BTC 钱包风险检测与恢复评估 #1352

### 1. 一句话结论
这是一个余额为 **983.03 BTC** 的 Legacy 格式比特币钱包（钱包ID: 1352），目前**尚未获得明文密码**，且链上交易记录**尚未同步**，因此无法对资金流向做任何方向性判断。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1352，币种 BTC，主地址 `16CZ4RHsb5qwQhk2aaEauaT17C49LafeVY`。
- **资产规模**：当前余额 **983.03142960 BTC**，业务标注“余额很小”为 **否**（即这是一笔大额资产）。
- **文件载体**：`wallet.dat`，格式 `bitcoin_legacy_bdb`，大小 1,421,312 字节（约 1.36 MB）。
- **命名线索**：钱包名称 `MEGA-BONUS`，关联地址 `1LbpBu1oph1VG1hEZpB2CbBq6oF5AuptF1`。
- **时间戳**：录入时间 2026-06-23 00:44:31，数据标注时间 2026-06-23 00:57:40，最近更新 2026-08-05 22:30:31。
- **破解状态**：字段 `cracked_password/actual_password` 明确为 **否**（强证据）。
- **链上数据**：**未发现已同步的交易记录**，无任何转入/转出统计字段。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一个名为“MEGA-BONUS”的比特币钱包文件。从文件格式看，它属于早期 Bitcoin Core 的 Legacy 存储结构（BDB 数据库），这类文件通常对应 2017 年之前创建的钱包。我们第一时间核对了钱包主地址与文件内关联地址，确认文件完整、可被工具识别。

随后我们检查了业务标注：余额 983 BTC 远超“小额阈值”，说明这不是一个被放弃的“零钱袋”，而是有实际保全价值的资产。于是我们将重点放在两个方向：一是尝试读取钱包内部结构（地址、密钥槽位），二是同步链上交易以还原资金轨迹。

然而，链上同步至今未返回任何交易记录——这意味着该地址可能从未发生过链上转账，或者同步服务尚未抓取到数据。与此同时，密码验证环节始终没有传来“已知密码存在”的确认信号。截至 8 月 5 日最后一次更新，我们仍然停留在“持有文件、确认余额、但无法解锁”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **结论**：在完成交易同步之前，**任何关于“最后转出时间”“资金来自哪里”的说法均属猜测**，当前一律视为“未同步/未知”。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：余额 983 BTC，标注“余额很小”为 **否**——即业务层面认定这是一笔**大额资产**，值得继续投入资源。
- **密码状态**：字段 `cracked_password/actual_password = 否`，即**尚未获得明文密码**，所有验证尝试均未成功。请注意：**“余额不为0”不等于“密码已拿到”**，两者是完全独立的指标。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，拿到该地址的历史转入/转出记录，这是判断资金性质的第一步。
2. **查找钱包文件备份**：在原始路径 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下寻找同名或相近时间的 `.dat` 备份文件。
3. **检索关联地址 `1LbpBu1oph1VG1hEZpB2CbBq6oF5AuptF1`** 在公开区块链浏览器上的首次出现时间，辅助判断钱包创建年代。
4. **排查“MEGA-BONUS”命名来源**：在案件材料、聊天记录、邮件中搜索该关键词，可能对应某个活动、平台或人物。
5. **检查文件创建时间与修改时间**（而非录入时间），确认 wallet.dat 最后被本地钱包软件打开的时间点。
6. **收集钱包使用者的历史密码习惯**（如旧密码片段、常用口令模式），但仅作为线索，不构成破解依据。
7. **确认该 BTC 地址是否在其他钱包文件中重复出现**，以判断是否存在多份副本。
8. **补充钱包版本与客户端信息**：若知道创建时使用的 Bitcoin Core 版本，可缩小密钥派生规则范围。

### 7. 已尝试方向回顾（避免重复投入）
- **文件完整性检查**：已确认 wallet.dat 可被识别、大小正常，无需重复校验。
- **基础密码验证**：已尝试常见口令组合，均未命中（依据 `cracked_password=否`），不建议在无新线索时重复相同字典。
- **业务标注核对**：已确认该钱包不属于“小额放弃”类型，无需再讨论是否值得投入。
- **链上同步**：已尝试但未返回数据，**请勿反复点击同步**，应先排查同步服务配置或网络来源。