BTC 钱包风险检测与恢复评估 #1256

### 1. 一句话结论
这是一枚余额极小的 BTC 遗留钱包（当前余额 0.00063105 BTC），目前**尚未获得明文密码**，且链上交易记录尚未同步，因此无法确认任何转入/转出活动；业务上标注“余额很小”仅代表金额阈值判断，与密码是否破解无关。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1256，主地址 `17XcrKU25EYgeWHzp28eyUi8NtwhDDhriD`，币种 BTC。
- **余额状态**：当前余额 `0.00063105 BTC`，业务字段 `余额很小(≤阈值)=是`。
- **密码状态**：字段 `已知密码存在(强证据)=否`，即**没有**任何已确认的明文密码或验证成功的记录。
- **文件信息**：钱包名 `wallet_1128BTC / wallet_1128.dat`，格式 `bitcoin_legacy_bdb`（Bitcoin Core 旧版 Berkeley DB 格式），文件大小 552,960 字节。
- **存储路径**：位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_1128BTC_wallet_1128BTC_wallet_1128.dat-4bcef4d015b3/wallet_1128.dat`。
- **录入与更新**：录入时间 2026-06-23 00:41:49，数据标注日期 2026-06-23 00:57:33，最近更新 2026-08-10 06:21:11。
- **链上数据**：`未发现已同步的交易记录`，即当前系统内没有可用的转入/转出明细。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
事情要从 2026 年 6 月 23 日凌晨说起。那天系统录入了一个名为 `wallet_1128.dat` 的 BTC 钱包文件，它来自一个名为“MEGA-BONUS_BITCOIN CORE WALLETS”的批量数据集，编号 250。我们把它登记为钱包 ID 1256，并记录了它的主地址和文件大小——552,960 字节，属于典型的 Bitcoin Core 旧版钱包（BDB 格式）。

录入后，我们第一时间做了两件事：一是检查余额，发现只有 0.00063105 BTC，业务上自动打了“余额很小”的标签；二是检查密码状态，结果字段显示“否”——也就是说，我们手里并没有这个钱包的现成密码，也没有任何验证成功的记录。

到了 8 月 10 日，系统对这条记录做了一次更新，但更新的内容主要是元数据（比如路径、格式确认），并没有带来密码或交易上的突破。我们尝试去同步链上交易，但页面返回的结果是“未发现已同步的交易记录”。这意味着，我们目前既没有密码，也没有交易历史可供分析，整个推进还停留在“文件已入库、基础信息已确认”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要显示“未发现已同步的交易记录”，因此没有任何可确认的收款（转入）数据。
- **转出记录**：未知。同样因未同步交易，无法确认任何付款（转出）行为或最后转出时间。
- **补充说明**：当前余额 0.00063105 BTC 是系统内显示的数字，但它既不能证明“最近有转入”，也不能证明“最近有转出”——它只是一个静态余额快照。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：这是系统基于金额阈值（≤阈值）自动打的标签，仅用于提示该钱包资金量低，**不代表**钱包为空，也不代表密码已失效。
- **是否拿到明文密码**：**否**。字段 `已知密码存在(强证据)=否` 明确显示，我们目前没有该钱包的明文密码、助记词或私钥，也没有任何“验证成功”的记录。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的历史转入/转出记录，这是判断资金流向的前提。
2. **补充钱包来源背景**：确认 `MEGA-BONUS_BITCOIN CORE WALLETS - 250` 这批数据的来源说明或配套清单，可能包含密码线索或用途备注。
3. **检查同批次钱包**：对比同目录下其他 `wallet_*.dat` 文件的命名规律与状态，看是否存在共用密码或已知密码的相邻钱包。
4. **核对文件完整性**：确认 `wallet_1128.dat` 是否被截断或损坏（文件大小 552,960 字节是否与正常 BDB 钱包一致）。
5. **查找历史备注**：在系统日志或录入批次中搜索钱包 ID 1256 或文件名 `wallet_1128`，看是否有早期人工备注。
6. **确认“余额很小”阈值定义**：向业务方确认该阈值的具体数值，避免误判资金重要性。
7. **尝试只读打开钱包**：在不做任何修改的前提下，用合规工具读取钱包元数据（如创建时间、密钥类型），确认是否包含加密标志。
8. **补充用户关联信息**：如果该钱包曾关联某个账号或工单，调取关联记录可能提供密码提示或使用场景。

### 7. 已尝试方向回顾（避免重复投入）
- **基础信息登记**：已完成钱包 ID、地址、文件路径、格式、大小的录入与确认。
- **密码状态核查**：已确认“已知密码存在=否”，无需再次重复检查该字段。
- **链上同步尝试**：已尝试同步交易，但结果为“未发现已同步记录”——后续应优先排查同步失败原因，而非重复点击同步。
- **余额阈值标注**：已由业务系统自动完成“余额很小”标记，无需人工重复判断。
- **未尝试方向**：尚未进行任何密码猜测或字典测试（且根据安全规则，不提供具体攻击步骤）；也未进行文件内容解析或同批次对比，这些可作为下一步重点。