BTC 钱包风险检测与恢复评估 #1035

### 1. 一句话结论
钱包 1035（BTC，主地址 187T5PEeUHzJucdvdYRMNHqdR3No71fpja）当前链上余额为 508.29240380 BTC，但**尚未获得明文密码**，且**未同步到任何链上交易记录**，因此无法确认该余额的转入/转出历史。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1035，币种 BTC，钱包名称 `Wallet 356 BTC / wallet_356.dat`。
- **文件信息**：路径指向 `fake.czb.com/BTC/fake/MEGA-BONUS_8 BTC Wallets - All 300 +_Wallet 356 BTC_wallet_356.dat-60c98938805f/wallet_356.dat`，文件大小 339,968 字节。
- **格式版本**：`bitcoin_legacy_bdb`（比特币传统格式，BDB 数据库结构）。
- **余额数据**：当前显示余额 508.29240380 BTC；业务标注“余额很小（≤阈值）”为**否**，即该余额不属于小额钱包。
- **密码状态**：`cracked_password/actual_password` 字段为**否**，即目前**没有**任何已确认的明文密码或助记词。
- **链上同步**：交易摘要显示“未发现已同步的交易记录”，即转入/转出历史均未拉取。
- **时间线**：录入时间 2026-06-23 00:38:33，数据标注时间 2026-06-23 00:57:25，最后更新时间 2026-08-06 08:31:01。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了这个名为“Wallet 356 BTC”的钱包文件，并打上了 `bitcoin_legacy_bdb` 的格式标签。从文件路径看，它属于一个批量导入的“MEGA-BONUS_8 BTC Wallets”数据集，编号 356，文件大小约 332 KB，属于典型的旧版 Bitcoin Core 钱包文件。

录入后，系统对钱包文件进行了初步解析，确认了主地址和当前余额（508.29 BTC）。但关键的一步——密码验证——始终没有通过：`cracked_password` 字段一直为“否”。这意味着我们虽然能看到地址和余额，但无法动用或导出私钥。

到了 8 月 6 日，钱包信息被再次刷新，但状态没有变化：余额仍在，密码仍未拿到。同时，链上交易记录始终没有同步成功，所以我们无法判断这笔 BTC 是何时、从哪个地址进来的，也无法判断是否曾转出过。

简单说：**我们拿到了一个“有余额但锁着门”的钱包文件，门锁还没打开，门口的监控录像（链上记录）也还没调出来。**

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要显示“未发现已同步的交易记录”，因此无法确认任何 `direction=receive` 的转入行为。
- **转出记录**：未知。同样因未同步交易，无法确认任何 `direction=send` 的转出行为。
- **结论**：当前所有交易活动均为“未同步/未知”，不能基于余额数字推断任何转入或转出方向。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为 0 的业务标注**：不适用。该钱包余额为 508.29240380 BTC，业务标注“余额很小（≤阈值）”为**否**，即余额充足，不属于“空钱包/小额钱包”类别。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段明确为“否”，即目前**未获得**任何明文密码、助记词或私钥。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先补充链上交易同步**：在页面点击“同步交易”，拉取该地址的完整转入/转出历史，这是判断资金流向的唯一依据。
2. **补充钱包文件来源信息**：确认该文件来自哪个批次、哪个渠道（如“MEGA-BONUS_8”数据集的具体说明），有助于判断密码规则范围。
3. **补充钱包创建时间或首次使用时间**：若文件内存在 `keymeta` 或时间戳字段，可辅助推断密码设置年代。
4. **补充是否有密码提示或备注**：检查文件路径、文件名、目录名中是否包含业务备注（如“MEGA-BONUS”可能暗示活动口令）。
5. **补充同批次其他钱包的状态**：查看同数据集下其他钱包（如 Wallet 355、357）是否已成功解锁，若已解锁可参考其密码特征。
6. **补充钱包文件哈希值**：记录 SHA-256 等哈希，便于后续交叉比对或去重。
7. **补充是否有多份备份文件**：查找同名或同路径的 `.dat` 备份，可能包含旧版本密码或未加密的私钥。
8. **补充业务侧标注**：确认“余额很小”阈值定义，以及该钱包是否曾被人工标记为“高优先级”。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证尝试**：已对钱包文件执行过密码校验流程，结果均为“否”，但未记录具体尝试次数或方法（避免重复盲目测试）。
- **格式解析**：已确认钱包为 `bitcoin_legacy_bdb` 格式，并成功读取地址与余额，说明文件结构解析已完成，无需重复。
- **链上同步**：尚未成功同步交易记录，这是当前最大缺口，应优先补做，而非重复解析文件。
- **未尝试方向**：未进行同批次钱包对比、未检查文件元数据中的时间戳、未提取文件哈希——这些是下一步可做的新动作，而非重复劳动。