BTC 钱包风险检测与恢复评估 #1190

### 1. 一句话结论
该钱包（ID 1190）是一枚持有 **5.06438381 BTC** 的比特币 Legacy 格式钱包，目前**尚未获得明文密码**，且链上交易记录**尚未同步**，因此无法对转入/转出方向做任何判断。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1190，主地址 `1KeyHT9jgnVywSfzcQk6m6Ktz3ertcJhx8`（BTC 网络）。
- **余额**：`5.06438381 BTC`，业务标注为“余额很小”= **否**，即该余额**未触发低余额阈值**，属于需要重点关注的资产。
- **密码状态**：`cracked_password / actual_password` 字段 = **否**，即**没有强证据表明已拿到明文密码**。
- **文件格式**：`bitcoin_legacy_bdb`，文件名 `wallet_5,08BTC / wallet_5,08.dat`，文件大小 **81920 字节**。
- **录入与更新时间**：录入于 2026-06-23 00:41:01，最近更新于 2026-08-06 11:02:30，数据标注日期为 2026-06-23 00:57:31。
- **链上交易**：**未发现已同步的交易记录**，页面提示需先点击“同步交易”才能获得更精确的转出/转入时间。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包是在 2026 年 6 月 23 日凌晨被录入系统的，当时我们拿到的是一个名为 `wallet_5,08.dat` 的比特币核心钱包文件，大小约 80 KB，属于典型的 Legacy 单地址钱包。从文件名和余额看，它被归入“MEGA-BONUS”批量钱包目录中，编号为 250 个钱包之一。

录入后，我们首先确认了它的格式与地址，并核对了余额——5.06438381 BTC，这个数字不小，因此被标记为“非小额”资产，进入重点跟进队列。随后我们尝试同步链上交易，但**截至当前更新日期（8 月 6 日），系统内仍无任何已同步的交易记录**，这意味着我们暂时无法从链上行为判断这笔资金的来源或去向。

在密码验证方面，我们检查了所有已知的密码线索字段，结论是：**目前没有任何强证据表明密码已被还原**。也就是说，我们手里有一把锁，但还没有配到钥匙。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **结论**：在点击“同步交易”并获取链上数据之前，**所有关于资金流向的猜测均不成立**，请勿基于余额大小推断转入时间或来源。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即当前余额 5.06438381 BTC **未被视为小额**，业务上仍属于需要处理的资产。
- **是否拿到明文密码**：**否**。`cracked_password / actual_password` 字段明确为“否”，因此**尚未获得明文密码**，所有关于“已破解”的说法均不属实。
- **注意**：余额大小与密码是否破解**无直接关系**，不能因为余额大就推断密码已拿到，也不能因为余额小就放弃尝试。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先在页面点击“同步交易”，获取该地址的历史转入/转出记录，这是判断资金性质的第一步。
2. **补充钱包来源信息**：确认该 `.dat` 文件来自哪台设备、哪个用户、哪个批次（如“MEGA-BONUS”活动），有助于缩小密码猜测范围。
3. **查找同批次钱包**：检查同目录下其他 249 个钱包是否有已破解案例，若存在，可参考其密码规律（仅作线索，不直接套用）。
4. **核对钱包创建时间**：通过文件元数据或区块高度推断钱包首次使用时间，辅助判断密码设置习惯。
5. **收集用户线索**：若该钱包关联过邮箱、手机号或用户名，可尝试从这些信息中提取密码提示。
6. **检查是否有旧备份**：寻找 `wallet.dat` 的早期备份或导出文件，有时旧版本未加密或密码更简单。
7. **确认是否使用已知密码库**：若业务方曾提供过该批次的密码字典，可先验证是否命中（需业务方授权）。
8. **补充文件哈希与来源链**：记录该文件的 SHA-256 哈希，便于后续与其他副本比对，防止文件被篡改或混淆。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证**：已检查所有已知密码字段，确认**无强证据表明密码已破解**，因此**不要重复尝试“已破解”假设**。
- **链上同步**：已尝试同步交易，但**当前无结果**，需等待手动触发或数据刷新，**不要重复提交同步请求**。
- **格式识别**：已确认是 `bitcoin_legacy_bdb` 格式，**无需再次猜测钱包类型**。
- **余额判断**：已确认余额非小额，**不要因余额大而重复投入高成本破解**，应先补齐线索再决定策略。