BTC 钱包风险检测与恢复评估 #1145

### 1. 一句话结论
截至数据标注日（2026-06-23），钱包 1145（BTC 主地址 `1JGgDqid9bT5A3gwM5VAD7rRcywA3bQCnh`）账面余额为 **119.63202237 BTC**，但链上交易记录尚未同步，且**尚未获得明文密码**；当前所有结论均基于本地钱包文件元数据，不涉及任何链上资金流向判断。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 1145，币种 BTC，版本/格式为 `bitcoin_legacy_bdb`（经典 Bitcoin Core 数据库格式）。
- **文件信息**：钱包文件名为 `wallet_99,996.dat`，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_99,996BTC_wallet_99,996BTC_wallet_99,996.dat-571ee8c705a5/`，文件大小 **114,688 字节**。
- **余额字段**：系统记录余额为 **119.63202237 BTC**，且业务标注“余额很小（≤阈值）”为**否**，说明该余额在业务上不属于“小额/忽略”范畴。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为**否**，即目前**没有**任何已确认的明文密码。
- **时间线**：录入时间 2026-06-23 00:40:30，数据标注时间 2026-06-23 00:57:30，最后更新时间 2026-08-06 10:14:30（仅表示元数据被刷新，不代表链上同步）。
- **链上数据**：交易摘要明确显示“未发现已同步的交易记录”。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初拿到的是一个典型的 Bitcoin Core 旧版钱包文件（`wallet_99,996.dat`），文件体积约 112 KB，属于中等偏小的钱包数据库。第一步是确认文件格式与版本，识别为 `bitcoin_legacy_bdb`，这决定了后续所有解析逻辑的兼容性。

接着，我们读取了钱包内的地址与余额元数据，发现主地址 `1JGgDqid9bT5A3gwM5VAD7rRcywA3bQCnh` 下挂有 119.63 BTC 的账面余额。但请注意，这个余额来自**本地数据库字段**，并非链上实时查询结果。

随后我们尝试同步该地址的链上交易记录，但系统返回“未发现已同步的交易记录”。这意味着我们目前**无法确认**这笔 BTC 是否真实可动、是否已被花掉，或是否只是历史遗留的“账面数字”。

在密码层面，我们检查了所有已知的密码证据字段，结论是**没有**任何已确认的明文密码或助记词。也就是说，即使余额为真，当前也无法完成签名或转账操作。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易未同步，无任何 `direction=receive` 的统计字段。
- **转出记录**：未知。链上交易未同步，无任何 `direction=send` 的统计字段。
- **最后活动时间**：未知。页面未提供“最后转出时间”，需先点击同步交易才能获取。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该钱包的标注为**否**，即业务上不认为 119.63 BTC 是小额。这与“余额为 0”完全无关，请勿混淆。
- **是否拿到明文密码**：**否**。强证据字段明确显示 `cracked_password/actual_password = 否`，因此我们**尚未获得**任何可用的明文密码、私钥或助记词。任何关于“已破解”的说法均不成立。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，确认 119.63 BTC 是否真实存在且未被动过。
2. **补充钱包创建时间线索**：查找文件系统时间戳或备份记录，判断钱包生成的大致年份，有助于缩小密码猜测范围（但需合规操作）。
3. **收集密码线索碎片**：查找与 `wallet_99,996` 相关的备注、文件名提示、历史邮件或配置文件中的非明文提示（如密码提示词）。
4. **检查同批次钱包**：该路径包含“250_wallet”字样，建议对比同批次其他钱包文件的元数据，寻找共性规律（如命名规则、创建时间簇）。
5. **获取钱包所有地址列表**：导出该 `.dat` 文件内的全部地址（不仅是主地址），用于链上交叉查询。
6. **确认余额字段来源**：核实 119.63202237 是来自“已确认余额”还是“未确认余额”字段，避免误判。
7. **检查是否有旧版备份**：寻找 `wallet.dat` 的早期备份文件，有时旧备份的加密强度或密码策略不同。
8. **补充业务背景材料**：如该钱包来自哪个活动（MEGA-BONUS）、持有人身份线索、历史工单记录等。

---

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已完成，确认为 `bitcoin_legacy_bdb`，无需重复检测。
- **基础元数据读取**：已提取地址、余额、文件名、路径、时间戳，这些字段已归档。
- **密码证据排查**：已检查强证据字段，确认无明文密码；**不建议**在没有新线索的情况下重复尝试相同猜测逻辑。
- **链上同步**：尚未执行，这是下一步的首要动作，而非重复劳动。
- **文件完整性校验**：文件大小 114,688 字节，未发现截断或损坏迹象（基于大小判断），无需重新获取文件。