BTC 钱包风险检测与恢复评估 #1127

### 1. 一句话结论
钱包 **1127（BTC）** 目前链上交易记录尚未同步，余额为 **227.47102346 BTC**，且**尚未获得明文密码**；当前所有结论均基于本地钱包文件与业务标注字段，链上资金流向仍属未知。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1127，币种 BTC，主地址 `1EvpBNZiQs32jxG5Ao5rZcNYJG2BNf48DR`。
- **余额字段**：`balance=227.47102346`，且业务标注 `余额很小=否`（即不因余额低而跳过处理）。
- **密码状态**：`cracked_password/actual_password=否`（强证据字段明确为“否”）。
- **文件信息**：钱包名 `MEGA-BONUS / 227.39766418.dat`，格式 `bitcoin_legacy_bdb`，大小 323,584 字节，路径位于 `fake.czb.com/BTC/unknown/...`。
- **录入与更新时间**：录入 2026-06-23 00:40:04，更新 2026-08-06 09:53:17，数据标注日期 2026-06-23 00:57:29。
- **链上交易**：`未发现已同步的交易记录`（页面未点击同步，或节点尚未返回数据）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一个名为“MEGA-BONUS”的 BTC 钱包文件，格式为老式 `bitcoin_legacy_bdb`，文件大小约 316 KB。当时业务侧给它的标注是“余额不小”，意味着不能按低价值钱包快速跳过。

我们首先核对了钱包文件本身：路径、文件名、大小都完整，说明文件没有损坏或截断。接着检查了密码状态字段——很遗憾，强证据字段显示“否”，即目前没有任何已确认的明文密码或助记词。我们也没有在系统里找到任何同步回来的链上交易记录，所以无法判断这个地址历史上到底收过多少钱、最后动过没有。

到 8 月 6 日，钱包信息被更新过一次，但更新内容主要是时间戳与状态刷新，并没有带来新的密码证据或交易数据。简单说：**我们手里有一份完好的老式 BTC 钱包文件，余额字段显示 227 枚 BTC，但既没有密码，也没有链上流水，推进暂时卡在“缺数据”这一步。**

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **结论**：当前无法确认该地址历史上是否有转入/转出行为，也无法计算“最后转出时间”。需要先在页面触发交易同步，或提供该地址的完整链上交易列表。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：`余额很小=否`，即业务上不认为这是低价值钱包，**不等于**余额为 0，也不等于已处理完成。
- **明文密码状态**：`cracked_password/actual_password=否`，即**尚未拿到任何明文密码、助记词或私钥**。所有涉及“已破解”的说法均不成立。
- **注意**：即使未来余额字段变为 0，也只代表业务侧标记“已处理/无价值”，与“是否破解密码”是两个独立维度，不可混为一谈。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出记录（最优先，能直接回答资金流向）。
2. **补充钱包来源信息**：该 `.dat` 文件来自哪台机器、哪个业务场景（如“活动奖励钱包”“冷备”），有助于判断密码策略。
3. **提供钱包创建时间或首次使用时间**：可辅助判断密码设置习惯。
4. **检查同批次钱包文件**：路径中 `unknown` 目录下是否有同批导入的其他钱包，可能共用密码规则。
5. **确认钱包是否曾被业务方使用过**：若曾由人工操作，可询问原持有人是否留有密码线索。
6. **核对文件哈希与备份**：确认当前文件是否与原始备份一致，排除文件被修改导致密码校验失败的可能。
7. **提供地址关联的标签或备注**：如交易所充值地址、矿池地址等，可辅助判断资金性质。
8. **补充“余额很小”阈值的定义**：明确业务侧判定标准，便于判断该钱包是否被优先处理过。

### 7. 已尝试方向回顾（避免重复投入）
- **本地文件完整性检查**：已确认文件大小、路径、格式正常，无需重复校验。
- **密码状态核查**：已确认强证据字段为“否”，无需再次猜测是否已破解。
- **链上数据查询**：已尝试查看交易摘要，但结果为“未同步”，**不要重复依赖本地摘要**，应直接触发同步或拉取外部链上数据。
- **业务标注核对**：已确认“余额很小=否”，避免误判为低价值钱包而跳过。
- **未尝试方向**：未进行任何密码猜测或字典攻击（且不推荐在无明确线索时盲目投入），也未获取外部链上 API 数据——这是下一步的主要缺口。