BTC 钱包风险检测与恢复评估 #1214

### 1. 一句话结论
这是一个余额为 **19.28012868 BTC** 的比特币 Legacy 格式钱包（ID: 1214），目前**尚未获得明文密码**，且链上交易记录**尚未同步**，因此无法对资金流向做任何转入/转出判断。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1214，主地址 `1BYhXDUfh8uWVaY1DG8QPxdCzCFj3d71v`（BTC 网络）。
- **余额**：19.28012868 BTC，业务标注为“非小额”（即未触发 ≤ 阈值标记）。
- **文件信息**：`wallet_19,28.dat`，格式 `bitcoin_legacy_bdb`，大小 425,984 字节。
- **路径线索**：位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_BITCOIN CORE WALLETS - 250_...` 目录下，文件名含“MEGA-BONUS”与“250”字样，推测来自批量钱包数据集。
- **时间线**：录入 2026-06-23 00:41:20，数据标注 2026-06-23 00:57:32，最近更新 2026-08-06 11:24:29。
- **密码状态**：`cracked_password/actual_password` 字段为“否”，即**没有强证据表明已拿到明文密码**。
- **链上数据**：未发现已同步的交易记录（字段缺失）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一批名为“MEGA-BONUS”的比特币 Core 钱包文件中定位到了这个 `wallet_19,28.dat`。文件本身是标准的 Legacy BDB 格式，大小约 416 KB，内部结构完整，没有损坏迹象。

在初步梳理时，我们确认了它的主地址和余额字段，并注意到业务系统给它打上了“非小额”的标签——这意味着它不在“余额极小、可快速忽略”的名单里，值得继续跟进。

随后我们检查了“是否已拿到密码”这一关键字段，结论是**否**。也就是说，虽然文件在手，但我们并没有掌握它的明文口令或助记词。同时，我们尝试在页面触发交易同步，但系统返回“未发现已同步的交易记录”，因此链上收支情况目前是**空白**的。

简单说：我们拿到的是一个“有余额、有文件、但没密码、没交易流水”的钱包。推进到这里，卡点在于**密码未知**和**链上数据未同步**。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活动时间**：无法确认（缺少同步交易的时间戳字段）。

> 说明：在完成链上同步之前，任何关于“钱从哪里来、到哪里去”的描述都属于臆测，本报告一律不写。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：否。余额 19.28 BTC 远高于小额阈值，业务系统未将其标记为可忽略。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段明确为“否”，因此我们**没有**验证成功的密码，也没有任何明文口令可展示。所有涉及密码的内容一律按“[已脱敏]”处理。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整收支流水与最后活动时间。
2. **检查同批次文件**：该目录下存在“250_wallet”批量文件，对比同批次其他钱包是否已有成功解锁案例，可复用其元数据特征（非密码本身）。
3. **核对文件名语义**：`wallet_19,28BTC` 中的“19,28”是否对应余额或编号，可能与密码生成规则有关（仅作线索，不展开）。
4. **查找配套说明文档**：在 `fake.czb.com` 数据集根目录下寻找 README 或清单文件，确认这批钱包的创建背景。
5. **检查 BDB 内部元数据**：通过合规工具读取钱包的 `mkey` 加密参数与迭代次数（不涉及明文），评估密码复杂度。
6. **调取录入日志**：查看 2026-06-23 00:41 前后是否有操作员备注或来源标记。
7. **确认“MEGA-BONUS”活动背景**：若该批次来自某历史活动，可查公开资料推测密码习惯（仅作背景调研）。
8. **补充文件哈希与来源链**：记录该 `.dat` 文件的 SHA-256，便于后续与其它副本比对，排除重复或篡改。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证**：已确认当前无任何明文密码可用，**不要**再基于“已有密码”做二次校验。
- **链上查询**：已尝试同步交易，但返回“无记录”，**不要**重复点击同步，应先检查节点连接或地址格式。
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，**不要**再花时间猜测是否为 SegWit 或 HD 钱包。
- **余额判定**：已确认非小额，**不要**再走“余额为0可跳过”的快速通道。

> 下一步重点应放在“同步交易”和“同批次文件对比”上，而不是重复测试密码或重新解析文件格式。