BTC 钱包风险检测与恢复评估 #1146

### 1. 一句话结论
这是一枚余额为 **25.99964671 BTC** 的 Legacy 格式比特币钱包（ID 1146），目前**尚未获得明文密码**，链上交易记录**未同步**，因此转入/转出与最后活动时间均无法确认。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：ID 1146，主地址 `17mX65vgCbTChjttvEEhiD2G6p1X5y5oh7`，币种 BTC。
- **余额**：`25.99964671 BTC`（业务标注“余额很小”为**否**，即该余额被认定为有实际价值）。
- **格式与版本**：`bitcoin_legacy_bdb`，即 Bitcoin Core 旧版 Berkeley DB 钱包格式。
- **文件信息**：`wallet_25,999.dat`，大小 90,112 字节，位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_BITCOIN CORE WALLETS - 250_.../wallet_25,999.dat`。
- **密码状态**：`cracked_password/actual_password` 字段为**否**，即没有强证据表明已拿到明文密码。
- **链上数据**：未发现已同步的交易记录（页面需手动点击“同步交易”）。
- **时间线**：录入 2026-06-23 00:40:31，数据标注 2026-06-23 00:57:30，最后更新 2026-08-06 10:14:59。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包在 6 月 23 日凌晨被录入系统，当时就带着一个醒目的名字：`wallet_25,999BTC`，文件路径里还挂着“MEGA-BONUS”的批次标签。从命名和余额看，它像是某个批量备份包里的“大额样本”。

我们首先确认了它的格式是 `bitcoin_legacy_bdb`——这是 Bitcoin Core 早期常用的钱包数据库结构，意味着它的密钥和元数据都封装在 `.dat` 文件里。文件大小 90KB 左右，属于典型的小型钱包文件（通常只包含少量地址和密钥）。

随后我们检查了“是否已拿到密码”这一关键字段，结果是**否**。也就是说，虽然文件在手，但打开它的“钥匙”还没有被确认。我们也尝试去链上同步交易记录，但系统显示**未发现已同步的交易**，所以无法通过链上行为反推钱包的使用习惯或最后活动时间。

目前的状态是：**钱包文件完整、余额明确，但密码未知、交易历史空白**。我们停在了“文件已就位，等待解锁线索”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活动时间**：未知（需先同步交易才能获得时间戳）。

> 注意：当前余额 25.99964671 BTC 是钱包文件内记录的数值，但**不能**据此推断最近一笔转入/转出的时间或方向。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为**否**，即业务上认定此余额**不是**“可忽略的小额”，而是有实际价值的资产。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段未标记为“是”，因此我们**没有**已确认的明文密码、助记词或私钥。任何“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：在页面点击“同步交易”，获取该地址的历史转入/转出记录，确认最后活动时间与交易对手。
2. **检查同批次文件**：路径中“MEGA-BONUS...250_wallet”暗示同批有 250 个钱包，对比同批次其他钱包是否已有成功解锁案例，可复用其密码规律（仅作线索，不涉及攻击细节）。
3. **查找钱包备注/标签**：文件名中的“25,999BTC”可能是人为命名，检查是否有配套的说明文档或备注表。
4. **核对录入来源**：确认该文件来自哪个备份包、由谁上传，是否有原始邮件或聊天记录附带密码提示。
5. **检查钱包文件内部元数据**：通过合规工具读取 `.dat` 的非密钥字段（如创建时间、默认密钥名），辅助判断生成工具。
6. **确认是否属于“已知弱密码”测试范围**：若业务侧有“常见密码库”测试记录，可查看该钱包是否已被覆盖（仅看结果，不重复执行）。
7. **调取同地址在其他链上的活动**：若该地址在 ETH 或其他链有交易，可能关联到同一人的其他钱包线索。
8. **补充钱包导出时的环境信息**：如导出机器的 hostname、导出工具版本，可能帮助还原生成场景。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证**：已确认 `cracked_password/actual_password` 为否，说明此前尝试未获得有效明文密码，**无需重复测试同一批猜测**。
- **链上同步**：已尝试同步但无结果，需检查同步接口或节点连接是否正常，而非反复点击。
- **文件完整性**：文件大小 90,112 字节，已确认可正常读取（未损坏），无需重新下载。
- **格式识别**：已确认 `bitcoin_legacy_bdb`，排除了 SegWit 或 HD 钱包格式的干扰，后续无需再纠结格式判断。

> 下一步重点应放在**外部线索收集**（如同批次文件、来源备注）和**链上同步修复**上，而非重复已有动作。