BTC 钱包风险检测与恢复评估 #1149

### 1. 一句话结论
钱包 **1149（BTC）** 目前余额为 **0.00020622 BTC**，业务系统将其标注为“余额很小”，但**尚未获得任何明文密码**，且链上交易记录**未同步**，因此无法确认资金是“转出”还是“从未有大额入账”。

---

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1149，币种 BTC，主地址 `1LnaG36xn4CVWwVux9PzCYXXvkvgNF1966`。
- **余额与标注**：余额 `0.00020622 BTC`，业务字段 `余额很小(≤阈值)=是`。
- **密码状态**：字段 `已知密码存在(强证据)=否`，即**没有**任何已确认的明文密码或助记词。
- **文件信息**：钱包名 `wallet_100BTC-3 / wallet_100-3.dat`，格式 `bitcoin_legacy_bdb`，大小 `155648 字节`，路径指向 `MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_100BTC-3...` 数据集。
- **链上数据**：`未发现已同步的交易记录`，即当前数据库中没有该地址的转入/转出历史。
- **时间线**：录入 `2026-06-23 00:40:32`，数据标注 `2026-06-23 00:57:30`，最后更新 `2026-08-06 10:12:30`。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一个名为 `wallet_100BTC-3` 的 Legacy 格式 BTC 钱包文件。从文件名看，它属于一个“250 个钱包”的批量数据集，命名带有“100BTC”字样，暗示最初可能被归类为高价值目标。

我们首先检查了钱包文件的基本属性：格式为 `bitcoin_legacy_bdb`，文件大小约 152 KB，属于早期 Bitcoin Core 钱包的典型结构。随后我们核对了业务标注，系统明确提示“余额很小”，且**没有**任何“已知密码存在”的强证据标记——这意味着在过去的取证流程中，从未成功验证过任何口令。

关键瓶颈在于：**链上交易记录从未同步**。我们无法从数据库直接读出该地址的历史转入/转出，也无法确认“余额小”是因为资金被转走，还是该地址历史上就只收到过少量粉尘。目前所有关于“资金去向”的讨论都只能停留在假设层面。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：**未知**。数据库未同步任何 `direction=receive` 的交易。
- **转出记录**：**未知**。数据库未同步任何 `direction=send` 的交易。
- **结论**：由于 `链上交易摘要=未发现已同步的交易记录`，我们**无法判断**该地址是否曾有大额资金流入，也无法判断余额减少是转出所致。当前余额 `0.00020622 BTC` 仅为钱包文件内记录的“最终余额”，不代表历史峰值。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：`余额很小(≤阈值)=是`，这是系统基于当前余额 `0.00020622 BTC` 做的**自动分类**，仅代表“钱少”，**不代表**“密码已破解”。
- **密码状态**：`已知密码存在(强证据)=否`。我们**尚未获得**任何明文密码、助记词或私钥。所有关于“已破解”的说法均不成立。
- **重要区分**：即使余额为 0，也不等于密码正确或错误——钱包文件本身可能仍有加密保护，只是我们还没验证成功。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：在页面点击“同步交易”，获取该地址完整的历史转入/转出记录，这是判断资金流向的唯一可靠途径。
2. **核对同批次钱包**：检查同目录下其他 `wallet_100BTC-*.dat` 文件是否已有成功解锁记录，可能共享口令规律（仅作线索，不猜测）。
3. **检查钱包文件头**：确认 `bdb` 格式的加密标志位，判断是否使用了旧版 `crypted` 字段（仅作状态确认）。
4. **寻找备份文件**：搜索同路径下是否有 `.dat.bak`、`.wallet` 或导出过的 `CSV` 备份，可能包含未加密的地址或备注。
5. **核对录入来源**：回溯该文件上传时的业务备注或批次说明，确认“100BTC”命名是营销噱头还是真实历史余额。
6. **检查地址公开标签**：在区块链浏览器查询 `1LnaG36...` 是否被标记为交易所、矿池或已知服务商地址。
7. **补充时间线证据**：确认 `2026-06-23` 录入前后，该文件是否被其他工具读取过（如文件访问日志）。
8. **确认阈值定义**：向业务方核实“余额很小”的具体阈值（如 `<0.001 BTC`），避免误判。

---

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证**：已确认**没有**任何“已知密码存在”的强证据，说明此前尝试过的口令均未通过验证，**无需重复测试**相同字典。
- **余额判断**：已确认业务标注为“余额很小”，但该标注**不包含**任何密码信息，后续不应再依赖余额大小推断破解难度。
- **链上分析**：已确认**未同步交易**，因此任何基于“转出时间”“最后活动”的推测均无依据，**不要继续**在没有同步数据的情况下做交易时间线分析。
- **文件格式**：已确认是 `bitcoin_legacy_bdb`，无需再对文件类型做重复检测，重点应转向**数据同步**与**同批次关联**。