BTC 钱包风险检测与恢复评估 #1691

### 1. 一句话结论
截至数据更新日（2026-08-06），钱包 1691（BTC 主地址 18iSTMZsWvre12bTzdMAT1tmtef62FGhyn）**尚未获得明文密码**，链上交易记录未同步，且业务标注显示“余额很小”为**否**（即余额并不小），当前无法对资金动向或破解结果做任何确定性结论。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1691，币种 BTC，主地址 `18iSTMZsWvre12bTzdMAT1tmtef62FGhyn`。
- **文件信息**：钱包文件名为 `wallet.dat~1 / Goldcoin (8).dat`，格式标注为 `bitcoin_legacy_bdb`，文件大小 106,496 字节。
- **路径与时间**：存储路径为 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet.dat~1_Goldcoin (8).dat-8b7ae4e65072/Goldcoin (8).dat`；录入时间 2026-06-23 00:58:07，最近更新 2026-08-06 03:33:17。
- **密码状态字段**：`cracked_password / actual_password` 明确为“否”，即**没有已知明文密码**。
- **余额业务标注**：`余额很小(≤阈值, 业务标注)` 为“否”，说明按业务口径该钱包余额**不低于小额阈值**。
- **链上交易**：当前“未发现已同步的交易记录”，页面提示需先点击“同步交易”才能获得更精确的转出/转入时间。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日，钱包 1691 被录入系统，当时记录下它的文件格式是 `bitcoin_legacy_bdb`，也就是老式 Bitcoin Core 钱包格式，文件大小约 104 KB，属于一个中等偏小的钱包文件。文件名里带有“Goldcoin (8)”字样，推测可能是用户备份时多次复制产生的副本，但这一点只是命名推断，没有更多佐证。

随后系统对钱包文件进行了基础检查，确认它有一个主地址 `18iSTM...`，并尝试读取钱包内的密钥结构。但截至目前，**没有产生任何“已知密码”的强证据**——也就是说，我们还没有拿到可用的明文密码或助记词。

8 月 6 日，系统对钱包记录做了一次更新，但更新内容主要是时间戳刷新，并没有新增交易同步数据。链上交易摘要仍为空，这意味着我们既看不到转入记录，也看不到转出记录，无法判断资金是何时进入或离开的。

整个推进过程目前停留在“文件已入库、结构已识别、密码未破、交易未同步”的阶段，没有突破性进展。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要显示“未发现已同步的交易记录”，因此没有任何可确认的转入交易。
- **转出记录**：未知。同样因为未同步交易，无法确认任何转出行为或最后转出时间。
- **说明**：以上“未知”是数据缺口，不是“没有交易”。要得到真实结论，必须先完成链上交易同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：`余额很小(≤阈值)` 为“否”，即业务方认为该钱包余额**并不小**。注意：这是业务侧标注，不是链上实时余额，也不代表我们已确认余额数值。
- **明文密码状态**：`cracked_password / actual_password` 为“否”，即**尚未获得明文密码**，也没有任何验证成功的记录。所有关于“已破解”的说法都不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，这是判断资金动向的前提。
2. **补充钱包来源信息**：确认 `Goldcoin (8).dat` 的原始来源（如旧电脑备份、交易所导出、他人转交），有助于判断密码设置习惯。
3. **核对业务标注依据**：向业务方索取“余额很小=否”的判定依据，确认是链上余额还是历史快照。
4. **检查同批次钱包文件**：该路径下存在 `MEGA-BONUS_wallet.dat~1` 等命名，建议排查同目录其他 `.dat` 文件是否属于同一批导入，可能包含关联线索。
5. **确认钱包版本兼容性**：`bitcoin_legacy_bdb` 格式对应老版本 Bitcoin Core，确认原始客户端版本有助于判断加密算法类型（但不要尝试还原密钥）。
6. **寻找备份文件或历史导出**：查找是否有该钱包的早期备份、导出文本或纸质助记词记录。
7. **检查文件元数据**：查看文件创建时间、修改时间、所属用户等系统元数据，可能反映钱包生成环境。
8. **补充用户侧信息**：若该钱包有归属人，询问其常用的密码组合习惯或是否使用过密码管理工具（仅作线索，不涉及破解细节）。

### 7. 已尝试方向回顾（避免重复投入）
- **文件格式识别**：已确认是 `bitcoin_legacy_bdb` 老式格式，无需再重复判断文件类型。
- **基础字段读取**：已提取主地址、文件名、路径、大小、录入/更新时间，这些信息已入库，不必重复采集。
- **密码状态检查**：已确认当前无 `cracked_password` 强证据，说明此前未产生有效密码结果，后续应避免在无新线索的情况下重复相同测试。
- **链上交易查询**：尚未执行同步，这是下一步的首要动作，不属于重复投入。
- **结论**：当前最缺的不是“再试一次”，而是“新数据源”——尤其是链上交易记录和钱包来源背景。