 月作为发送方发起几次交易	1	按 From 筛选
Q23	该地址最早的 BEP-20 IQ Coin 交易时间(UTC)	2025-04-11 06:37:14	排序找最早（数据量不大，倒序翻也行）
Q24	BEP-20 IQ Coin 中最小的交易金额	150,000	按金额排序
Q25	截至 2025-05-03 该地址持有多少	97 亿（9,700,000,000）	To 列求和 − From 列求和 = 10,700,000,000 − 1,000,000,000
Q36	Manson 公司筹备投资的加密货币名称	IQ Coin	从 WhatsApp 对话里读出来（送分题）

i 这一届给出的最重要信号

从 2024 的“导出 CSV”到 2025 的“只有截图”，出题人在反复考同一件能力：把链上交易数据当成表格来处理（筛选、计数、排序、求和、时间换算）。2026 无论给你 CSV 还是截图，这套操作都是必须练的。

7.5 断网环境下怎么做出这些题

这是 2025 团体赛最有价值的实战细节。题解把两种环境写得非常清楚：

环境	做法
在线环境	直接在 BscScan 把交易记录导出为 CSV，用表格软件做题，最快
离线环境	拿不到原始 CSV，只能对着检材里的截图硬看；截图上的水印会污染 OCR 结果

题解作者的原话很有参考价值：“这个截图非常恶心，上面的水印会直接导致 OCR 识别出来很多脏信息，调了很久识别效果都比较差。最后拿 Photoshop 调了一下色阶曲线才让 OCR 能正常识别了。”并且补了一句：“离线 OCR 对表格的识别不太好的话，可以一列一列识别，手动拼接成一个 CSV 表格。”

✓ 可直接复用的三条实战技巧

① 截图做表格分析时，先调色阶／对比度再送 OCR，能显著减少水印噪声；② 整表识别效果差，就纯色列切成一列一列识别，再手工拼表；③ 数据量不大时（本例 25 笔），对着图硬看反而比调 OCR 快——先估一下数据量再决定路线。

7.6 这一届的易错点

时间基准。

题目会明确写 (UTC) 或 (GMT+8)，Q19/Q23 全是 UTC——换算错一次就丢分；
* 地址不完整。

截图里只有首尾片段（Q19 题解注明“只能根据首位来推断”），能查完整地址就别猜；
* 多级跳转要耐心。

Q21 的答案经过多次中转（题解原话“倒了好几次”），不要只追一跳；
* “余额”是净额。

Q25 不是只看最后一笔，而是全部转入减全部转出。

八、工具链：从官方平台到链浏览器，各自干什么用

虚拟货币取证的工具可以分成三层：官方平台（解决“链上链下身份关联”与批量分析）→ 公开链浏览器（解决“这一笔在哪、什么时间、到哪个地址”）→ 本地数据工具（解决“检材里有没有地址／助记词”）。美亚杯的题绝大多数落在第二、三层，但第一层是现在实务里进步最快的地方。

**### 8.1 美亚官方推荐/主打的虚拟货币工具

用户问到“美亚官方推荐的虚拟货币工具”，这里把两个主力产品说清楚（信息来自国投智能·美亚柏科的公开产品介绍）。

工具一：区块链云勘大师系统

维度	内容
定位	一款针对区块链虚拟货币资金交易的取证分析系统
设计主线	聚焦 “钱包、交易、人” 三大主体，追踪虚拟货币交易记录，最终落地到目标对象
核心能力	① 自动标识交易所；② 覆盖主流虚拟货币；③ 拥有数十 T 的交易数据；④ 标签数据覆盖主流交易平台
解决什么痛点	虚拟货币“匿名性”导致链上地址与真实身份脱节——它用标签把地址往回挂到人

工具二：取证云平台 — 虚拟货币分析中心

这是取证云平台里的一个板块（2025 年 3 月随平台 V2 上线强化）。它面向的是案件级的资金分析：

功能模块	干什么
地址档案	给一个地址建立档案：余额、交易统计、标签、关联身份
资金流向 / 关联关系	按资金总额、交易频次等模型，可视化画出资金流向与多地址之间的关联网络
调证分析	一键拓展分析对象的可调证信息（往上走到交易所、往人走）
地址监控	对重点地址做持续监控

它对外宣传的三项核心能力，正好对应链上取证最难的三件事：

标签能力

：融合取证大数据标签、AI 智能标签、开源情报标签，快速识别一个钱包地址的来源（是交易所？是混币器？是某个已知涉案地址？）。
* 资金分析

：融入多维资金分析模型，按资金总额／交易频次可视化分析资金流向与多地址关联。
* 调证分析

：一键拓展分析对象的可调证信息，把“链上地址”推进到“能去调证的对象”。

平台 V2 里还有三个和币案直接相关的新能力，值得记住：

新能力	一句话用法
交易所 APP 云探测	输入一个手机号，检索该号码在全球主流交易所（币安、火币、OKX 等）的注册记录——专治“一人多号分散资金”
开源数据标签	基于全网公开数据构建链上链下身份关联网络，多维度标记链上地址并关联链下身份特征
大屏动态展示	实时交易热力图、交易增量趋势、地址总数、交易所标签总数、今日大宗交易检测等

i 但请记住赛场现实

美亚杯的比赛环境是断网的。官方平台的价值在于“你会知道专业工具能做到什么程度”，而真题给你的检材是：导出的交易记录 CSV、链上截图、钱包 App 的本地数据、浏览器记录。所以备考的重点仍然是——用公开链浏览器的思路 + 表格工具，把数据看明白。

顺带一提：自动取证工具能覆盖多少

2024 个人赛的题解作者给过一句很实在的评价：“大部分题目都可以通过火眼自动取证完成，最大的挑战在于时间非常紧张……但文件系统相关的题目仍然需要使用其他工具。”

这句话对币题的启示是：钱包 App 的本地数据（比如 MetaMask 的 persist-root）属于“应用数据解析”，自动工具通常能直接提出来；而“把助记词派生成地址”“把 CSV 做资金流”这类计算与分析，自动工具帮不上忙，得自己动手。

工具三（轻量但关键）：bip39-standalone.html

除了上面那套平台，美亚杯官方还提供了一个单文件小工具 bip39-standalone.html——双击用浏览器打开即用，专门做助记词 → 地址／公钥／私钥的派生。平台解决的是“链上数据怎么查、怎么关联到人”，而这个小工具解决的是“把一句助记词变成一串具体地址”，两者正好互补。它的详细用法在 8.3，对应 2023 团体赛 Q117／Q118。

8.2 公开链浏览器四件套：考场上的主力

这是五届币题里出现频率最高的“工具”。本质就是四个网站，但用法要非常熟练。

链	浏览器	美亚杯里的出场
以太坊 Ethereum	`etherscan.io`	2023 团体赛 Q101（判合约链归属）、Q103（创建时间）、Q110（历史价格）
BNB 智能链 BSC	`bscscan.com`	2024 个人赛 Q91（题目直接问“哪个网站能查 BSC 交易”）、2025 团体赛整块
Polygon PoS	`polygonscan.com`	2023 团体赛 Q94（NFT 铸造链）
波场 TRON	`tronscan.org`	2023 团体赛 Q118 的派生目标链

先直接回答一个最常被问到的问题：BscScan 不是某个“接口”或插件，而是一个网站——浏览器里输入 https://bscscan.com 就能打开。它的身份是区块链浏览器（Block Explorer），把 BNB 智能链（BNB Chain，曾名币安智能链 BSC）上的地址、交易、区块、代币与智能合约，做成可以搜索、可以点开、可以翻页的网页。链上数据本来就是公开的，这类网站做的事只有一件：把公开数据翻译成人看得懂的样子。

四个浏览器的一句话简述

浏览器 / 网址	管哪条链	一句话简述
`bscscan.com`	BNB Chain（BSC）	本专题出场最多。由 Etherscan 团队运营，界面与 Etherscan 同源：可查地址余额与交易明细、BEP-20 代币转账、合约源码与创建交易、代币持仓排行，并支持把交易记录导出成 CSV
`etherscan.io`	以太坊 Ethereum	历史最久、功能最全的以太坊浏览器，可以理解为这一套界面的“母版”；ERC-20 代币与 ERC-721（NFT）都在这里查
`polygonscan.com`	Polygon PoS	界面与操作跟 BscScan 几乎一模一样，NFT 铸造链归属（2023 团体赛 Q94 答 Polygon PoS Chain）在这里查
`tronscan.org`	波场 TRON	波场官方浏览器，地址形如 T 开头；2023 团体赛 Q118 派生出的波场地址就是到这里核对

这里有一条很省力的规律：BscScan 与 Etherscan 由同一团队运营，PolygonScan 的界面与操作也基本一致——它们属于同一个浏览器家族。把 BscScan 用熟，另外几个几乎不用重新学，所以下面我只讲一遍固定动作。

i BscScan 在美亚杯里的分量

它出现的次数比任何链浏览器都多：2024 个人赛 Q91 直接考“哪个网站能查 Binance Smart Chain 的交易”，标准答案就是 bscscan.com。2024 的 IDFC、2025 的 IQ Coin 都是 BEP-20 代币、都跑在 BNB 链上，所以这两届整块链上资金流分析，基本都是在 BscScan 的界面里完成的。一句话记牢：BEP-20 的币，就去 BscScan。

把这四个网站的用法拆成固定动作，考场上就是肌肉记忆：

动作一：粘地址看全景。

直接搜地址 → 看余额、交易笔数、最早一笔交易。这一步回答“这个地址是活的还是死的”。
* 动作二：判链归属。

把同一个 0x… 粘进以太坊、BSC、Polygon 三家分别查——哪家有交易记录，就是哪条链。这就是 2023 Q101 的解法。
* 动作三：读合约。

搜合约地址 → 看 Token Name / Symbol / Total Supply / Creator；从 Creation 那笔交易里拿创建时间与铸造量（2023 Q102—Q104）。
* 动作四：看 Holders。

持仓排行榜能回答“第一个持有人是谁”“谁持有 5,000 万枚”（2023 Q105、Q111）。
* 动作五：点进单笔交易。

拿 TxHash、时间戳（通常是 UTC）、From、To、Value（2023 Q98/Q106、2024 团体赛 Q25）。
* 动作六：导出 CSV。

有导出功能的链浏览器，直接把交易记录导成表格——这是 2024、2025 两届团体赛资金流题的标准起手式。

✓ 一个必须养成的习惯：随手把 UTC 换算好

链浏览器上的时间是 UTC，而题目经常问 GMT+8。2024 个人赛 Q57 与 2025 团体赛 Q19/Q23 都栽在这个点上。做法：先在草稿纸上写死“UTC + 8 = 北京时间”，再开始读表。

8.3 钱包与助记词工具

MetaMask 本地数据（2024 个人赛的核心检材）

手机的 MetaMask 会把钱包数据写在 App 私有目录里，关键目录名是 persist-root。它是一份 JSON，里面能读到：

// 概念结构（字段名以实际检材为准） persist-root/....json ├─ 账号列表：4 个 0x 开头的地址 ← 2024 个人赛 Q56“钱包里有几个账号” ├─ 交易记录：含毫秒级时间戳、From/To ← 2024 个人赛 Q57（注意毫秒 vs 秒） └─ engine 字段：交易明细集中在这里 ← 题解建议“单独导出更清晰”

技巧：如果整份 JSON 又长又乱，就把 engine 这一段单独提出来看，题解里就是这么做的。

助记词派生工具：bip39-standalone.html（美亚杯官方提供的小工具）

这是美亚杯官方提供的一个单文件小工具——一个 .html 文件，双击用浏览器打开就能用，不需要安装、不需要服务器。它的底子是开源项目 iancoleman/bip39 的 standalone 构建，把 BIP-39（助记词↔种子）、BIP-32（种子→密钥树）、BIP-44（派生路径规范） 三套标准打包进了一个页面。

i 官方为什么给的是 html，而不是一个网站

因为赛场断网。任何在线派生网站都打不开，而一个本地 html 文件不用网络、不用安装、不用服务器，是断网环境下开箱可用的少数方案。它也顺带说明一个安全常识：助记词就等于钱包本身，把它敲进任何联网网站，等于把钱包交出去。

界面就几块内容，从上到下按顺序用：

位置	字段	怎么填
①	`BIP39 Mnemonic`	把 12／24 个英文单词粘进去（旁边的 Generate Random Phrase 是随机生成用的，做题时不用）
②	`BIP39 Passphrase`	没设过就留空——它不是钱包的支付密码
③	`Coin` 下拉框	选目标链：ETH - Ethereum、TRX - Tron、BNB 等
④	`Derivation Path`	选 BIP44（找不到目标链时选 BIP32 → Custom 手填路径）；下方可设 Addresses 数量（默认 20 条）
⑤	`Derived Addresses` 表	结果在这里：每行＝一个派生路径，列出 Address / Public Key / Private Key

用它做 2023 团体赛那两道题，动作完全是固定的：

题号	要什么	在工具里怎么拿
Q117	以太坊 `m/44'/60'/0'/0/0` 的公钥	Mnemonic 填入由壁纸汉字对照 txt 反查出的 12 个词 → Coin 选 ETH - Ethereum → 路径选 BIP44、确认 coin 位是 60 → 在派生表里找路径为 `m/44'/60'/0'/0/0` 的那一行（一般就是第一行）→ 取该行 Public Key
Q118	波场 `m/44'/195'/0'/0/2` 的私钥	助记词不动 → Coin 改选 TRX - Tron（列表里没有目标链时改选 BIP32 → Custom 手填）→ 确认 coin 位是 195 → 找路径 `m/44'/195'/0'/0/2` 的行（索引 2）→ 取该行 Private Key

三个用法要点，都是考场上真会踩的：

列可以点表头隐藏。

派生表列很多，点列头就能把其它列藏起来，只留要抄的那一列——否则整行复制下来，路径、地址、公私钥糊在一起，抄错一位就全错。
* 链名写法随版本略有差异。

Coin 下拉里找不到目标链，就选 BIP32 → Custom 手填路径；硬化符号用半角单引号 '（例如 m/44'/195'/0'/0/2），别写成字母 H。
* 它和题解点名的 Mnemonic-Code-Converter 是同一类工具，正好互相印证。

两个独立工具派生出同一个地址，才能确认助记词拼对了——这是防“少抄一个词、整串地址全错”最省事的办法。

! 断网环境下最容易忽视的一步

工具本身离线可用，但助记词要你先“拼”出来：2023 团体赛的助记词是壁纸上 12 个语义不通的汉字，必须先用 Documents 里那份「英文单词↔中文汉字」对照表反查成英文。这一步错了，工具算得再对也没用——所以拿两个工具各派生一次做交叉验证，是这道题最后的安全网。

智能合约 IDE：remix.ethereum.org

2023 团体赛 Q112/Q113 专门考了它：这是以太坊官方的在线 IDE，可以在浏览器里编写、编译、测试、部署 Solidity 智能合约。与之配套的考点是 Q114——“.sol”是 Solidity 源码的扩展名。看到嫌疑人电脑里有 .sol 文件 + 浏览器访问过 remix，基本就能说明他动过“发币”的念头。

8.4 本地数据与检材处理工具

场景	工具	用法要点	真题出处
交易记录做资金流	Excel / WPS 表格 / Python(pandas)	筛选 To/From 列、按时间排序、SUM 求和、去重计数	2024 团体赛 Q22—Q26；2025 团体赛 Q17—Q25
截图代替 CSV	图像处理（调色阶）+ OCR	水印会污染识别结果，先调色阶曲线再 OCR；整表识别差就一列一列识别再手工拼表	2025 团体赛 Q17—Q25
PDF 里藏地址	PDF 编辑器 / 十六进制工具	2025 个人赛 Q69：地址被设成白色文字——直接 Ctrl+A 全选复制，或用 PDF 编辑器看原本看不见的文本层	2025 个人赛 Q69
内存里捞助记词	内存镜像全局字符串搜索	2024 个人赛 Q99：图上只给了 infant、fragile 两个词，拿它们去内存镜像里全局搜，捞回完整助记词	2024 个人赛 Q99
二维码里藏地址	任意扫码工具	2025 个人赛 Q92：`IQ_1.jpg` 里的二维码扫出钱包地址，而这个地址又是另一个压缩包的密码	2025 个人赛 Q92
画资金流向图	Python / 表格自带的图表	2024 团体赛 Q23 题解用 Python 小工具画了一级→二级→最终的流向图	2024 团体赛 Q23

8.5 题型 → 工具速查表

题目特征	你该打开什么
“这个合约在哪条链上”	三个链浏览器分别粘一遍，看哪家有记录
“这个地址还干过什么”	链浏览器的地址详情页 + 内部交易 + Token 转账分页
“这笔转账的时间／哈希／金额”	链浏览器交易详情页，注意 UTC
“这个钱包属于谁 / 什么币”	钱包 App 本地数据（persist-root）+ 链浏览器
“这些地址里哪些是同一句助记词生成的”	`bip39-standalone.html` ：逐句恢复成地址后比对
“这笔钱最终到了哪”	导出 CSV → 表格筛选/求和 → 追多级跳转
“助记词 / 私钥是多少”	`bip39-standalone.html` ：选 Coin + Derivation Path，注意链与路径
“检材里有没有地址”	全局字符串搜索：搜 0x、T 开头 34 位串、wallet、address、mnemonic

九、五年重复考点与高频考点：哪些必须练到条件反射

把 77 道题按“考的是什么能力”归并，重复度非常高。下面这张表是逐题点出来的（标了届次与题号，可回原文核对）。

9.1 高频考点排行榜

排名	考点	出现届数	具体题号（届次-题号）
1	从检材中定位／识别钱包地址	5/5	2021G-Q72（wallet.conf）；2022I-Q43（钱包名）；2023G-Q97/Q105；2024I-Q95；2025I-Q92（二维码）、2025I-Q69（PDF 隐写）
2	币种识别与链归属判定	5/5	2021G-Q7/Q69；2022I-Q42；2023G-Q101；2024I-Q91；2025I-Q93、2025G-Q36
3	助记词／私钥与 BIP-44 派生	3/5	2023G-Q115—Q118；2024I-Q97/Q100、2024I-Q99（内存捞词）、2024G-Q24（用助记词认人）；2025I-Q97
4	链上交易数据表格化处理（筛选/计数/排序/求和）	3/5	2023G-Q96；2024G-Q22—Q26；2025G-Q17—Q25
5	交易所与币安生态（BSC/BscScan/BEP-20）	3/5	2022I-Q42；2024I-Q91、2024I-Q96；2025G 整块
6	交易哈希／单笔交易定位	2/5	2023G-Q98/Q106；2024G-Q25
7	时间戳与时区换算	2/5	2024I-Q57（毫秒）；2025G-Q19/Q23（UTC）
8	挖矿（矿机配置／挖矿木马）	2/5	2021G-Q69/Q70/Q72；2023G-Q130/Q132/Q133
9	NFT 与市场平台	1/5	2023G-Q94—Q100

✓ 只盯前四条，就覆盖了大半的分

前四条（找地址、判链、派生、做表格）跨了 2021—2025 每一届。把这四件事练到不需要思考，币题的基本盘就稳了。

9.2 同一考点在不同届的复现（重点看“怎么变”的）

复现一：找钱包地址——载体换了五茬

届次	地址藏在哪里	考点迁移
2021 团体赛	矿机配置文件 `wallet.conf` 的 WALLET 字段	纯文本配置
2022 个人赛	钱包客户端的本地配置（钱包名 tellaw\_ieh）	从“链上身份”到“本地身份”
2023 团体赛	Opensea 页面的买家／铸造者地址	网页数据
2024 个人赛	聊天记录里的助记词 → 派生出的被盗地址	跨检材（聊天 + 派生）
2025 个人赛	二维码图片（Q92）与 PDF 白色文字（Q69）	隐写／视觉载体

规律很清楚：出题人每隔一届就换一次地址的“藏法”。所以练的不是某个文件路径，而是“看到一个检材，先问自己：地址可能被藏在哪里”。

复现二：判链归属——从“说出来”到“查出来”

同一个知识点的考法在升级：2023 团体赛 Q101 给你合约地址、让你用链浏览器查出来它在以太坊；2025 个人赛 Q93 只给你一张截图，让你看出来“智能合约在 BNB 链上，所以是 BNB”；2025 团体赛 Q36 干脆从聊天记录里读出来。三种考法，考的是同一件事。

复现三：助记词认人——2024 年用了两次

2024 年把这个知识点在个人赛和团体赛各考了一遍：个人赛 Q97/Q100 问“哪些地址由同一句恢复短语生成”；团体赛 Q24 反向问“这些 IDFC 最终由谁掌管”——做法是把选项里 4 句助记词逐个恢复成地址，跟资金流的终点地址比对。正向问一遍、反向问一遍，这是美亚杯很喜欢的手法。

i 把这条规律用起来

凡是遇到“有一堆地址 + 几句候选助记词”的组合，条件反射就是：先把每句助记词恢复成地址，再拿地址去比对。这一步是“链上身份”与“本地身份”唯一的绑定方式。

9.3 反向提醒：看着像币题、其实不是

统计时最容易被误算进来的三类题，做题时也别被它们带偏：

看着像	实际考什么	例子
案情提到“比特币”的勒索题	勒索软件分析／加密文件识别	2021 个人赛 Q34/Q35（考点在 WhatsApp 对话内容）
标题里带“比特币”的文章	WordPress 数据库关联查询	2022 团体赛那道“比特币文章谁评论过”
浏览器访问过 `remix.ethereum.org`	域名／工具用途识别	2023 团体赛 Q112/Q113（考的是“这是什么网站”）

这不是说它们不重要，而是说：它们的分不在“虚拟货币”这条知识线上，别指望靠币的知识去拿。

十、易错点总清单：这些坑五届里反复出现

类别	易错点	正确做法	出处
概念	把“地址”当身份证据	能证明身份的是私钥／助记词，地址谁都能看到	2024I-Q92
概念	以为地址一样就是同一条链	0x 地址在以太坊／BSC／Polygon 上都存在，必须逐个链查	2023G-Q101
概念	以为代币名一样就是同一种币	看合约地址，不看名字；选项里常混近似拼写	2023G-Q102
概念	把“手续费不足”当成“地址错误”	转账失败先想 Gas——Gas 不足交易发不出去	2024I-Q58
派生	同一助记词在不同链上算同一个地址	链不同、路径不同 → 地址／私钥完全不同	2023G-Q117/Q118
派生	路径数字抄错（60 与 195）	60＝以太坊、195＝波场、0＝比特币	2023G-Q118
派生	派生出的第一个地址就往上交	先看清题目问的是哪条链、哪个序号	2023G-Q117
时间	毫秒时间戳当秒用	13 位要除以 1000；换算出 1970 年附近就是踩坑了	2024I-Q57
时间	UTC 与 GMT+8 混用	链上时间默认 UTC，题目问北京时间要 +8h	2025G-Q19/Q23
数据	“余额”只看最后一笔	余额 = 全部转入 − 全部转出	2025G-Q25
数据	资金流只追一跳	多级跳转要一路追到终点（题解原话“倒了好几次”）	2025G-Q21
数据	地址只有片段就硬猜	截图里只有首尾片段时，能查完整地址就去链上查	2025G-Q19
数据	截图直接送 OCR	水印会污染结果，先调色阶再 OCR；数据量小就硬看	2025G-Q17—Q25
检材	只信题目提到的那一份检材	“涉及交互的问题，不要拘泥于单一检材”	2024I-Q93/Q94
检材	个人赛结束就清空工作站	导出文件与案件档案要留到团体赛——2024 年真的用上了	2024G（题解自述）
复盘	把题解里的“存疑题”当标准答案背	Q107/Q108 题解自述存疑、Q110 答案与选项不符，要标注清楚	2023G-Q107/Q108/Q110

! 最贵的一类错：算对了，交错了

币题最后的答案形式往往是一长串十六进制。抄地址时少一位、大小写抄错（虽然地址本身不分大小写，但校验和格式敏感）、把 To 抄成 From——这些都不是不会，是最后一步手抖。交卷前对答案形式再看一眼：地址是不是 0x+40 位？哈希是不是 0x+64 位？

十一、要掌握哪些技能，才算真的“会做币题”

把上面的内容倒推成能力清单。可以当作自测表——每一项都问自己“我能不能不看笔记做出来”。

11.1 四级能力清单

等级	能力	自测标准
L1 认得出	认识常见币种与链，能说出 ERC-20 / BEP-20 / TRC-20 的区别；知道助记词、私钥、地址、公钥四者的关系	给一张截图，能说出这是什么链、大概是什么币
L2 找得到	知道地址／助记词可能藏在哪：配置文件、钱包 App 数据、聊天记录、图片（二维码/隐写）、PDF 文本层、内存镜像	给一份检材，能在 10 分钟内定位到可疑地址或助记词
L3 算得出	会用链浏览器判链归属、读合约、读交易；会用派生工具按 BIP-44 路径出地址／公钥／私钥；会做时间戳与时区换算	给一个助记词 + 一个路径，能算出目标链的地址与私钥
L4 追得动	会把交易记录做成表格做筛选/排序/求和；会追多级跳转还原资金流；会用助记词反查地址、把地址绑到人	给一份交易 CSV 和几句候选助记词，能画出资金流并指出最终归谁

用 2026 的备考时间算，L1 + L2 是保底，L3 是提分项，L4 决定你能不能碰团体赛的大分。

11.2 备考路线（按周推进）

阶段	目标	练什么
第 1 周：概念关	把第二章的概念全部能用自己的话讲出来	把本文第二章的 9 组概念过两遍；自己做一份“助记词→地址”的手算演示
第 2 周：链浏览器关	四个链浏览器用得跟搜索框一样熟	拿 2023 团体赛 Q94—Q111 当练习册，每个题都去链上真查一遍
第 3 周：派生关	BIP-39/44 派生不出错	用 `bip39-standalone.html` 离线复盘 2023G-Q115—Q118、2024I-Q97/Q100、2024G-Q24；反复练“换链换路径”
第 4 周：表格关	能把任意一份交易记录做成资金流	把 2024G-Q20—Q26、2025G-Q17—Q25 的交易数据导出成表，反复做筛选/求和/时间换算
第 5 周：综合关	找地址、判链、派生、追账一条龙	整届复盘：2024 个人赛（含 Q99 跨检材）+ 2024 团体赛，限时做完
考前一周：手感	别学新东西，保持手感	把本章的易错点清单当检查表，每套题交卷前过一遍

11.3 一句话总结这个专题的命题逻辑

五届走下来，虚拟货币题的命题逻辑其实非常稳定：它考的不是“你懂不懂币”，而是“你能不能把一件发生在链上的事，用检材里的痕迹还原出来”。

链上的部分：地址、交易、合约——公开、可查、讲规矩，靠链浏览器和表格就能拿下；
链下的部分：助记词藏在哪张图里、钱包名是什么、谁把图发给了谁——要靠检材交叉印证，这是拉开差距的地方；
两者之间那座桥，是派生：把助记词变成地址，才能把“链上的一串字符”和“某个具体的人”连起来。

把这座桥修好，虚拟货币这道题，就从“看运气”变成了“拿分项”。

结语：把 77 道题当练习册用

这篇文章把 2021—2025 五届、共 77 道虚拟货币相关题目做了一次完整梳理：先讲概念（第二章），再按届拆题（第三—七章），然后盘点工具（第八章），最后汇总重复考点、易错点与能力清单（第九—十一章）。

给三个具体的使用建议：

别只读不做。

第八章的每一条“用法要点”，都对应着一道真题。读完一条，就去把那道题真做一遍。
* 把易错点清单打印出来。

考前每做完一套题，花三分钟对着第十章过一遍——这比多刷一套题更划算。
* 把十章的“算对了、交错了”记在心里。

币题的分经常丢在最后抄写的那一步。

✓ 最后一句

虚拟货币这条线，五届下来没有一年缺席、没有一年换方向，只是载体在变、难度在涨。对备考的人来说，这是少有的“投入确定、回报确定”的专题——练它就对了。

资料与口径说明：本文题目统计与解题思路整理自西电 XD Forensics Wiki 公开发布的 2021—2025 五届“美亚杯”个人赛／团体赛题解与选手复盘；官方工具信息来自国投智能·美亚柏科（取证云平台—虚拟货币分析中心、区块链云勘大师系统）的公开产品介绍。凡题解本身标注“存疑”或答案与选项不符的题目，文中均已如实注明。统计口径为“题解中与虚拟货币／区块链技术直接相关的题”，仅出现币名但考点在别处的题目不计入 77 道之内。

本文为「AI 取证实战」系列 · 2026 美亚杯备赛专刊。题目统计与解题思路整理自西电 XD Forensics Wiki 公开发布的 2021—2025 五届“美亚杯”个人赛／团体赛题解与选手复盘；官方工具信息来自国投智能·美亚柏科公开产品介绍。写作口径与易错点均以题解原文为准，题解自述存疑之处已如实标注。**