BTC 钱包风险检测与恢复评估 #1245

### 1. 一句话结论
钱包 1245（BTC 主地址 1FjH3rsJ63ev9Tv5msqNgqVYNTGaZv1Mqe）当前账面余额为 58.13970300 BTC，但**尚未获得明文密码**，且链上交易记录未同步，因此无法确认该余额是否仍可支配或已被转走。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1245，币种 BTC，版本/格式为 `bitcoin_legacy_bdb`（旧版 Berkeley DB 格式）。
- **文件信息**：钱包文件名为 `wallet_58,13.dat`，大小 81920 字节，存放于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_58,13BTC_wallet_58,13BTC_wallet_58,13.dat-0d1f0c60a0d3/` 目录下。
- **余额字段**：系统记录余额为 58.13970300 BTC，且业务标注为“余额很小=否”（即不认为该余额可忽略）。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有强证据表明已拿到明文密码**。
- **链上数据**：当前“未发现已同步的交易记录”，即转入/转出历史均未拉取。
- **时间线**：录入时间 2026-06-23 00:41:41，数据标注日期 2026-06-23 00:57:33，最后更新 2026-08-06 11:55:04。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统将该钱包纳入监控列表，当时记录下 BTC 地址与文件路径，并标注了 58.13 BTC 的账面余额。随后在当天 00:57 完成了数据标注，确认这是一份旧版 Bitcoin Core 钱包文件（BDB 格式）。

接下来的一个多月里，我们主要围绕“文件本身”做静态检查：确认文件大小、格式、命名规律（`wallet_58,13BTC` 暗示与余额相关的命名习惯）。但关键一步——**链上交易同步**——始终没有完成，页面显示“未发现已同步的交易记录”。这意味着我们目前看到的 58.13 BTC 只是“数据库里的数字”，并非链上确认的可用余额。

8 月 6 日，系统对钱包信息做了一次更新，但密码字段依然为“否”。也就是说，截至现在，我们**没有拿到任何明文密码或助记词**，也没有证据表明该钱包已被成功解锁。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活跃时间**：未知（无法从现有字段推断任何一笔交易的时间）。

> 注意：账面余额 58.13970300 BTC 仅代表系统录入时的快照，不能视为当前链上实际余额。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为 0 的业务标注**：不适用。该钱包业务标注为“余额很小=否”，即系统认为 58.13 BTC 不是可忽略的小额。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 为“否”，因此我们**尚未获得明文密码**，也没有任何“验证成功”的记录。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，确认 58.13 BTC 是否仍在该地址下。
2. **核对钱包文件完整性**：确认 `wallet_58,13.dat` 是否被加密（检查文件头是否包含加密标志），以及是否有关联的 `wallet.dat` 备份或旧版本文件。
3. **查找同名/同路径其他钱包**：目录名含 `MEGA-BONUS_BITCOIN CORE WALLETS - 250`，可能是一批批量生成的钱包，可横向对比其他钱包的密码策略。
4. **检查钱包创建时间线索**：从文件元数据（如修改时间、创建时间）推断可能的生成工具或批次。
5. **确认“余额很小”阈值定义**：向业务方确认该标注的具体阈值，避免误判 58 BTC 为“可放弃资产”。
6. **收集地址关联信息**：在区块链浏览器中查询该地址的首次交易时间、交易对手方，辅助判断钱包用途。
7. **检查是否有历史密码提示文件**：在相同目录或上级目录查找 `readme.txt`、`pass.txt` 等非钱包文件。
8. **补充“已知密码存在”的强证据**：如果未来有测试命中，需明确记录 `cracked_password=是` 并附带验证方式，否则一律视为未破解。

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件检查**：已确认文件格式、大小、路径、命名规律，无需重复。
- **余额快照核对**：已记录 58.13970300 BTC 的账面值，但未与链上核对，下一步应直接做链上同步而非再次读取数据库。
- **密码状态确认**：已明确 `cracked_password=否`，无需再对“是否已破解”做二次猜测。
- **未尝试方向**：链上同步、文件头加密标志检查、同批次钱包对比——这些是尚未投入的空白区，建议优先推进。