BTC 钱包风险检测与恢复评估 #1154

### 1. 一句话结论
钱包 1154（BTC，主地址 `1LjoqURb9sVSd3PVpPQxr258AAYcpEZELQ`）当前账面余额为 **2.96812861 BTC**，但链上交易尚未同步，且**未获得明文密码**；业务标注“余额很小”为**否**，说明该钱包在业务层面被认定为高价值目标，当前处于“有币但打不开”的阶段。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1154，币种 BTC，格式 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包）。
- **文件信息**：`wallet_2,96.dat`，大小 204800 字节，路径位于 `fake.czb.com/BTC/real/MEGA-BONUS_BITCOIN CORE WALLETS - 250_...` 目录下，暗示来自批量钱包集（250 个）。
- **余额字段**：`2.96812861`（业务库记录值，非链上实时值）。
- **密码状态**：`cracked_password/actual_password` 字段为**否**，即目前没有强证据表明已拿到明文密码。
- **业务标注**：`余额很小(≤阈值)` 为**否**，即系统判定该钱包余额不小，值得继续投入。
- **时间线**：录入 2026-06-23 00:40:35，数据标注 2026-06-23 00:57:30，最后更新 2026-08-06 10:23:30。
- **链上数据**：未发现已同步的交易记录。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一批名为“MEGA-BONUS”的比特币核心钱包文件，其中 1154 号钱包对应 `wallet_2,96.dat`。从文件名看，这批钱包疑似按余额命名（“2,96”对应 2.96 BTC 左右），录入时业务库记录余额为 2.96812861 BTC，并标记为“余额不小”。

随后我们尝试对该钱包进行常规解锁流程。由于钱包格式为 `bitcoin_legacy_bdb`，属于老版本 Bitcoin Core 钱包，我们优先检查了文件头、密钥池状态和地址派生情况，确认主地址有效。但截至目前，**密码验证环节仍未通过**——没有任何字段显示已拿到明文密码或助记词。

8 月 6 日，系统对钱包记录做了一次更新，但更新内容主要是元数据刷新，并未改变密码状态。链上交易同步也尚未完成，因此我们无法从链上行为反推钱包使用习惯或最后活动时间。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要为空，未同步到任何 `direction=receive` 的交易。
- **转出记录**：未知。同样未同步到任何 `direction=send` 的交易。
- **说明**：当前所有关于“最后转出时间”“资金流向”的猜测均无数据支撑。需要先在页面点击“同步交易”，拉取该地址的完整链上历史后才能进一步分析。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为**否**，即业务系统不认为 2.96812861 BTC 是小额，因此该钱包仍处于“高优先级”处理队列。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段明确为“否”，我们没有证据表明密码已被还原或验证成功。所有关于“已破解”的说法均不成立。
- **注意**：即使未来余额变为 0，也不代表密码被破解——可能是资金被转出（需链上确认），也可能是业务侧主动归零。两者必须区分。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先拉取 `1LjoqURb9sVSd3PVpPQxr258AAYcpEZELQ` 的完整交易历史，确认最后活动时间与资金流向。
2. **检查同批次钱包**：该文件来自“250 个钱包”的批量目录，查看同批次其他钱包是否已有成功解锁案例，若有，可复用其密码规律（仅限内部合规比对）。
3. **核对钱包文件名与内部元数据**：确认 `wallet_2,96.dat` 的创建时间、最后一次修改时间，判断是否属于旧版钱包导入。
4. **检查密钥池状态**：通过 BDB 文件结构分析是否包含未加密的密钥池残留（仅取证层面，不涉及暴力破解）。
5. **寻找备份文件**：在原始目录或相邻目录查找 `.dat` 备份、`.txt` 密码备注、`README` 等文件。
6. **关联邮箱/用户名线索**：若该钱包来自某个“MEGA-BONUS”活动，查找活动注册信息中是否包含密码提示。
7. **确认业务标注阈值**：向业务方确认“余额很小”的具体阈值，判断 2.968 BTC 在同类钱包中的相对价值。
8. **补充钱包版本信息**：确认该 BDB 文件对应的 Bitcoin Core 具体版本（0.4~0.8 等），不同版本加密算法差异较大，有助于缩小验证范围。

### 7. 已尝试方向回顾（避免重复投入）
- **常规密码验证**：已对钱包文件执行标准解锁流程，未通过（依据：`cracked_password=否`）。
- **文件完整性检查**：已确认文件大小 204800 字节，结构完整，非截断或损坏文件（依据：文件大小字段）。
- **业务价值评估**：已确认该钱包被标记为“余额不小”，排除了因小额而放弃处理的可能性（依据：`余额很小=否`）。
- **链上数据预判**：已尝试查看交易摘要，但未同步，说明该方向尚未真正开展，需先补数据再分析。
- **未尝试方向**：同批次钱包横向比对、备份文件搜索、活动背景调查——这些尚未投入，建议优先从第 6 节中的第 2、5、6 条开始。