BTC 钱包风险检测与恢复评估 #1679

### 1. 一句话结论
该BTC钱包（ID: 1679）目前处于“有文件、无交易同步、未破解”状态：我们掌握了一个204,800字节的Legacy格式钱包文件，但链上交易尚未同步，且**尚未获得明文密码**，因此无法打开钱包查看余额或进行任何操作。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `14js9Es8MRRCq5hABmVsjyxw6Ck4BoBRX6`，币种BTC，钱包ID 1679。
- **文件信息**：文件名为 `Yenten (5).dat`（别名 `wallet.dat~1`），大小204,800字节，格式标注为 `bitcoin_legacy_bdb`（老版Bitcoin Core Berkeley DB格式）。
- **路径线索**：文件存放于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下，目录名含 `MEGA-BONUS` 与 `deb1a8eaad85`（疑似去重哈希）。
- **时间线**：录入时间 2026-06-23 00:58:07，最后更新 2026-08-06 03:22:30，数据标注日期与录入时间一致。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**未拿到明文密码**。
- **余额标注**：业务侧“余额很小(≤阈值)”为“否”，即**未被标记为小额钱包**（但这只是业务标注，不等于链上真实余额）。
- **交易数据**：链上交易摘要显示“未发现已同步的交易记录”。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统收录了这个名为“Yenten (5).dat”的钱包文件，它来自一个标注为“MEGA-BONUS”的目录，文件大小恰好是200KB的整数倍，符合老式Bitcoin Core钱包的典型尺寸。我们确认了它的格式是 `bitcoin_legacy_bdb`，这意味着它使用较老的密钥派生结构。

随后我们尝试读取钱包内容，但卡在了密码验证环节——目前没有任何证据表明我们已获得明文密码。7月到8月期间，系统对该钱包进行了状态更新（8月6日），但更新内容并未改变“未破解”的结论。同时，我们尝试同步链上交易，但页面显示“未发现已同步的交易记录”，说明该地址的链上活动尚未拉取成功，无法判断它是否真的有过转账。

简单说：**我们有一把锁着的保险箱（钱包文件），知道它的大致型号（Legacy/BDB），但既没有钥匙（密码），也还没查到保险箱在银行（链上）的流水记录。**

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易未同步，无法确认该地址是否收到过BTC。
- **转出记录**：未知。同样因未同步，无法确认任何转出行为。
- **特别说明**：业务标注“余额很小=否”仅代表运营侧未将其归为小额钱包，**不能**作为链上余额的替代证据。如需真实交易方向与时间，必须先完成交易同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：该钱包**未被**标记为“余额很小（≤阈值）”。但这只是内部业务分类，与链上实际余额无直接对应关系。
- **明文密码状态**：**尚未获得明文密码**。字段 `cracked_password/actual_password = 否`，因此目前无法打开钱包，也无法导出私钥或助记词。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的历史转入/转出记录，这是判断钱包价值与活跃度的第一手证据。
2. **补充文件来源信息**：查找 `MEGA-BONUS` 目录的上下文（如来源批次、关联案件或活动名称），可能暗示密码设置习惯。
3. **检查同批次钱包**：对比同一目录下其他 `.dat` 文件的命名规律与密码策略，寻找共性线索（仅作规律参考，不涉及攻击）。
4. **核对文件哈希**：确认 `deb1a8eaad85` 是否为文件去重哈希，并检索是否在其他钱包中出现过，用于关联分析。
5. **确认“Yenten”含义**：Yenten 是一种加密货币，该文件名可能暗示钱包曾被用于Yenten相关活动，可查该币种的历史空投或导入工具。
6. **检查钱包创建时间线索**：通过BDB文件内部结构（如`mkey`加密时间戳）推断创建时间，但需在合规工具下进行。
7. **补充用户提供的密码线索**：若钱包所有者曾留下任何密码提示、旧笔记或常用密码片段，请作为补充材料提交。
8. **评估业务必要性**：若该钱包长期无交易且无密码线索，建议与业务方确认是否继续投入资源。

### 7. 已尝试方向回顾（避免重复投入）
- **基础格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再重复检测文件类型。
- **密码验证**：已进行过一轮密码尝试（具体方式不展开），结果未成功，且未获得任何“已知密码”字段。
- **交易同步**：已尝试同步但未成功，需检查节点连接或地址格式后再试，而非重复点击。
- **业务标注核对**：已确认该钱包不属于“小额钱包”分类，无需再向业务方重复询问此标注。

> 下一步请优先补充“链上同步结果”与“文件来源背景”，这两项对判断该钱包是否值得继续投入最为关键。