BTC 钱包风险检测与恢复评估 #1027

### 1. 一句话结论
钱包 1027（BTC，主地址 1BfP3D5V2yDFtfRmkT4K6MEwsizLxXp4hz）目前持有 1.39498354 BTC，但尚未获得明文密码，且链上交易记录未同步，无法确认任何转入/转出活动。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1027，币种 BTC，版本/格式为 `bitcoin_legacy_bdb`（老式 Bitcoin Core 数据库格式）。
- **资产余额**：当前余额 1.39498354 BTC，业务标注“余额很小”为**否**，即该余额不视为低价值。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有**强证据表明已拿到明文密码。
- **文件信息**：钱包文件名为 `MEGA-BONUS / wallet_1,394.dat`，大小 57,344 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/...`。
- **时间线**：录入时间 2026-06-23 00:38:27，数据标注时间 2026-06-23 00:57:25，最近更新时间 2026-08-06 08:22:00。
- **链上交易**：页面显示“未发现已同步的交易记录”，即当前没有可用的转入/转出统计字段（direction 数据缺失）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 6 月 23 日凌晨被录入系统的，当时我们拿到的是一个老式 Bitcoin Core 格式的钱包文件（`wallet_1,394.dat`），文件大小约 56 KB，属于典型的轻量级钱包数据库。从命名看，它被标记为“MEGA-BONUS”，可能来自某个活动或批量导入任务。

录入后约半小时，系统完成了数据标注（00:57），确认了钱包地址和余额。此后我们一直在尝试推进密码恢复工作，但截至 8 月 6 日最后一次更新，**密码验证仍未成功**——也就是说，我们还没有拿到能解锁这个钱包的明文密码或助记词。

同时，我们注意到链上交易记录一直处于“未同步”状态。这意味着我们目前只能看到钱包内部的静态数据（地址、余额、文件信息），而无法判断这些 BTC 是什么时候、从哪来、是否曾转出。没有同步交易，就没有 `direction=receive/send` 的统计字段，所以任何关于“转入/转出”的说法都只能是猜测。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：未知。当前没有已同步的交易记录，无法确认该地址是否收到过任何 BTC。
- **转出（send）**：未知。同样因交易未同步，无法确认是否有过转出行为。
- **净变化**：未知。余额 1.39498354 BTC 是当前快照，但缺少历史流水，无法判断是累计所得还是单笔遗留。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为“否”，即系统**不认为**这个余额是小额或低优先级。1.39498354 BTC 在当前业务口径下属于需要继续跟进的资产。
- **是否拿到明文密码**：**否**。事实数据中 `cracked_password/actual_password` 为“否”，因此我们**尚未获得**任何可用的明文密码、助记词或私钥。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先在页面点击“同步交易”，获取该地址的历史流水，这是判断转入/转出的唯一合规途径。
2. **补充钱包来源信息**：查找“MEGA-BONUS”命名的导入批次记录，确认该钱包来自哪个活动或哪批数据。
3. **核对文件完整性**：确认 `wallet_1,394.dat` 是否完整、有无备份或同名文件，防止文件损坏导致误判。
4. **检查关联地址**：通过区块链浏览器查询主地址 1BfP3D5V2yDFtfRmkT4K6MEwsizLxXp4hz 的公开交易记录（注意：这属于外部数据，需人工核实）。
5. **调取录入日志**：查看 2026-06-23 00:38 前后的系统日志，确认该钱包是手动导入还是自动抓取。
6. **确认密码策略**：如果该钱包来自批量生成，可查找同批次其他钱包是否已有成功解锁案例（仅作参考，不涉及具体方法）。
7. **补充时间戳信息**：获取钱包文件本身的创建/修改时间，与录入时间对比，判断文件是否被改动过。
8. **人工复核余额**：用只读方式（如离线解析）再次确认 1.39498354 BTC 的地址归属，排除数据录入错误。

### 7. 已尝试方向回顾（避免重复投入）
- **密码恢复尝试**：已进行过一轮或多轮密码测试，但结果均为“否”，未取得明文密码。**建议不要重复相同思路**，除非有新的字典或线索来源。
- **静态文件分析**：已解析钱包文件格式（legacy_bdb）和大小，确认是老式结构，但未从中提取到可用密钥（否则密码状态会为“是”）。
- **交易同步**：尚未成功同步链上数据，因此**没有**尝试过基于交易流向的推断，这部分是空白，值得优先补做。
- **业务标注核对**：已确认“余额很小”为否，说明该钱包未被业务侧降级，后续投入仍合理。