BTC 钱包风险检测与恢复评估 #1740

### 1. 一句话结论
截至数据标注日（2026-06-23），钱包 1740（BTC 主地址 `19sRB2M7ZySXCxdyDEj6Ji2etXna7uKkWJ`）尚未获得明文密码，且链上交易记录未同步，无法确认任何转入/转出活动；当前仅能确认这是一个 legacy 格式的 Bitcoin 钱包文件，余额是否为零需以业务标注为准。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID `1740`，币种 `BTC`，主地址 `19sRB2M7ZySXCxdyDEj6Ji2etXna7uKkWJ`。
- **文件信息**：文件名为 `Elicoin (8).dat`（原始名 `wallet.dat~1`），大小 `106496` 字节，格式为 `bitcoin_legacy_bdb`（即旧版 Berkeley DB 钱包）。
- **存储路径**：位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet.dat~1_Elicoin (8).dat-8a8d9eac1bf8/` 下。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有**强证据表明已拿到明文密码。
- **余额标注**：业务字段“余额很小(≤阈值)”为“否”，说明该钱包**未被标记为低余额**（即业务上认为余额可能不小）。
- **链上交易**：未发现已同步的交易记录，页面提示需手动点击“同步交易”才能获取更精确的转出/转入时间。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初在 2026-06-23 凌晨 00:58 录入这个钱包，当时它被命名为 `Elicoin (8).dat`，看起来像是一个从外部渠道收集到的 Bitcoin 旧版钱包文件。文件大小约 104 KB，符合 legacy BDB 格式的典型大小，因此我们判断它可能包含地址、密钥或交易历史。

在录入后，我们尝试对钱包进行基础解析与验证，但关键字段 `cracked_password` 始终为“否”，说明我们尚未能验证任何密码假设。同时，我们注意到业务侧没有将其标记为“余额很小”，这意味着从业务角度看，这个地址可能仍有价值，不能轻易放弃。

到了 2026-08-06 凌晨 04:24，系统更新了钱包状态，但链上交易记录依然没有同步。也就是说，我们目前只完成了“文件入库”和“格式识别”两个阶段，尚未进入“交易确认”和“密码验证”阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（未同步任何交易数据）。
- **转出记录**：未知（未同步任何交易数据）。
- **说明**：由于链上交易未同步，我们无法判断该地址是否有历史转入或转出行为，也无法提供“最后活动时间”。需要先在页面点击“同步交易”后，才能基于 `direction=receive/send` 字段给出明确结论。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：`余额很小(≤阈值)` 字段为“否”，即业务上**不认为**该钱包余额很小（可能余额较大或未知）。
- **明文密码状态**：`cracked_password/actual_password` 为“否”，即**尚未获得明文密码**，仍在测试阶段。
- **重要区分**：即使业务标注余额不为零，也不代表密码已破解；两者是独立维度。当前状态是“有潜在价值，但密码未验证”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出记录，确认是否仍有余额。
2. **补充钱包来源信息**：提供该 `.dat` 文件的获取渠道（如旧电脑备份、交易所导出、第三方收集），有助于缩小密码猜测范围。
3. **检查文件名线索**：`Elicoin (8).dat` 中的“Elicoin”可能是项目名或用户自定义名，可尝试作为密码提示词。
4. **核对文件修改时间**：查看文件系统元数据（如创建/修改时间），判断钱包最后使用时间，辅助推测密码设置习惯。
5. **收集关联地址**：如果该钱包曾与其他地址交易，可通过同步后的交易记录找到关联地址，进一步验证身份。
6. **确认业务标注依据**：询问业务方为何认为“余额不小”，是否有外部链上查询结果或历史记录。
7. **检查同批次文件**：路径中 `MEGA-BONUS_wallet.dat~1` 暗示可能存在同批次其他钱包文件，可对比命名规律。
8. **补充密码线索材料**：如用户曾使用过的邮箱、手机号、生日等脱敏信息（仅作为提示，不涉及明文密码）。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再重复判断文件类型。
- **基础解析**：已确认文件大小与路径，未发现异常损坏迹象。
- **密码验证**：已尝试过一轮验证，但 `cracked_password` 仍为“否”，说明当前候选密码集无效，需更换思路（如转向来源线索或字典外策略）。
- **交易同步**：尚未执行，是下一步首要动作，避免重复做无用功。