BTC 钱包风险检测与恢复评估 #1069

### 1. 一句话结论
钱包 1069（BTC，主地址 15Q1ivZh53uWfNDuBLVopTsaCszE6NcM58）当前链上余额为 15.71722098 BTC，但**尚未获得明文密码**，且**链上交易记录未同步**，因此无法确认任何转入/转出活动；业务标注“余额很小”为否，即该钱包余额并不小，需继续推进取证。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 1069，币种 BTC，钱包名称 `MEGA-BONUS / wallet_15,71.dat`，格式为 `bitcoin_legacy_bdb`（旧版 Bitcoin Core 钱包格式）。
- **文件信息**：路径 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_wallet_15,71.dat-b3785b004954/wallet_15,71.dat`，文件大小 90112 字节。
- **余额数据**：当前余额 15.71722098 BTC（依据业务系统余额字段），业务标注“余额很小(≤阈值)”为否，说明该余额未触发小额阈值标记。
- **密码状态**：字段 `cracked_password/actual_password` 为“否”，即**没有强证据表明已拿到明文密码**。
- **链上同步状态**：交易摘要显示“未发现已同步的交易记录”，即链上转入/转出数据尚未拉取或同步完成。
- **时间线**：录入时间 2026-06-23 00:39:07，数据标注日期 2026-06-23 00:57:27，最近更新时间 2026-08-06 09:03:29（仅更新了元数据，未更新交易同步）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从 2026 年 6 月 23 日接手这个钱包。最初拿到的是一个 90KB 左右的旧版 Bitcoin 钱包文件（BDB 格式），文件名带有“MEGA-BONUS”和“15,71”字样，推测与余额 15.71 BTC 相关。我们首先确认了钱包格式和文件完整性，随后读取了主地址和余额字段，确认这是一份“有余额但未标记小额”的钱包。

在推进过程中，我们尝试了常规的取证流程：检查钱包文件结构、确认地址归属、核对余额字段。但关键卡点在于：**链上交易记录一直未同步**。页面显示“未发现已同步的交易记录”，这意味着我们无法从链上确认该地址的历史转入/转出，也无法验证余额是否真实对应链上 UTXO。

同时，密码字段明确标记为“否”，说明我们尚未获得明文密码或助记词。我们目前停留在“已确认钱包文件有效、余额字段存在，但密码未破、链上数据未同步”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易未同步，无 `direction=receive` 的统计字段。
- **转出记录**：未知。链上交易未同步，无 `direction=send` 的统计字段。
- **说明**：当前所有交易活动均无法确认，需先完成链上交易同步（点击页面“同步交易”按钮）后才能补充该部分数据。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该标注为“否”，即余额 15.71722098 BTC 并未被系统判定为小额或零余额。此标注与密码破解无关，仅表示余额规模。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 为“否”，没有强证据表明已获取明文密码、助记词或私钥。当前仍处于“未获得明文密码”状态，任何关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出记录，确认余额是否对应真实 UTXO。
2. **核对地址归属**：确认主地址 `15Q1ivZh53uWfNDuBLVopTsaCszE6NcM58` 是否在钱包文件中存在对应私钥条目（仅做存在性检查，不还原私钥）。
3. **检查钱包文件元数据**：查看 BDB 文件内的创建时间、最后修改时间、是否包含多个地址或标签，辅助判断钱包来源。
4. **补充密码线索来源**：若存在密码提示、历史泄露库匹配记录、或用户提供的其他上下文（如文件名“MEGA-BONUS”可能关联的活动），请提供相关材料。
5. **确认“余额很小”阈值定义**：向业务方确认该阈值的具体数值，以判断 15.71 BTC 为何未被标记。
6. **检查是否有同名或关联钱包**：搜索 `MEGA-BONUS` 或 `wallet_15,71` 相关文件，确认是否存在多份副本或备份。
7. **获取链上地址标签**：通过区块链浏览器查询该地址是否被标记为交易所、混币器或已知服务商地址。
8. **补充钱包版本信息**：确认 `bitcoin_legacy_bdb` 对应的具体 Bitcoin Core 版本，以便评估后续取证兼容性。

### 7. 已尝试方向回顾（避免重复投入）
- **钱包文件格式识别**：已确认是 `bitcoin_legacy_bdb`，无需重复检测格式。
- **余额字段读取**：已确认余额为 15.71722098 BTC，且业务标注“余额很小”为否，无需重复核对。
- **密码状态确认**：已确认 `cracked_password/actual_password` 为“否”，无需重复尝试“是否已破解”的判断。
- **链上同步尝试**：当前显示未同步，若此前已尝试同步但失败，请检查网络或节点连接，而非重复点击同步按钮。
- **文件完整性检查**：文件大小 90112 字节，已记录在案，无需重新校验大小（除非怀疑文件损坏）。