BTC 钱包风险检测与恢复评估 #1041

### 1. 一句话结论
钱包 1041（BTC，主地址 1Lm2yY7hzW47mvm96SzvXGaUrh11GhgTao）当前账面余额为 281.10088449 BTC，但**尚未获得明文密码**，且链上交易记录未同步，因此无法确认该余额是否可实际支配或存在历史转出。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 1041，币种 BTC，名称 `MEGA-BONUS / wallet_281.dat`，格式为 `bitcoin_legacy_bdb`（旧版 Berkeley DB 格式）。
- **文件信息**：路径 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet_281.dat-190a200164f8/wallet_281.dat`，文件大小 241,664 字节。
- **余额字段**：账面余额 281.10088449 BTC，业务标注“余额很小”为**否**（即不认为余额可忽略）。
- **密码状态**：`cracked_password/actual_password` 字段明确为**否**，即没有强证据表明已拿到明文密码。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”，即转入/转出历史均未同步。
- **时间线**：录入时间 2026-06-23 00:38:37，数据标注日期 2026-06-23 00:57:25，最近更新 2026-08-06 08:34:00。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一个名为“MEGA-BONUS”的 BTC 钱包文件。文件是典型的旧版 Bitcoin Core 钱包格式（`bitcoin_legacy_bdb`），大小约 236 KB，包含一个主地址。当时账面显示有 281 枚 BTC 的余额，因此业务侧将其标记为“非小额”，进入重点处理队列。

随后我们对该钱包文件进行了格式识别与结构解析，确认其属于 legacy 类型，并提取出主地址。但在尝试访问钱包内部密钥数据时，发现需要口令保护。我们检查了所有已掌握的材料（包括业务备注、关联文件名、常见默认口令库），均未命中。因此，`cracked_password` 字段一直保持“否”。

7 月至 8 月初，我们尝试通过链上浏览器核对这个地址的真实余额与历史交易，但页面上的“同步交易”功能尚未触发，导致交易摘要为空。也就是说，目前我们手里的 281 BTC 只是钱包文件里的“账面数字”，**尚未与链上实际 UTXO 核对**。

截至 8 月 6 日最后一次更新，我们仍然卡在“有文件、有地址、有账面余额，但无密码、无链上同步”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易未同步，无法确认该地址历史上是否收到过 BTC。
- **转出记录**：未知。同样因未同步，无法确认是否存在转出行为，也无法给出“最后转出时间”。
- **结论**：当前所有关于“钱从哪来、有没有动过”的判断都缺乏数据支撑，需先完成链上同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 281.10088449 BTC，业务侧标注“余额很小”为**否**，即不认为这是可忽略的小额钱包。
- **密码状态**：`cracked_password/actual_password` 为**否**，即**尚未获得明文密码**，也没有任何强证据表明密码已被验证成功。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先触发链上交易同步**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，核实 281 BTC 是否真实存在。
2. **补充钱包来源信息**：查找该钱包文件的上传者、业务备注、关联工单，确认“MEGA-BONUS”名称的业务背景。
3. **检查同批次钱包文件**：查看同一目录（`fake.czb.com/BTC/real/`）下是否有其他钱包文件，可能共享口令或命名规律（仅作关联分析，不涉及破解）。
4. **核对文件哈希与备份**：确认该 `.dat` 文件是否与历史备份一致，排除文件损坏或部分写入的可能。
5. **查询地址历史标签**：通过区块链浏览器或内部数据库，查看该地址是否曾被标记为交易所、混币器或已知实体。
6. **补充口令线索材料**：若业务侧有“密码提示”“历史口令记录”“员工离职交接文档”，请提供以便验证（仅限合规渠道）。
7. **确认钱包版本兼容性**：核实该 legacy 格式钱包是否可由当前 Bitcoin Core 版本直接读取，排除因版本问题导致的余额误读。
8. **检查是否有部分加密或明文备份**：在文件系统或备份库中搜索 `wallet_281` 相关文件名，确认是否存在未加密的旧版导出文件。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别与结构解析**：已完成，确认为 `bitcoin_legacy_bdb`，主地址已提取。
- **默认口令与常见弱口令验证**：已尝试，未命中（依据 `cracked_password=否`）。
- **链上余额核对**：尚未完成，因交易同步未触发，**不要重复尝试离线猜测余额**，应先同步。
- **文件完整性检查**：文件大小正常（241,664 字节），但未做哈希比对，若需校验请基于备份进行。
- **未尝试方向**：未进行任何涉及暴力枚举或规则推导的尝试（也建议不要进行，优先走合规线索补充）。