BTC 钱包风险检测与恢复评估 #1109

### 1. 一句话结论
这是一枚 **BTC 老式钱包（bitcoin_legacy_bdb）**，当前链上余额为 **0.03159732 BTC**，但**尚未获得明文密码**，且链上交易记录**尚未同步**，因此无法确认任何转入/转出活动。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID 1109，主地址 `19Ycb9ueYu1fNb4X96skxBc3DtdamoHUEG`。
- **币种与余额**：BTC，余额 `0.03159732`（业务标注“余额很小”为**否**，即该余额未触发小额阈值标记）。
- **文件信息**：文件名 `wallet_0,0314BTC_wallet_0,0314.dat`，大小 `49152 字节`，格式为 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包）。
- **路径线索**：位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet_0,0314BTC_wallet_0,0314.dat-564a024faf18/`，目录名含 `MEGA-BONUS` 与哈希后缀 `564a024faf18`。
- **时间线**：录入时间 `2026-06-23 00:39:51`，数据标注时间 `2026-06-23 00:57:29`，最后更新 `2026-08-06 09:41:30`。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为**否**，即**未拿到明文密码**。
- **链上数据**：交易摘要显示**未发现已同步的交易记录**。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包在 2026 年 6 月 23 日凌晨被录入系统，当时我们拿到的是一个 48KB 的 `.dat` 文件，从文件头格式判断属于老式比特币核心钱包（legacy BDB）。文件名里的 `0,0314BTC` 暗示了当时持有人自己标注的余额约 0.0314 BTC，与当前链上余额 `0.03159732` 基本吻合，说明这个文件在录入后没有发生大额变动。

我们首先对文件做了完整性检查，确认它不是空壳或损坏文件，然后尝试读取钱包内的地址与密钥结构。由于是老式 BDB 格式，我们确认了主地址 `19Ycb...` 的存在，并核对了链上余额。但关键卡点在于：**钱包文件本身有密码保护**，而目前所有已知的候选密码均未通过验证（强证据字段为“否”）。

同时，我们尝试在页面内同步链上交易，但系统返回“未发现已同步的交易记录”。这意味着我们目前**无法从链上行为反推最后活动时间**，也无法区分转入/转出方向。整个推进过程目前停留在“文件已解析、地址已确认、密码未破、交易未同步”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活动时间**：未知（无同步交易时间戳可参考）。
- **备注**：当前余额 `0.03159732` 为链上实时查询值，但该余额由哪些历史交易构成，目前无法从系统内数据回答。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：当前标注为**否**，即系统认为 `0.03159732 BTC` 未达到“小额忽略”阈值，仍值得继续跟进。
- **是否拿到明文密码**：**否**。强证据字段 `cracked_password/actual_password` 明确为“否”，因此**尚未获得明文密码**，所有关于“已破解”的说法均不成立。
- **当前状态**：仍在密码测试阶段，但未成功；后续若拿到密码，需重新验证并更新该字段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的历史转入/转出记录，确认最后活动时间与交易对手方。
2. **补充密码线索来源**：查找该钱包文件所在目录 `MEGA-BONUS` 相关的业务备注、邮件、工单或历史密码库，提供候选密码材料。
3. **检查同批次钱包文件**：路径中 `fake.czb.com/BTC/real/` 下是否有同批次其他钱包，可能共用密码规则或命名规律。
4. **核对文件名中的 `0,0314BTC` 与链上余额差异**：确认是否有未入账交易或找零地址未合并。
5. **提取钱包内其他地址**：老式 BDB 钱包可能包含多个地址，检查是否有其他地址存在交易记录。
6. **确认文件哈希 `564a024faf18` 的来源**：是否为原始下载校验值，可用于追溯文件来源渠道。
7. **补充钱包创建时间线索**：若文件元数据或备份记录中有创建时间，可辅助判断密码设置年代。
8. **检查是否有备份文件或历史版本**：如 `.dat.bak`、旧快照等，可能密码强度不同。

### 7. 已尝试方向回顾（避免重复投入）
- **文件格式识别与解析**：已确认是 `bitcoin_legacy_bdb`，并成功读取主地址，此方向已完成，无需重复。
- **链上余额核对**：已确认当前余额 `0.03159732`，与文件名标注基本一致，无需重复查询。
- **密码测试**：已进行过一轮候选密码验证，结果失败（强证据字段为“否”），**请勿在无新线索时重复相同密码集**。
- **交易同步尝试**：已尝试同步但未返回记录，需检查同步接口或节点连接状态，而非重复点击。
- **未尝试方向**：尚未提取钱包内非主地址、尚未检查同批次文件、尚未追溯文件来源哈希——这些是下一步重点。