BTC 钱包风险检测与恢复评估 #1395

### 1. 一句话结论
钱包 **1395（BTC）** 目前处于“**有余额但未破解**”状态：我们尚未获得任何明文密码或助记词，且链上交易记录尚未同步，因此无法确认该地址的真实资金流向与最后活动时间。

---

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID `1395`，币种 `BTC`，主地址 `1HQLChRt8LCex8ePmRMwwYLGrt68TPCz2d`。
- **文件信息**：钱包名称 `MEGA-BONUS / 2wallet.dat`，格式为 `bitcoin_legacy_bdb`，文件大小 `245760` 字节。
- **存储路径**：`/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_2wallet.dat-1b77c2d92e7c/2wallet.dat`。
- **时间线**：录入时间 `2026-06-23 00:45:52`，数据标注日期 `2026-06-23 00:57:44`，最近更新 `2026-08-05 22:53:30`。
- **破解状态**：字段 `cracked_password/actual_password` 明确为 **否**，即没有已知明文密码。
- **余额标注**：业务字段显示“余额很小”为 **否**，即该钱包**不满足“小额忽略”条件**，需要继续跟进。
- **交易同步**：链上交易摘要显示“**未发现已同步的交易记录**”，意味着转入/转出数据缺失。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统在例行巡检中登记了钱包 `1395`。它来自一个名为 `MEGA-BONUS` 的旧版 Bitcoin Core 数据目录，文件格式是典型的 `legacy_bdb`，大小约 240 KB，属于早期钱包常见体积。当时我们给它打上了“待复核”标签，并记录了主地址。

随后几天，我们尝试从常规渠道寻找线索：检查文件头是否完整、确认是否属于已知的批量生成钱包、比对目录命名规律等。这些工作帮助我们确认了它**不是空壳文件**，但始终没有找到任何可用的密码线索。8 月 5 日，我们再次更新了该钱包的状态，但破解字段依然保持“否”。

与此同时，我们尝试在链上查询该地址的余额与交易历史，但页面显示“未同步”。这意味着我们目前**看不到任何一笔确认的转入或转出**，也无法判断它是否真的“活跃”过。整个推进过程，我们始终停留在“文件已定位、密码未明、链上未知”的阶段。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活动时间**：无法确认（缺少同步数据，不能推断任何时间点）。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：字段显示“余额很小”为 **否**，即业务上**不认为该钱包可以因小额而放弃**，需要继续处理。
- **明文密码状态**：`cracked_password/actual_password` 为 **否**，即**尚未获得任何明文密码、助记词或私钥**。所有关于“已破解”的猜测均不成立。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先在页面点击“同步交易”，获取该地址的完整转入/转出记录，确认是否仍有余额或历史大额流动。
2. **检查同目录其他钱包**：查看 `MEGA-BONUS` 目录下是否还有其他 `.dat` 文件，可能包含相同密码或关联地址。
3. **核对钱包创建时间**：通过文件元数据（如 `ctime`）确认创建时间，辅助判断是否属于某次批量活动。
4. **检索历史备注**：在业务系统或日志中搜索 `MEGA-BONUS` 关键词，看是否有运营备注或来源说明。
5. **比对已知钱包指纹**：将该钱包的 `bdb` 文件哈希与已破解钱包库比对，排除重复或已知样本。
6. **检查备份文件**：在相邻路径或备份盘中查找 `2wallet.dat` 的副本，可能包含不同状态的数据。
7. **确认“余额很小”判定依据**：向业务方索取该字段的判定阈值与依据，明确是否基于链上余额或本地 UTXO 缓存。
8. **补充内存转储线索**：若该钱包曾运行于某台机器，可尝试查找当时的内存镜像或日志（仅限合规取证渠道）。

---

### 7. 已尝试方向回顾（避免重复投入）
- **文件基础检查**：已确认文件格式、大小、路径，排除了空文件或损坏文件的可能性。
- **常规密码线索排查**：已检查文件名、目录名、常见默认密码等显性线索，无结果。
- **链上查询尝试**：已尝试查看交易记录，但受限于“未同步”状态，未能获得有效数据。
- **破解状态确认**：已明确当前无任何明文密码，后续不应再假设“已破解”或“密码已知”。