BTC 钱包风险检测与恢复评估 #1043

### 1. 一句话结论
这是一枚余额极低（0.000003 BTC）、且**尚未获得明文密码**的比特币 Legacy 钱包；目前链上交易记录未同步，无法确认任何转入/转出历史，下一步重点是先补齐链上同步数据与钱包来源信息。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID 1043，币种 BTC，主地址 `1BVSb5EX95oAdD6aSTQuX4Kyf6sG1m9WFn`。
- **余额状态**：当前余额 `0.00000300 BTC`，业务系统已标注“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有已知明文密码**。
- **文件信息**：钱包名 `wallet_78,659BTC / wallet_78,659.dat`，格式 `bitcoin_legacy_bdb`，文件大小 335,872 字节。
- **存储路径**：位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet_78,659BTC_wallet_78,659BTC_wallet_78,659.dat-7d8a9bce0447/` 下。
- **录入与更新**：录入时间 `2026-06-23 00:38:38`，数据标注日期 `2026-06-23 00:57:26`，最近更新 `2026-08-06 08:32:30`。
- **链上交易**：**未发现已同步的交易记录**（页面提示需手动点击“同步交易”）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一枚名为 `wallet_78,659BTC` 的 Legacy 格式钱包文件，并记录了它的主地址与文件路径。当时业务侧同步标注了“余额很小”这一事实，说明在录入阶段就已注意到该钱包资金量极低。

随后，我们对钱包文件本身做了基础检查：确认它是 `bitcoin_legacy_bdb` 格式，文件大小约 328 KB，属于常规的旧版比特币钱包数据文件。但关键字段 `cracked_password` 一直为“否”，意味着我们**从未验证过任何密码**——既没有成功案例，也没有可用的明文凭据。

到 8 月 6 日，系统再次更新了该钱包的元数据，但余额与密码状态均未发生变化。目前最大的瓶颈是：**链上交易记录尚未同步**，因此我们无法从链上行为反推任何时间线索或资金流向，整个推进停留在“文件已入库、密码未突破、链上未同步”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **说明**：当前页面明确提示“未发现已同步的交易记录”，因此任何关于“最后转出时间”或“历史转入来源”的结论均无依据，需先完成交易同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注“余额很小（≤阈值）”，这是基于当前余额 `0.00000300 BTC` 的客观判断，**不代表钱包已破解**。
- **明文密码状态**：字段 `cracked_password/actual_password = 否`，即**尚未获得明文密码，也未验证成功**。所有关于“已拿到密码”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，这是判断资金活跃度的第一手证据。
2. **补充钱包来源信息**：确认 `wallet_78,659BTC` 的原始出处（如备份来源、关联案件或业务场景），有助于判断密码设置习惯。
3. **核对文件名中的“78,659BTC”**：确认该数字是否为历史余额快照或业务编号，可能指向旧日志或备份记录。
4. **检查同批次钱包文件**：若同一路径下存在其他 `.dat` 文件，可对比其元数据（如录入时间、文件大小）寻找共性线索。
5. **调取钱包创建时间线索**：查看文件系统元数据（如 inode 时间戳）或备份记录，辅助推断钱包生成时间。
6. **确认是否存在旧版备份**：查找是否有该钱包的早期备份文件，早期版本可能未加密或使用弱口令。
7. **收集关联地址标签**：若主地址在其他案件或数据库中曾出现，可补充行为画像。
8. **明确业务目标**：确认该钱包是“待破解取回”还是“仅归档留证”，避免在低价值目标上过度投入。

### 7. 已尝试方向回顾（避免重复投入）
- **基础文件检查**：已确认钱包格式、文件大小、存储路径，无需重复核对。
- **密码状态核实**：已确认 `cracked_password` 为“否”，无需再次猜测是否已破解。
- **余额标注确认**：已确认业务侧“余额很小”标注，与当前余额一致，无需重新评估。
- **尚未开展且不应重复**：链上同步尚未执行，这是下一步首要动作；密码猜测类工作因无明文凭据且余额极低，建议暂缓投入。