Дмитрий

Выведите промежуточное состояние $path куда-нибудь в отладочный файл, посмотрите, чему равно. Точно ли картинка в базе хранится в таком виде? Может у вас загружена в папке png, а вы ему принудительно расширение jpg даёте? Картинки загружались веб-сервером или прямым копированием? Может быть стоит там владелец какой-нибудь root и права на чтение нет

Может быть redirect средствами веб-сервера сделан? Посмотрите в логах, откуда отдаётся этот файл?

У меня была подобная ситуация (писал тут litl-admin.ru/web-server/poisk-i-vychistka-postoro...)
Вредоносные фрагменты кода зашиваются в Wordpress темы (мой случай). Затем, на сайтах-жертвах продают ссылки. Выявить? Просмотрите html-код в браузере, пробегитесь анализатором внешних ссылок и т.д.
Обезопаситься - чистите код. Используйте только проверенные плагины, темы.

BigBlueButton не смотрели?

Вариант. На странице этого рефферера должно быть ссылка на вашу страницу. Страницу посещает бот, загружает другие страницы по ссылкам, попадает на вашу. Не должно быть ничего страшного. Посмотрите с каких IP идёт загрузка, пробейте IP. Если один и тот же - может есть смысл заморочиться с deny на файрволле? Если это поисковые машины - то и не переживайте за проблему. А что было на той странице? Не мог быть удаленный веб-шелл?

Сделать скриншот с видео, вставить его как превью. А в статью встроить видео ( с youtube, как я понимаю?)

Пробовали поправить руками? сделать поиск grep-ом всех вхождений wp_ , найти те, которые связаны с префиксами таблиц, поправить на bd_.

Если позволите, критика такого метода. Вам лучше подойдут квоты (легко реализуется средствами Linux да и Windows), выделить фиксированный объем для каждого пользователя / группы. А ограничивать способ хранения - это уже тотальный контроль. Не всегда удобно ограничиваться определенным уровнем вложенности. Как кто хранит свои личные данные - его личное дело. Кто-то кидает всё "в корень", кто-то отдельно раскладывает по папкам.

Есть весьма специфичная переведена "Хакинг: Искусство эксплуатации". Ещё может быть интересным "Форензика"

В FreeBSD я делал это так:
/etc/natd.conf:
redirect_port tcp 192.168.1.199:25500 25500
Ну разумеется, работало через демон natd

Думаю, не стоило делать форматирование. Тем не менее попробуйте другие программы восстановления данных: R-Studio, GetDataBackforNTFS, EasyRecovery. Практика показывает, что в различных случаях эти программы ведут себя по разному и восстанавливают с различным качеством. Кто-то лучше, кто-то хуже. Неплохо себя показала программа DataExtractor из комплекта PC3000