BTC 钱包风险检测与恢复评估 #1087

### 1. 一句话结论
钱包 1087（BTC，主地址 1EzVP...gQK）当前链上余额为 61.65876100 BTC，但**尚未获得明文密码**，且链上交易记录未同步，转入/转出情况暂无法判定。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 1087，币种 BTC，钱包名称 `MEGA-BONUS / wallet_167.dat`，版本/格式为 `bitcoin_legacy_bdb`（旧版 Bitcoin Core 数据库格式）。
- **文件信息**：路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet_167.dat-9af8a8122401/wallet_167.dat`，文件大小 233,472 字节。
- **余额数据**：当前显示余额 61.65876100 BTC；业务标注“余额很小(≤阈值)”为**否**，即该余额不属于小额阈值范围。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为**否**，即目前没有已确认的明文密码。
- **链上交易**：摘要明确显示“未发现已同步的交易记录”，因此转入/转出方向、时间均无数据支撑。
- **时间线**：录入时间 2026-06-23 00:39:19，数据标注日期 2026-06-23 00:57:27，最近更新 2026-08-07 14:47:32。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一个名为“MEGA-BONUS”的 BTC 钱包文件，格式是典型的旧版 Bitcoin Core 数据库（`bitcoin_legacy_bdb`）。文件大小约 228 KB，属于常规钱包数据规模。录入后约 18 分钟，系统完成了初始数据标注，确认余额为 61.65876100 BTC，且该余额并不属于“小额”业务阈值范围，因此被列为重点关注对象。

此后，我们围绕该钱包文件进行了格式识别与结构梳理，确认其路径归属和文件命名规则，并尝试在本地环境中加载该钱包以读取地址与余额信息。主地址 `1EzVP...gQK` 被成功解析出来。然而，在密码验证环节，目前**没有任何强证据表明已拿到明文密码**——即 `cracked_password` 字段为否，说明我们仍停留在“有文件、有地址、有余额，但无法解锁”的阶段。

同时，链上交易同步一直未完成，页面显示“未发现已同步的交易记录”。这意味着我们无法从链上确认这笔余额是何时、以何种方式进入该地址的，也无法判断是否存在历史转出行为。整个推进过程目前止步于“静态文件分析 + 地址解析”，尚未进入动态交易验证阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易未同步，无 `direction=receive` 的统计字段可依据。
- **转出记录**：未知。链上交易未同步，无 `direction=send` 的统计字段可依据。
- **补充说明**：当前 61.65876100 BTC 的余额仅来自钱包文件内的本地记录，未经链上同步验证，不能视为已确认的链上事实。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该钱包的“余额很小(≤阈值)”标注为**否**，即业务上不认为这是低价值/小额钱包，余额 61.65876100 BTC 属于需要严肃对待的资产规模。
- **是否拿到明文密码**：**否**。强证据字段 `cracked_password/actual_password` 为否，目前没有任何已确认的密码、助记词或私钥明文。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，确认余额真实性及最后活动时间。
2. **补充钱包来源信息**：该文件来自 `fake.czb.com` 路径，需确认其业务背景（活动赠送、测试环境、历史遗留），以缩小密码猜测范围。
3. **检查同批次钱包文件**：查找同一目录下是否有其他 `wallet_*.dat` 文件，可能存在相同密码或命名规律（仅作线索，不涉及破解细节）。
4. **核对钱包创建时间**：通过文件元数据或 BDB 内部结构，尝试推断钱包首次创建时间，辅助判断密码设置年代。
5. **确认是否使用旧版加密格式**：`bitcoin_legacy_bdb` 的加密方式与新版不同，需确认该文件是否启用了密码加密，还是仅明文存储密钥。
6. **寻找历史备份或导出记录**：在服务器日志、运维脚本或备份系统中查找该钱包的导出/导入记录，可能包含密码提示或环境变量。
7. **关联用户行为日志**：若该钱包关联某个站内账号，调取该账号的登录、提现、API 调用日志，寻找密码重置或钱包解锁痕迹。
8. **补充“已知密码存在”的强证据**：若后续有可信来源（如运维交接文档、密码管理器导出）能确认密码，再更新 `cracked_password` 字段，否则维持“未拿到”状态。

### 7. 已尝试方向回顾（避免重复投入）
- **文件格式识别与解析**：已完成，确认是 `bitcoin_legacy_bdb`，主地址已成功提取。
- **静态余额读取**：已完成，本地记录显示 61.65876100 BTC，但未经链上验证。
- **密码验证尝试**：已进行过初步验证流程，但未产生强证据，`cracked_password` 仍为否，无需在无新线索时重复相同尝试。
- **链上同步**：尚未完成，是当前最大缺口，应优先补做，而非继续在本地文件上重复分析。