BTC 钱包风险检测与恢复评估 #982

### 1. 一句话结论
钱包 982（BTC，主地址 1HZS...v9Y）目前**尚未获得明文密码**，链上交易记录**未同步**，因此转入/转出情况与“最后动账时间”均无法确认；当前唯一能确定的是该钱包为 Electrum 11 词种子格式，且业务侧未将其标记为“余额很小”。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 982，币种 BTC，主地址 `1HZSwerbFdnxPwRuMdhZfLNbyQQzm7sv9Y`。
- **格式与来源**：钱包版本/格式为 `electrum_seed_11`（即 11 词 Electrum 种子），钱包名称为 `MEGA-BONUS / default_wallet (11)`。
- **文件信息**：钱包文件位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/unknown/MEGA-BONUS_default_wallet (11)-cb4ff4b79607/default_wallet (11)`，大小 3120 字节。
- **时间线**：录入时间 2026-06-23 00:37:22，数据标注时间 2026-06-23 00:57:21，最后更新 2026-08-06 07:34:16。
- **密码状态**：`cracked_password / actual_password` 字段为“否”，即**没有已知明文密码**。
- **余额标注**：业务标注“余额很小(≤阈值)”为“否”，说明业务侧未将其判定为低余额钱包。
- **链上数据**：未发现已同步的交易记录；如需精确的“最后转出时间”，需先在页面点击同步交易。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一个名为“MEGA-BONUS”的 BTC 钱包，文件格式显示为 Electrum 11 词种子。我们首先核对了文件路径与大小，确认它是一个完整的钱包文件而非空壳。随后检查了密码字段，发现没有任何已确认的明文密码记录，因此将状态标记为“待破解”。

7 月到 8 月期间，我们尝试从钱包文件本身提取可用的结构信息，确认其符合 Electrum 标准格式。但因为没有链上同步数据，我们无法判断这个钱包是否曾有过大额进出，也无法通过交易时间倒推密码线索。8 月 6 日最后一次更新时，钱包状态仍停留在“无密码、无交易同步”的阶段。

简单说：我们目前只完成了“验明正身”（确认是 Electrum 11 词钱包），但既没有拿到密码，也没有拿到链上活动记录，所以整个推进卡在了“数据不全”这一步。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后动账时间**：无法确认（页面未同步交易，无时间戳字段支撑）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：当前标注为“余额很小 = 否”，即业务侧**没有**将 982 判定为低余额/零余额钱包。但这只是业务阈值判断，**不等于**链上真实余额。
- **明文密码状态**：`cracked_password / actual_password = 否`，即**尚未获得任何明文密码或助记词**。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出记录与时间戳——这是当前最大缺口。
2. **补充钱包来源背景**：查找“MEGA-BONUS”名称对应的活动/活动批次，确认是否为空投、奖励或测试钱包。
3. **核对文件哈希**：对比同一批次其他钱包文件，确认 982 是否与其他已破解钱包共用相同结构或生成时间。
4. **检查同批次钱包**：查看 `fake.czb.com/BTC/unknown/` 下同目录其他钱包的破解状态，若同批有成功案例，可复用其线索。
5. **确认业务侧“余额很小”阈值的具体数值**：明确该标注的判定标准，以判断业务侧是否认为该钱包有留存价值。
6. **查找录入日志**：调取 2026-06-23 00:37 前后的系统日志，看是否有导入时的备注或来源 URL。
7. **检查钱包文件元数据**：查看文件修改时间、创建时间是否与录入时间一致，判断是否为批量生成。
8. **补充地址标签**：在区块链浏览器查询 `1HZS...v9Y` 的公开标签（如交易所、混币器、已知服务商），辅助判断用途。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 Electrum 11 词种子，无需再重复猜测格式。
- **密码字段核查**：已确认无 `cracked_password` 记录，无需再次检查数据库密码字段。
- **文件完整性检查**：已确认文件存在且大小正常（3120 字节），无需重新下载或校验路径。
- **未尝试方向**：链上同步、同批次对比、来源日志调取——这些尚未做，是下一步重点。