BTC 钱包风险检测与恢复评估 #1104

### 1. 一句话结论
钱包 1104（BTC，主地址 1BB8N1GPaFYUm6EsFCbasXTv1hjjMqZfuz）当前链上余额为 2.05423471 BTC，但**尚未获得明文密码**，且链上交易记录未同步，转入/转出情况目前未知。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1104，币种 BTC，钱包名称 `MEGA-BONUS / wallet_2,054.dat`，格式为 `bitcoin_legacy_bdb`。
- **文件信息**：路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_wallet_2,054.dat-7f939d9f7aa7/wallet_2,054.dat`，文件大小 172,032 字节。
- **余额数据**：当前显示余额 2.05423471 BTC，业务标注“余额很小（≤阈值）”为**否**，说明该余额在业务上不被视为小额。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即目前没有强证据表明已拿到明文密码。
- **录入与更新时间**：录入于 2026-06-23 00:39:48，数据标注日期为 2026-06-23 00:57:28，最近更新于 2026-08-06 09:33:00。
- **链上交易**：未发现已同步的交易记录，页面显示需要手动点击“同步交易”才能获取更精确的转入/转出时间。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份名为 `MEGA-BONUS_wallet_2,054.dat` 的旧版比特币钱包文件开始。文件本身是 `bitcoin_legacy_bdb` 格式，属于早期 Bitcoin Core 使用的 Berkeley DB 存储结构，这决定了它的读取和校验方式与新版钱包不同。

我们首先确认了文件完整性和基本元数据，包括钱包名称、路径、大小，并成功读取到主地址和当前余额。余额为 2.05423471 BTC，业务上并不算“小额”，因此这个钱包没有被标记为低价值目标。

在尝试访问钱包内容时，我们遇到的首要关卡是口令验证。根据现有字段，**没有任何强证据表明我们已经拿到明文密码**——也就是说，目前仍处于“未解锁”状态。我们也没有同步到任何链上交易记录，因此无法判断这笔余额是近期转入还是历史遗留。

整个推进过程目前停留在“已识别、未解锁、未同步”的阶段。我们清楚知道钱包长什么样、里面有多少币，但还打不开门，也看不到它过往的流水。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要显示“未发现已同步的交易记录”，因此无法确认任何一笔转入。
- **转出记录**：未知。同样因为未同步，无法确认是否有转出，也无法提供“最后转出时间”。
- **说明**：当前所有交易活动均为“未同步/未知”状态。若需进一步分析，必须先完成链上交易同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为**否**，即业务上不认为 2.05423471 BTC 是小额。这与“是否破解”无关，仅代表业务优先级判断。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 未提供强证据，因此我们**尚未获得明文密码**，仍在测试/等待有效凭据阶段。
- **重要区分**：即使余额不为 0，也不代表密码已破解；反之，余额为 0 也不代表密码一定错误。当前状态是“有钱包、有余额、无密码”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先在页面点击“同步交易”，获取该地址的历史转入/转出记录，判断资金流向和时间线。
2. **补充密码线索**：查找与钱包名称 `MEGA-BONUS` 相关的历史文档、备注、邮件或配置文件，可能包含口令提示。
3. **检查同批次钱包**：该路径下存在 `review` 目录，建议排查同目录下其他 `.dat` 文件，可能使用相同口令体系。
4. **核对录入时间上下文**：2026-06-23 录入前后是否有相关案件/任务记录，可能关联到密码来源。
5. **获取钱包创建时间**：通过文件元数据或区块高度推断钱包首次使用时间，辅助判断余额来源。
6. **检查备份文件**：寻找 `wallet_2,054.dat` 的备份副本（如 `.bak`、`.old`），旧版本可能未加密或口令更简单。
7. **确认业务标注口径**：向业务方确认“余额很小”的阈值定义，避免误判该钱包的优先级。
8. **补充地址关联分析**：若后续同步成功，可分析 1BB8N1... 地址的关联地址，判断是否存在资金归集或拆分行为。

### 7. 已尝试方向回顾（避免重复投入）
- **文件识别与格式确认**：已完成，确认是 `bitcoin_legacy_bdb` 格式，无需重复检测。
- **基础余额与地址读取**：已完成，主地址和余额已提取，无需重复读取。
- **密码验证尝试**：已进行到“未拿到明文密码”阶段，但未记录具体尝试过的字典或规则（出于安全合规，不在此列出）。**建议不要盲目重复相同口令组合**，除非有新的线索输入。
- **链上同步**：尚未执行，属于下一步待办，而非已尝试方向。
- **备份文件排查**：尚未开展，属于新增线索方向。