BTC 钱包风险检测与恢复评估 #1088

### 1. 一句话结论
钱包 1088（BTC，主地址 12Fi3m...KPQU）目前持有 1.83913928 BTC，属于“有余额但未破解”状态：我们尚未获得任何明文密码或助记词，且链上交易记录尚未同步，因此无法确认任何转入/转出活动。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1088，币种 BTC，版本/格式为 `bitcoin_legacy_bdb`（经典 Bitcoin Core 钱包格式）。
- **余额与业务标注**：当前余额 1.83913928 BTC；业务系统标注“余额很小（≤阈值）= 否”，即该余额**不**被视为小额/低价值。
- **密码状态（强证据）**：`cracked_password / actual_password = 否`，即目前**不存在**任何已确认的明文密码或助记词。
- **文件信息**：钱包文件名为 `MEGA-BONUS / wallet_1,8391.dat`，大小 90,112 字节，存放路径为 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet_1,8391.dat-530877a90a0b/`。
- **时间线**：录入时间 2026-06-23 00:39:20，数据标注日期 2026-06-23 00:57:27，最近一次更新 2026-08-06 09:23:59。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”，即当前系统内没有可用的转入/转出统计字段。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一个名为“MEGA-BONUS”的 BTC 钱包文件，格式为经典的 Bitcoin Core 遗留数据库（`bitcoin_legacy_bdb`）。文件本身约 88 KB，包含一个主地址和 1.83913928 BTC 的余额记录。录入后半小时内完成了数据标注，确认该余额不属于“小额”业务范畴，因此被列为需要重点跟进的对象。

在后续约一个半月里，我们围绕该钱包文件进行了格式识别、路径归档和基础状态核验。8 月 6 日，系统对该钱包做了一次状态更新，但更新内容仅涉及元数据刷新，并未带来密码验证成功或链上交易同步的结果。目前，我们手里有的是一份结构清晰、余额可观的钱包文件，但缺少两个关键拼图：一是明文密码，二是链上交易历史。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：未知。当前系统未同步任何链上交易记录，无法确认该地址历史上是否收到过 BTC，以及收到的时间与金额。
- **转出（send）**：未知。同样因未同步交易记录，无法确认是否存在转出行为，也无法提供“最后转出时间”。
- **补充说明**：余额 1.83913928 BTC 是钱包文件内记录的静态数值，不等同于链上实时余额；如需精确的转入/转出明细，必须先完成链上交易同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该钱包的标注为“否”，即业务系统**不认为** 1.83913928 BTC 是小额。请注意，这个标注只反映金额大小，与破解进度无关。
- **是否拿到明文密码**：**否**。事实数据中 `cracked_password / actual_password = 否`，意味着我们尚未获得任何可用的明文密码、助记词或私钥。所有关于“已破解”的说法均不成立，当前仍处于“未取得密码”阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易记录**：优先在页面点击“同步交易”，获取该地址的完整转入/转出历史，这是判断资金流向的基础。
2. **补充钱包来源背景**：查找“MEGA-BONUS”名称对应的业务来源、录入人/部门、关联案件或任务编号，有助于判断密码可能使用的命名习惯。
3. **检查同批次钱包文件**：在 `datasets/fake.czb.com/BTC/real/` 目录下，是否存在同批次导入的其他钱包，可能共享密码规则或命名规律。
4. **核对文件完整性**：确认 `wallet_1,8391.dat` 文件是否完整、有无备份或旧版本，旧版本可能未加密或使用弱密码。
5. **收集密码线索词**：从业务上下文收集可能的密码片段（如项目名、日期、人名等），作为后续合规验证的候选材料（仅收集，不进行攻击）。
6. **确认钱包是否加密**：通过文件头信息判断该 BDB 钱包是否启用了加密；若未加密，则无需密码即可读取（需在合规授权下操作）。
7. **调取录入时的操作日志**：查看 2026-06-23 录入前后是否有操作员留下的备注、标签或附件说明。
8. **关联地址监控**：对主地址 `12Fi3m...KPQU` 设置链上监控，一旦发生交易可第一时间捕获。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别与归档**：已完成，确认是 `bitcoin_legacy_bdb` 格式，路径和文件名已记录在案。
- **基础状态核验**：已完成余额读取、业务标注判断、时间线梳理，确认当前非小额、未破解。
- **密码验证**：目前仅处于“未取得密码”状态，尚未有成功验证的记录；后续应避免在无新线索的情况下重复尝试相同方法。
- **链上同步**：尚未执行，属于明确的下一步动作，而非重复投入。
- **文件备份检索**：尚未开展，可作为新方向补充。