BTC 钱包风险检测与恢复评估 #1549

### 1. 一句话结论
这是一枚 **BTC 旧版钱包（bitcoin_legacy_bdb）**，当前链上余额 **2.68754318 BTC**，但**尚未获得明文密码**，且**链上交易记录未同步**，因此转入/转出方向暂时无法判定。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID `1549`，主地址 `15sgHDPXcgdkiAbJ78XnAiGBsJSBd5fr1e`，币种 BTC。
- **余额与业务标注**：余额 `2.68754318 BTC`，业务标注“余额很小(≤阈值)”为 **否**，说明该余额在业务上**不视为小额**。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有强证据表明已拿到明文密码**。
- **文件信息**：钱包文件名 `9я сотня 58 / 2.68753118.dat`，路径位于 `.../MEGA-BONUS_!!таблица_9я сотня 58_2.68753118.dat-b3882b42cc71/2.68753118.dat`，文件大小 `73728` 字节，格式为 `bitcoin_legacy_bdb`（旧版 Berkeley DB 格式）。
- **时间线**：录入时间 `2026-06-23 00:53:03`，数据标注时间 `2026-06-23 00:58:00`，最近更新时间 `2026-08-06 01:11:31`。
- **链上交易**：**未发现已同步的交易记录**，页面提示需手动点击“同步交易”才能获取更精确的转入/转出时间。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一个名为“9я сотня 58”的 BTC 钱包文件，大小约 72 KB，属于典型的旧版 BDB 格式。当时我们记录下主地址与余额，并打上了“余额不小”的业务标签——这意味着它值得继续跟进。

随后我们尝试对钱包文件进行基础解析，确认其结构完整、地址有效。但关键的一步——**验证密码是否已知**——始终没有拿到强证据：数据字段里 `cracked_password` 一直为“否”。也就是说，我们目前**没有可用的明文密码**，所有后续操作都卡在这一环。

到了 8 月 6 日，我们再次更新了钱包状态，但链上交易记录依然没有同步进来。没有交易历史，我们就无法判断这笔 BTC 是“很久没动过”还是“近期有进出”，这直接影响了下一步策略的优先级。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：**未知**（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：**未知**（链上交易未同步，无 `direction=send` 数据）。
- **结论**：当前**无法确认任何一笔转入或转出**，需要先完成交易同步，才能进一步分析资金流向与最后活跃时间。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：当前为 **否**，即余额 `2.68754318 BTC` 在业务上**不算小额**，不适用“余额为0/小额即放弃”的规则。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，因此**尚未获得明文密码**，所有涉及解锁、签名、转账的操作均无法进行。
- **注意**：即使余额不小，也不代表密码已破解；两者是独立维度，目前密码状态是**未成功**。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易记录**：优先在页面点击“同步交易”，获取该地址的历史转入/转出明细，判断资金活跃度。
2. **补充钱包来源背景**：文件名含“MEGA-BONUS_!!таблица”与“9я сотня 58”，建议提供该文件的来源渠道、关联活动或业务备注，有助于缩小密码线索范围。
3. **检查同批次钱包文件**：若存在同目录下其他 `.dat` 文件，可对比文件名规律与时间戳，寻找共性线索。
4. **核对录入时的备注信息**：查看录入人员是否留下任何关于密码提示、持有人或用途的备注。
5. **确认钱包是否曾被导出/备份**：若存在历史备份或导出记录，可能包含更早的密码状态或版本信息。
6. **检查地址是否出现在公开标签库**：将主地址 `15sgHDPXcgdkiAbJ78XnAiGBsJSBd5fr1e` 与已知交易所/服务商标签比对，判断资金来源属性。
7. **补充文件哈希与元数据**：提供该 `.dat` 文件的 SHA-256 哈希及创建时间，便于交叉比对其他案件或数据库。
8. **确认业务标注阈值定义**：明确“余额很小”的具体阈值（如 <0.01 BTC 还是 <1 BTC），避免后续误判优先级。

### 7. 已尝试方向回顾（避免重复投入）
- **基础文件解析**：已确认钱包格式为 `bitcoin_legacy_bdb`，文件结构完整，地址有效——此方向已完成，无需重复。
- **密码状态核查**：已确认 `cracked_password` 为“否”，说明**没有现成密码可用**，不应再假设“密码已知”而重复尝试解锁。
- **交易同步**：尚未执行（页面提示未同步），因此**不要基于“无交易”下结论**，需先完成同步再评估。
- **业务标注判断**：已确认余额不小，**不应按“小额放弃”处理**，后续投入应保持正常优先级。