BTC 钱包风险检测与恢复评估 #1343

### 1. 一句话结论
这是一枚尚未完成链上交易同步、且**尚未获得明文密码**的 Legacy 格式 BTC 钱包（ID 1343），目前证据仅能确认钱包文件本身存在且结构为 `bitcoin_legacy_bdb`，其余资金与交易状态均需补充数据后才能进一步判断。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1343，币种 BTC，主地址 `14ckyq8qns9hBnBk9KanL3Ln9qHZ9gp7re`。
- **文件信息**：钱包名 `billeterasqr / wallet2.dat`，大小 32,768 字节，格式为 `bitcoin_legacy_bdb`（老版 Berkeley DB 钱包）。
- **路径来源**：位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_billeterasqr_wallet2.dat-0d12974e4843/wallet2.dat`，属于 `fake.czb.com` 数据集下的 review 目录。
- **时间线**：录入时间 2026-06-23 00:44:24，数据标注时间 2026-06-23 00:57:40，最近更新时间 2026-08-05 22:22:00。
- **密码状态**：字段 `cracked_password / actual_password` 明确为“否”，即**未拿到明文密码**。
- **余额标注**：业务标注“余额很小”为**否**，即当前业务侧未将其判定为低余额钱包。
- **交易同步**：链上交易摘要显示“未发现已同步的交易记录”。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一枚来自 `fake.czb.com` 数据集的钱包文件，文件名为 `MEGA-BONUS_billeterasqr_wallet2.dat`，大小正好 32KB，属于典型的 Legacy BDB 结构。我们首先确认了文件格式与主地址，并尝试在链上同步交易，但页面显示“未发现已同步的交易记录”——这意味着我们目前**看不到任何转入/转出历史**，也无法定位最后活跃时间。

随后我们检查了密码状态字段，结果显示“已知密码存在 = 否”，说明当前证据链中**没有可用的明文密码或已确认的破解结果**。业务侧同时给出了“余额很小 = 否”的标注，但这只是业务层面的阈值判断，与是否拿到密码无关——两者不能混为一谈。

截至 8 月 5 日最后一次更新，我们停留在“文件已入库、格式已确认、但交易未同步、密码未取得”的阶段。整个过程没有产生任何可确认的链上行为，也没有可验证的资金流向。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活跃时间**：未知（缺少同步交易后的时间戳字段）。
- **说明**：当前所有交易相关结论均无法从现有字段推导，需先在页面点击“同步交易”获取原始链上数据后再做统计。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小 = 否”**：这仅代表业务侧未将其归入低余额类别，**不等于**钱包余额为 0，也不代表资金已被转空。
- **明文密码状态**：字段明确为“否”，即**尚未获得任何明文密码或助记词**。所有关于“已破解”的说法均无事实依据。
- **两者关系**：即使未来余额确认为 0，也不影响密码状态的判定——余额与密码是两条独立的证据线。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先在页面点击“同步交易”，获取该地址的完整转入/转出历史，这是当前最大数据缺口。
2. **补充钱包来源上下文**：提供 `MEGA-BONUS` 数据集的项目说明或来源批次，有助于判断该钱包是否属于批量生成或测试样本。
3. **检查同目录其他钱包文件**：查看 `review` 目录下是否有同批次钱包，对比文件大小与格式，判断是否存在批量规律。
4. **确认业务标注依据**：调取“余额很小 = 否”的判定阈值与计算时间，明确是基于链上余额还是本地 UTXO 快照。
5. **获取钱包创建时间线索**：若 BDB 文件内嵌时间戳或文件名含日期信息，可辅助推断钱包生成时间。
6. **补充密码测试的合法授权记录**：若后续计划继续测试，需提供该钱包归属方的书面授权证明，确保合规。
7. **检查文件哈希与完整性**：记录当前文件的 SHA-256 等哈希值，防止后续分析时文件被篡改。
8. **关联主地址的公开标签**：在区块链浏览器中查询该地址是否被标记为交易所、混币器或已知服务商地址。

### 7. 已尝试方向回顾（避免重复投入）
- **文件格式识别**：已确认是 `bitcoin_legacy_bdb`，无需重复检测格式。
- **基础字段核对**：钱包 ID、主地址、文件路径、时间线均已记录在案，无需重新提取。
- **密码状态确认**：已明确 `cracked_password = 否`，在没有新证据（如新增字典、授权测试）前，不应盲目重复尝试。
- **链上同步**：已尝试但未成功获取交易记录，下一步应优先排查同步失败原因（如节点连接、地址格式），而非直接重复点击同步。