BTC 钱包风险检测与恢复评估 #1120

### 1. 一句话结论
钱包 `1120`（BTC）目前余额为 `0.00023210 BTC`，**尚未获得明文密码**，且链上交易记录未同步，因此无法确认任何转入/转出活动；当前仅能确认这是一份 `bitcoin_legacy_bdb` 格式的旧版钱包文件，业务侧已将其标记为“余额很小”。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：ID `1120`，名称 `MEGA-BONUS`，文件名为 `wallet_250.dat`，路径位于 `fake.czb.com/BTC/unknown/` 目录下。
- **格式与大小**：`bitcoin_legacy_bdb`（旧版 Berkeley DB 格式），文件大小 `200704` 字节（约 196 KB）。
- **余额状态**：当前余额 `0.00023210 BTC`，业务标注为“余额很小（≤阈值）”。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为 **否**，即目前没有已验证的明文密码。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”，意味着转入/转出时间、对手地址均未知。
- **时间线**：录入时间 `2026-06-23 00:39:59`，数据标注时间 `2026-06-23 00:57:29`，最近更新 `2026-08-06 09:50:47`。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份遗留的旧版比特币钱包文件开始。文件路径和命名（`MEGA-BONUS`、`fake.czb.com`）表明它来自一个模拟或测试环境，而非主网热钱包。文件格式为 `bitcoin_legacy_bdb`，这是早期 Bitcoin Core 使用的数据库结构，意味着它可能包含密钥池、地址簿和交易元数据。

我们首先确认了文件完整性和基本属性（大小、格式、主地址 `14Y7k6...`），并尝试读取其内部结构。随后，我们检查了业务系统对该钱包的标注——余额很小，且没有同步任何链上交易。这说明该钱包可能长期未使用，或仅作为测试地址存在。

关键转折点是：**我们始终没有拿到任何“已知密码”的强证据**。所有尝试都停留在“测试中”状态，没有一次验证成功。同时，由于链上交易未同步，我们无法通过交易时间线反推钱包活跃期，也无法判断余额是历史遗留还是近期变动。

目前，我们停留在“有文件、有地址、有余额，但无密码、无交易记录”的阶段。这更像是一个“待解锁的静态样本”，而非活跃账户。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：未知。链上交易摘要未同步，无任何 `direction=receive` 的统计字段。
- **转出（send）**：未知。同样无 `direction=send` 的统计字段。
- **结论**：当前无法判断该地址是否曾接收或发送过比特币。若需精确的“最后转出时间”或历史流水，必须先完成链上交易同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：余额 `0.00023210 BTC` 被标记为“余额很小（≤阈值）”。这是业务侧对资金规模的判断，**不代表余额为 0**，也不代表钱包无价值。
- **密码状态**：强证据字段显示 `cracked_password/actual_password = 否`。因此，**我们尚未获得明文密码**，也没有任何验证成功的记录。所有关于“已破解”的说法均为不实。
- **重要区分**：余额小 ≠ 密码已拿到。即使余额为 0，也不意味着密码已知；反之，即使密码未知，也不代表余额一定为 0。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先在页面点击“同步交易”，获取该地址的历史转入/转出记录，这是判断钱包活跃度的最直接证据。
2. **检查钱包文件内部元数据**：读取 `wallet_250.dat` 中的 `mkey`（加密密钥）和 `ckey` 结构，确认加密算法与迭代次数（仅用于取证判断，不涉及破解步骤）。
3. **查找同目录其他钱包文件**：路径 `unknown/` 下可能还有其他 `wallet_*.dat`，对比文件大小和创建时间，判断是否为批量生成的测试钱包。
4. **核对主地址 `14Y7k6...` 在公开浏览器中的历史**：即使本地未同步，也可通过区块浏览器查询该地址的链上余额与交易数（注意：需确认该地址是否曾有过大额交易）。
5. **检查业务系统日志**：查找录入时间 `2026-06-23` 前后的操作记录，确认该钱包是人工导入还是程序批量生成。
6. **确认“余额很小”阈值的具体数值**：业务标注的阈值是多少？若阈值为 0.001 BTC，则当前余额确实很小；若阈值为 0.0001，则需重新评估。
7. **尝试从备份或归档中寻找同名文件**：`MEGA-BONUS` 可能对应某个活动或促销，检查是否有配套的密码提示文档。
8. **补充钱包创建时间线索**：`bitcoin_legacy_bdb` 格式在 0.16 版本后弃用，若文件创建时间在 2018 年后，则可能是刻意构造的旧格式样本。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别与文件解析**：已确认是 `bitcoin_legacy_bdb`，并读取了基础元数据（地址、大小、路径）。**无需重复**检查文件头或格式转换。
- **密码验证尝试**：已进行过若干轮测试，但所有结果均为“未成功”。**不要重复**使用相同字典或规则，除非有新的线索（如密码提示）。
- **余额与业务标注核对**：已确认余额为 `0.00023210`，且业务侧标记为“余额很小”。**无需重复**核对数值，但需补充阈值定义。
- **链上查询**：尚未执行同步，**这是明确的缺口**，不是“已尝试但失败”，应优先补做。
- **未尝试**：未检查同目录其他文件、未查询区块浏览器、未核对业务日志。这些是下一步的增量工作，而非重复投入。