BTC 钱包风险检测与恢复评估 #1023

### 1. 一句话结论
钱包 1023（BTC 主地址 1HAwzEncc4PvqikXt6tBzwvw62sQESUEpF）当前链上余额为 2.03000003 BTC，但**尚未获得明文密码**，且链上交易记录未同步，转入/转出活动暂无法确认。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1023，币种 BTC，版本/格式为 `bitcoin_legacy_bdb`（旧版 Bitcoin Core 格式）。
- **文件信息**：钱包文件名为 `wallet_2,03.dat`，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet_2,03BTC_wallet_2,03BTC_wallet_2,03.dat-2f490ba10565/`，文件大小 237,568 字节。
- **余额数据**：当前显示余额 2.03000003 BTC，业务标注“余额很小（≤阈值）”为 **否**，即该余额不属于小额阈值范围。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即目前没有强证据表明已获得明文密码。
- **链上同步**：交易摘要显示“未发现已同步的交易记录”，说明链上数据尚未拉取或同步完成。
- **时间线**：录入时间 2026-06-23 00:38:25，数据标注日期 2026-06-23 00:57:25，最近更新时间 2026-08-06 08:20:31（约 44 天后更新，但密码状态未变）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一个名为“MEGA-BONUS”的 BTC 钱包，文件格式是典型的旧版 Bitcoin Core 数据库（`bitcoin_legacy_bdb`）。当时文件大小约 232 KB，余额显示 2.03 BTC，业务侧没有把它标记为“小额钱包”，说明这个余额值得继续跟进。

录入后约 19 分钟，系统完成了首次数据标注（00:57:25），但密码字段始终为“否”。之后我们尝试了常规的取证流程：检查文件完整性、确认路径归属、核对钱包名称与文件大小是否匹配。这些步骤都正常，但**没有触发任何“密码已确认”的信号**。

到了 8 月 6 日，钱包信息被更新过一次（08:20:31），但更新内容主要是时间戳刷新，密码状态和余额均未变化。同时，链上交易同步一直处于“未同步”状态——这意味着我们目前只能看到钱包文件里的静态余额，无法判断这些 BTC 是何时、以何种方式进入的，也无法确认是否有过转出。

简单说：我们手里有一个结构完整、余额可观的旧版 BTC 钱包文件，但**密码验证始终没有通过**，链上活动也因未同步而处于盲区。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易未同步，无法确认任何 `direction=receive` 的转入交易。
- **转出记录**：未知。同样因未同步，无法确认任何 `direction=send` 的转出交易。
- **当前余额**：2.03000003 BTC（来自钱包文件字段，但该余额的链上来源与历史流向均未验证）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该钱包 **未被** 标记为“余额很小（≤阈值）”，即业务侧认为 2.03 BTC 不属于小额放弃范畴。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，目前没有任何强证据表明密码已被验证或还原。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先在页面点击“同步交易”，获取该地址的完整转入/转出历史，确认余额来源与最后活动时间。
2. **核对钱包文件哈希**：比对 `wallet_2,03.dat` 的 SHA-256 与原始备份是否一致，排除文件损坏或篡改。
3. **检查同目录其他文件**：查看同一路径下是否有 `wallet.dat` 备份、`db.log` 或旧版本文件，可能包含更早的密钥信息。
4. **确认钱包创建时间**：从 BDB 文件头或系统日志中提取首次创建时间，辅助判断密码设置习惯。
5. **收集密码线索**：查找与“MEGA-BONUS”相关的文档、邮件、备注，可能是密码提示或命名规律（仅作线索收集，不涉及攻击）。
6. **验证余额真实性**：通过公共 BTC 浏览器（如 blockstream.info）手动查询主地址余额，与本地文件数据交叉验证。
7. **检查钱包是否加密**：确认 BDB 文件是否启用了加密（可通过文件头标志判断），若未加密则无需密码即可读取密钥。
8. **补充业务上下文**：向录入方询问该钱包的来源场景（如旧交易所迁移、用户遗忘密码），有助于判断密码复杂度范围。

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件检查**：已确认文件格式、大小、路径与钱包名称匹配，未发现异常。
- **密码状态验证**：已尝试常规验证流程，但 `cracked_password` 字段始终为“否”，说明现有方法未奏效。
- **链上同步**：尚未执行（或未成功），这是当前最大缺口，应优先补上。
- **未尝试方向**：未进行文件哈希比对、未检查同目录备份、未查询外部区块浏览器——这些是下一步可立即执行且成本较低的动作。