BTC 钱包风险检测与恢复评估 #1118

### 1. 一句话结论
钱包 `1118`（BTC，主地址 `1MZ8bsMhWUnNxCYq6eciW4RYFZ1zcNx868`）当前链上余额为 **21.89679859 BTC**，但**尚未获得明文密码**，且**未同步到任何链上交易记录**，因此转入/转出方向与最后活动时间均无法确认。

---

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID `1118`，名称 `MEGA-BONUS / wallet_21,89.dat`，版本格式 `bitcoin_legacy_bdb`（老式 Berkeley DB 格式）。
- **文件信息**：路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_wallet_21,89.dat-1cc6747c4cc2/wallet_21,89.dat`，文件大小 **819200 字节**。
- **余额数据**：当前显示余额 **21.89679859 BTC**，且业务标注“余额很小(≤阈值)”为 **否**，说明该余额未被系统视为小额忽略项。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**，即**没有强证据表明已拿到明文密码**。
- **链上交易**：**未发现已同步的交易记录**，页面提示需手动点击“同步交易”才能获取更精确的转出/转入时间。
- **时间线**：录入时间 `2026-06-23 00:39:58`，数据标注日期 `2026-06-23 00:57:29`，最后更新时间 `2026-08-06 09:44:59`。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一个名为“MEGA-BONUS”的 BTC 钱包文件，格式为老式 `bitcoin_legacy_bdb`，文件大小约 800KB，属于典型的本地钱包数据文件。我们第一时间记录了主地址与余额快照（21.89679859 BTC），并打上了“余额不小”的业务标注，意味着它值得继续跟进。

随后我们尝试对钱包文件进行基础解析，确认其版本与路径无误。但在密码验证环节，**没有任何字段能证明我们已拿到明文密码**——`cracked_password` 状态为否。同时，链上交易摘要为空，说明我们尚未成功拉取该地址的历史流水，无法判断这笔 BTC 是近期转入还是长期沉淀。

到 8 月 6 日，钱包信息被再次更新，但余额与密码状态均未变化。整体来看，我们目前处于“**文件在手、余额可见、密码未破、交易未同步**”的阶段。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要未同步任何 `direction=receive` 的数据。
- **转出记录**：未知。链上交易摘要未同步任何 `direction=send` 的数据。
- **最后活动时间**：未知。页面提示需先点击“同步交易”才能获取精确时间。

> 说明：当前所有关于“转入/转出”的猜测均无数据支撑，请勿基于余额大小推断交易方向。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即系统认为 21.89679859 BTC 不属于小额忽略范围，值得继续处理。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段无强证据，因此我们**尚未获得明文密码**，所有相关操作仍处于“未验证”状态。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的历史转入/转出记录，确认资金流向与最后活动时间。
2. **补充钱包来源信息**：提供该 `.dat` 文件的原始来源（如旧电脑备份、交易所导出、第三方工具生成），有助于判断密码设置习惯。
3. **检查同批次钱包文件**：若同一目录下存在其他钱包（如 `wallet_21,88.dat`），对比其命名规律与密码策略。
4. **确认钱包创建时间**：通过文件元数据或 BDB 内部时间戳，推测密码可能设置的年代区间。
5. **收集用户线索**：询问钱包所有者是否使用过常见密码前缀（如生日、手机号、姓名拼音），但**不要提供具体字典或规则**。
6. **验证地址归属**：通过区块链浏览器确认主地址 `1MZ8...868` 是否与已知交易所或服务商热钱包有关联。
7. **检查文件完整性**：确认 819200 字节文件是否被截断或加密层异常，必要时重新导出原始文件。
8. **补充业务标注上下文**：说明“余额很小”阈值的具体数值，以判断该钱包在业务中的优先级。

---

### 7. 已尝试方向回顾（避免重复投入）
- **基础文件解析**：已确认钱包格式为 `bitcoin_legacy_bdb`，路径与文件名无误，无需重复检查文件存在性。
- **密码状态核查**：已确认 `cracked_password` 为否，**不要再次假设“可能已破解”**，应转向补充线索而非重复测试。
- **链上同步尝试**：当前未同步交易记录，说明此前可能未执行或未成功执行同步操作，需重新触发该功能。
- **余额标注判断**：已确认该钱包不属于“余额很小”类别，无需再纠结是否应放弃处理。

> 建议：下一步集中精力在“同步交易”与“补充来源信息”上，避免在无新线索的情况下重复尝试密码猜测。