BTC 钱包风险检测与恢复评估 #1076

### 1. 一句话结论
钱包 1076（BTC，主地址 176ghYzCJH6gKGxrMVrQ6RtdEoEXMPGiCX）当前账面余额为 850.00089676 BTC，但**尚未获得明文密码**，且链上交易记录未同步，转入/转出情况暂无法确认。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1076，币种 BTC，名称 `850BTC / 850BTC.dat`，格式为 `bitcoin_legacy_bdb`。
- **余额数据**：字段显示余额 850.00089676 BTC；业务标注“余额很小(≤阈值)”为**否**，即该余额不属于小额阈值场景。
- **密码状态**：`cracked_password/actual_password` 字段为**否**，即目前没有强证据表明已拿到明文密码。
- **文件信息**：文件大小 278528 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_850BTC_850BTC.dat-f371eb3a5e0a/850BTC.dat`。
- **时间线**：录入时间 2026-06-23 00:39:11，数据标注日期 2026-06-23 00:57:27，最近更新 2026-08-06 09:04:59。
- **链上数据**：交易摘要明确显示“未发现已同步的交易记录”。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，钱包 1076 被录入系统，当时标注为 `MEGA-BONUS_850BTC`，文件格式是比特币老式 BDB 钱包。我们首先确认了文件完整性和基本元数据——大小约 272KB，路径清晰，命名规则与同批次钱包一致。

随后我们检查了业务标注：余额 850 BTC 并不属于“小额阈值”场景，因此不能按小额钱包流程简化处理。同时，密码状态字段明确为“否”，说明当前没有可用的明文密码或助记词证据。

在链上数据方面，我们尝试同步交易记录，但系统返回“未发现已同步的交易记录”。这意味着我们目前无法从链上确认这笔 850 BTC 是何时进入、是否曾转出，也无法判断地址活跃度。整个过程目前停留在“文件已入库、元数据已核实、链上待同步”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要未同步，无 `direction=receive` 的统计字段可引用。
- **转出记录**：未知。同样无 `direction=send` 的统计字段可引用。
- **补充说明**：页面提示“如需更精确的最后转出时间，请先在页面点击同步交易”，说明当前数据缺口源于未触发同步动作，而非链上确实无交易。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：余额 850.00089676 BTC，业务标注“余额很小(≤阈值)”为**否**。即该钱包不适用“余额为 0 / 小额忽略”的快速处置逻辑，需按正常资产钱包对待。
- **明文密码状态**：`cracked_password/actual_password` 为**否**，即**尚未获得明文密码**。当前所有关于“已破解”的说法均不成立，后续如出现密码字段更新为“是”，才能确认拿到明文。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 在页面点击“同步交易”，拉取该地址完整链上记录（转入/转出/时间戳）。
2. 核对钱包文件来源批次（`MEGA-BONUS` 命名批次）是否有同批钱包已成功解锁，可参考其密码规律（仅作线索，不构成攻击步骤）。
3. 检查同路径下是否有同名 `.dat` 的备份文件或日志文件，可能包含版本或创建时间线索。
4. 确认该钱包是否曾关联任何已知邮箱、用户名或工单记录（站内备注字段）。
5. 调取录入时的操作员备注或上传记录，确认文件来源渠道。
6. 对比同批次钱包的“密码状态”字段分布，判断该钱包是否属于高优先级目标。
7. 若业务允许，尝试联系资产关联方（如充值记录中的来源地址）确认密码提示信息。
8. 补充钱包文件哈希值存档，便于后续交叉比对其他副本。

### 7. 已尝试方向回顾（避免重复投入）
- **元数据核实**：已完成文件大小、路径、格式、命名规则的确认，无需重复。
- **业务标注判断**：已确认非小额钱包，无需再走小额流程。
- **密码状态检查**：已确认当前无明文密码证据，无需重复查询该字段。
- **链上同步尝试**：已尝试但未成功同步，下一步应直接点击“同步交易”按钮，而非重新导入文件。
- **未尝试方向**：尚未进行任何密码猜测或字典测试（且当前无证据支持该方向），也未进行链上地址行为分析（因数据未同步）。