群晖 NAS 已关机或重启：L0CK3D 后续处置

先不要做的事

重新启动不能重建此前的进程内存。不要反复开机“碰运气”，不要在原盘运行通用解密器、修复、清理或恢复工具，也不要删除密文、快照、回收站和已有转储。

保留这些材料

• 原磁盘及现有内存转储、交换分区或休眠材料。
• 现有 Btrfs 快照，以及快照清单。
• 电脑、手机、邮件、Git 克隆和其他位置中的同版本完好副本。
• 勒索说明、文件后缀、发现时间和已执行操作的记录。

按顺序评估

1. **先检查快照和独立副本。**有可用原件时，先验证内容，再复制到独立存储，原快照继续保留。
2. **没有可用密钥且数据卷为 Btrfs 时，评估旧数据块路线。**Btrfs 写时复制可能保留覆盖前的数据块，但实际结果取决于块映射、快照和后续写入，不能仅凭 Btrfs 或 NoCOW 标签判断。
3. **先做少量试点。**把输出写到源存储池之外的独立设备，逐文件记录验证级别。能打开预览不等于与历史原件完全一致。

不要执行 balance、defrag、discard/TRIM、修复或清理，不要为了试验而创建、删除快照。文件级密文副本并不包含旧数据块路线所需的全部文件系统元数据，必要时应由专业人员评估底层取证。

资料来源：主救援仓库关机后的路径、Btrfs 无密钥恢复条件与限制。