BTC 钱包风险检测与恢复评估 #1113

### 1. 一句话结论
这是一枚BTC老格式钱包（bitcoin_legacy_bdb），当前链上余额约0.00073681 BTC，业务系统已将其标注为“小额钱包”；但截至目前，我们**尚未获得任何明文密码或助记词**，且链上交易记录尚未同步，因此无法确认任何转入/转出历史。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1113，主地址 `18TL7s9jeHkQXD9qmWR9Zam3pedeHr5mvB`，币种BTC。
- **文件信息**：钱包文件名为 `wallet_75.dat`（业务别名 wallet_75BTC），路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_wallet_75BTC_wallet_75BTC_wallet_75.dat-e8fa13c25276/`，文件大小114,688字节。
- **格式版本**：`bitcoin_legacy_bdb`，属于老式Berkeley DB钱包格式。
- **余额状态**：当前余额0.00073681 BTC，业务标注为“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有强证据表明已拿到明文密码**。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”，即链上活动尚未拉取，转入/转出均无法统计。
- **时间线**：录入时间2026-06-23 00:39:54，数据标注日期2026-06-23 00:57:29，最近更新2026-08-06 09:42:30。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包是在2026年6月23日凌晨被录入系统的。当时系统只登记了它的文件路径、格式和地址，并顺手做了一次余额快照——显示为0.00073681 BTC，业务侧随即打上了“小额”标签。

之后我们尝试对钱包文件本身做基础检查：确认它是老式BDB格式，文件大小约112KB，属于典型的单地址轻量钱包。我们尝试读取钱包内部结构，但**没有触发任何“密码已确认”的标记**——也就是说，我们目前只完成了“文件识别”和“格式确认”这两步，尚未突破加密层。

到8月6日，系统做了一次状态更新，但链上交易同步仍未完成。所以现在最准确的说法是：**我们有一枚格式明确、余额很小、密码未知、链上历史为空的钱包**。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活动时间**：无法确认，需先完成交易同步。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注“余额很小（≤阈值）”，这是基于当前余额0.00073681 BTC的自动判断，**不代表钱包已清空或已破解**。
- **明文密码状态**：字段明确为“否”，即**尚未获得密码/助记词/私钥**。所有涉及“已破解”的说法均不成立，当前仍处于“未验证”阶段。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：点击页面“同步交易”，拉取该地址全部历史记录，确认是否有大额进出。
2. **补充钱包来源背景**：文件名含“MEGA-BONUS”，建议提供该钱包的业务来源说明（如活动赠币、测试币、历史遗留）。
3. **确认录入时的初始余额**：调取2026-06-23录入时刻的完整快照，判断余额是否曾被改动。
4. **检查同批次钱包**：该路径下是否有同批次的 `wallet_*.dat` 文件，对比格式与密码策略是否一致。
5. **提供钱包创建时间线索**：若文件元数据或备份记录中有创建时间，可辅助判断是否属于早期测试钱包。
6. **补充地址关联信息**：该地址是否曾在其他案件/报告中出现过，可交叉验证。
7. **确认业务标注阈值定义**：明确“≤阈值”的具体数值，判断该余额是否属于“忽略级”。
8. **保留原始文件完整性**：确保 `wallet_75.dat` 未被修改，便于后续合规取证。

---

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需重复检测文件类型。
- **基础余额读取**：已获取当前余额，无需重复查询。
- **密码状态确认**：已确认 `cracked_password=否`，不要再投入资源去“验证是否已破解”。
- **链上同步**：尚未执行，这是下一步首要动作，但注意同步后需重新解读交易方向。
- **未尝试方向**：未做任何字典/规则类尝试（且按安全规则，不提供具体攻击步骤），也未做文件内容深度解析——这两块需在拿到明确授权与补充线索后再评估。