BTC 钱包风险检测与恢复评估 #1237

### 1. 一句话结论
该钱包（ID: 1237）是一枚持有约 **478.33 BTC** 的比特币 Legacy 格式钱包，目前**尚未获得明文密码**，且链上交易记录**尚未同步**，因此转入/转出活动暂无法解读。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID `1237`，币种 `BTC`，主地址 `14yP9NugLeBoFSfi5E7T8vsFCHB3CH3cPi`。
- **余额**：`478.33354923 BTC`（业务标注“余额很小”为 **否**，即余额显著）。
- **格式与文件**：`bitcoin_legacy_bdb`，文件名 `wallet_478.dat`，大小 `745472` 字节，路径指向 `MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_478BTC...` 数据集目录。
- **时间线**：录入 `2026-06-23 00:41:35`，数据标注 `2026-06-23 00:57:33`，最近更新 `2026-08-06 11:51:30`。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**（强证据缺失）。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份名为 `wallet_478.dat` 的 Legacy 钱包文件入手。文件路径显示它来自一个批量整理的“250 个钱包”数据集，命名中带有“478BTC”字样，提示该钱包可能对应一笔大额余额。录入时系统记录了主地址与余额，并标记为“余额很小=否”，说明业务侧认为这是一枚高价值目标。

随后我们核对了密码状态字段，发现**没有强证据表明密码已被还原**，即 `cracked_password` 为否。同时，链上交易摘要为空，说明我们尚未拉取或同步该地址的链上历史记录。因此，目前我们只能确认“文件在手、余额在账”，但既无法证明密码已破解，也无法描述资金流向。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **说明**：当前余额 478.33 BTC 来自钱包文件内部记账，但该余额是否与链上实际 UTXO 一致，需等待交易同步后才能交叉验证。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：`余额很小=否`，即业务侧认为该钱包余额**不为零且显著**（478 BTC 量级）。
- **明文密码状态**：**尚未获得**。字段 `cracked_password/actual_password = 否`，因此我们**不能声称已破解**，只能表述为“仍在测试/未验证成功”。
- **注意**：余额不为零 ≠ 密码已拿到；两者是独立维度。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，验证余额真实性。
2. **核对钱包文件完整性**：确认 `wallet_478.dat` 未损坏，且与主地址 `14yP...` 的密钥派生关系一致。
3. **检查同批次数据集**：路径中“250 个钱包”提示存在同类文件，可横向比对命名规律与时间戳，寻找线索。
4. **收集密码线索**：查找与 `wallet_478BTC` 相关的备注、文件名后缀、目录名（如 `MEGA-BONUS`）是否隐含密码提示。
5. **确认钱包版本**：`bitcoin_legacy_bdb` 对应 Bitcoin Core 旧版 BDB 格式，确认客户端版本以匹配解密流程。
6. **检查文件元数据**：文件大小 745472 字节，可对比同批次其他钱包文件大小，判断是否包含额外密钥或元数据。
7. **补充来源信息**：获取该钱包的原始来源（如导出人、导出时间、用途说明），有助于缩小密码猜测范围。
8. **评估余额来源**：若链上同步成功，优先分析首笔转入时间与金额，判断是否为“归集钱包”或“历史挖矿收益”。

### 7. 已尝试方向回顾（避免重复投入）
- **密码状态核验**：已确认 `cracked_password` 为否，说明此前未产生有效破解结果，**无需重复测试同一批假设**。
- **链上同步**：当前交易摘要为空，说明尚未执行或完成同步，**不要重复假设“已有交易数据”**。
- **余额判断**：已确认业务标注“余额很小=否”，**不要再将余额视为零或小额**。
- **格式识别**：已明确为 `bitcoin_legacy_bdb`，**无需再猜测格式类型**。
- **文件路径与命名**：已记录完整路径与文件名，**无需重新定位文件**。