BTC 钱包风险检测与恢复评估 #1172

### 1. 一句话结论
钱包 1172（BTC）目前余额极低（0.00000300 BTC），且**尚未获得明文密码**，链上交易记录未同步，整体处于“待补充数据、待验证”的早期取证阶段。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 1172，币种 BTC，主地址 `14YviZsNvjTvitVGgue5vwvUv4rNgVs4sB`。
- **余额状态**：当前余额 `0.00000300 BTC`，业务系统已标注为“余额很小（≤阈值）”。
- **密码状态**：强证据字段 `cracked_password/actual_password` 显示为“否”，即**未拿到明文密码**。
- **文件信息**：钱包文件名为 `wallet_100-2.dat`（路径中含 `wallet_100BTC-2`），格式为 `bitcoin_legacy_bdb`，文件大小 102400 字节。
- **时间线**：录入时间 2026-06-23 00:40:47，数据标注日期 2026-06-23 00:57:31，最近更新 2026-08-06 10:41:30。
- **链上数据**：未发现已同步的交易记录（字段提示：如需精确“最后转出时间”，需先在页面点击同步交易）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 6 月 23 日凌晨被录入系统的。当时它被归类为“MEGA-BONUS”系列中的 `wallet_100BTC-2`，从命名看，最初可能被预期有较高余额，但实际录入时余额已经很小。我们核对了文件格式（legacy BDB）和大小（100KB），确认这是一个标准的 Bitcoin Core 老版钱包文件。

随后我们检查了“是否已拿到密码”这一关键字段——结果是“否”。这意味着我们目前只拥有这个钱包文件本身，但无法打开它去查看内部地址或私钥。同时，链上交易记录没有同步，所以我们既不知道这个地址历史上收到过多少钱，也不知道它最后一次转出是什么时候。简单说：**我们手里有一把锁着的箱子，但既没有钥匙，也还没看清箱子里原本装过什么。**

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **当前余额**：仅 `0.00000300 BTC`，但该余额是“当前快照”，不代表历史最高或累计流入。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注“余额很小（≤阈值）”，这是基于当前余额的自动判断，**不等于**“已破解”或“已清空”。
- **密码状态**：强证据字段明确为“否”，即**尚未获得明文密码**。所有关于“已拿到密码/验证成功”的说法均不成立，目前仍处于“未解锁”状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：在页面点击“同步交易”，获取该地址的历史转入/转出记录，确认资金流向。
2. **补充钱包来源信息**：该文件来自哪个设备/备份介质？是否有配套的密码提示或旧笔记？
3. **核对同批次钱包**：路径中同目录下存在 `250_wallet_100BTC-2` 等命名，检查同批次其他钱包是否已破解，可参考其密码规律（仅作线索，不用于攻击）。
4. **检查文件完整性**：确认 `wallet_100-2.dat` 是否被截断或损坏（当前 102400 字节是否完整）。
5. **寻找历史备份**：是否有该钱包更早时间点的备份文件？早期版本可能未加密或密码更简单。
6. **查询地址公开标签**：用主地址在区块链浏览器查询，看是否有交易所或服务商标记，辅助判断来源。
7. **补充“最后转出时间”**：若同步后能看到最后一笔转出，可推断钱包被弃用的大致时间。
8. **确认业务背景**：该钱包为何被录入？是用户找回、涉案扣押，还是例行盘点？背景信息有助于判断密码可能的口令习惯。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证**：已确认当前没有可用的明文密码（字段为“否”），因此**无需重复尝试“是否已破解”的判断**。
- **余额判断**：已确认当前余额极低，**无需再次核对余额字段**。
- **文件格式识别**：已确认是 `bitcoin_legacy_bdb`，**无需重新猜测格式**。
- **尚未尝试**：链上同步、同批次钱包比对、历史备份查找——这些是下一步重点，避免在“无密码”状态下反复做无效的本地猜测。