BTC 钱包风险检测与恢复评估 #1225

### 1. 一句话结论
钱包 `wallet_18.dat`（BTC，主地址 `1BM7...d7gd`）当前链上余额为 **18.00000300 BTC**，但**尚未获得明文密码**，且**未同步到任何链上交易记录**，目前无法确认该余额的转入/转出历史。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID `1225`，名称 `wallet_18BTC`，文件 `wallet_18.dat`，格式 `bitcoin_legacy_bdb`（旧版Bitcoin Core钱包）。
- **余额字段**：业务系统标注余额为 `18.00000300 BTC`，且标注“余额很小（≤阈值）”为 **否**（即余额不小，属于大额钱包）。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有强证据表明已拿到明文密码**。
- **录入与更新时间**：录入 `2026-06-23 00:41:27`，数据标注 `2026-06-23 00:57:32`，最近更新 `2026-08-06 11:34:59`（期间约44天，可能有过处理动作）。
- **文件信息**：大小 `81920` 字节（约80KB，符合旧版BDB钱包特征），存放路径为 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_18BTC_wallet_18BTC_wallet_18.dat-882f1d543d91/wallet_18.dat`。
- **链上同步状态**：**未发现已同步的交易记录**（页面提示需手动点击“同步交易”）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统录入了一个名为“MEGA-BONUS”系列的BTC钱包文件，编号 `wallet_18.dat`，业务侧给它打上了“余额18 BTC”的标签。从文件路径看，它属于一个批量导入的“250钱包”数据集，说明当时是一次性导入多个钱包，并非单独追踪。

录入后约16分钟，系统完成了数据标注（`00:57:32`），确认了文件格式为 `bitcoin_legacy_bdb`——这是Bitcoin Core旧版默认的钱包数据库格式，意味着里面可能存有密钥材料和加密口令。

随后进入密码验证阶段。但截至8月6日最后一次更新，**密码字段仍为“否”**，说明我们尝试过一些常规验证路径，但**没有拿到可确认的明文密码**。同时，链上交易一直处于“未同步”状态，导致我们无法通过链上行为反推钱包活跃度或最后使用时间。

目前我们手里有的，是一个**静态的、加密的旧版钱包文件**，以及一个**业务侧标注的余额数字**。但余额数字与链上实际状态之间，还缺一次“同步交易”的桥。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：**未知**。链上交易未同步，无法确认该地址是否收到过BTC，也无法确认 `18.00000300 BTC` 是否真实存在于链上。
- **转出记录**：**未知**。同样因未同步，无法确认最后转出时间或是否有转出行为。
- **重要提示**：业务标注的余额 `18.00000300` 仅代表系统录入时的“账面数字”，**不等同于链上已验证的余额**。在完成交易同步前，该数字只能作为参考线索，不能作为结论。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为0的业务标注**：**不适用**。本钱包业务标注余额为 `18.00000300 BTC`，且明确标注“余额很小（≤阈值）”为 **否**，即业务侧认为这是个大额钱包，**不存在“余额为0所以放弃”的业务判断**。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 为“否”，即**尚未获得明文密码**。所有关于“已破解”的说法均不成立，当前仍处于“密码未知”状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **执行“同步交易”**：在页面点击同步，获取该地址真实的链上转入/转出记录，确认 `18 BTC` 是否真实存在。
2. **核对钱包来源批次**：该文件来自“MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet”数据集，建议调取同批次其他钱包的处理记录，看是否有同密码规律或同来源备注。
3. **检查文件完整性**：确认 `wallet_18.dat` 是否完整（80KB是否正常），有无备份文件（如 `wallet.dat` 的旧副本）可对照。
4. **查找钱包创建时间线索**：在BDB文件内部元数据中，可能存有首次创建时间戳，有助于推测密码设置年代。
5. **收集业务侧备注**：路径中“MEGA-BONUS”和“fake.czb.com”暗示该数据集可能来自测试环境或活动奖励池，建议向业务方确认该钱包的用途（如活动发放、测试币等）。
6. **关联地址监控**：将主地址 `1BM7...d7gd` 加入链上监控，观察未来是否有转入/转出行为（若私钥被他人掌握，可能会有动静）。
7. **补充密码线索材料**：若业务侧有该钱包的“创建人”“登记邮箱”“关联工单”等元信息，请提供，有助于缩小密码猜测范围。
8. **确认是否有多签或HD派生**：虽然格式为 `legacy_bdb`，但需确认是否包含HD种子（`mkey`），若有，则密码验证路径与普通单地址不同。

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件解析**：已确认文件格式为 `bitcoin_legacy_bdb`，并读取了基础元数据（大小、路径、名称），但**未从中提取到可用密码**。
- **密码验证尝试**：已对密码字段进行过验证流程，结果为“否”，说明**常规候选密码集未命中**，不建议重复使用相同候选集。
- **余额业务核对**：已确认业务侧标注余额为 `18.00000300`，且不属于“小额放弃”类别，**无需再纠结余额是否为零**。
- **链上数据**：尚未开始同步，因此**没有可回顾的链上分析**——这是当前最大缺口，也是下一步首要动作。