BTC 钱包风险检测与恢复评估 #1139

### 1. 一句话结论
钱包 1139（BTC 主地址 `1LpdiR4...qoqzHG`）目前链上交易记录未同步，余额为 0.00001847 BTC（业务标注为“余额很小”），且**尚未获得明文密码**，所有“已破解”的结论均不成立。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1139，币种 BTC，版本/格式为 `bitcoin_legacy_bdb`（传统 BDB 格式）。
- **文件信息**：钱包名 `wallet_22,75BTC / wallet_22,75.dat`，路径位于 `.../MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_22,75BTC.../wallet_22,75.dat`，文件大小 86016 字节。
- **余额与标注**：当前余额 0.00001847 BTC，业务系统标注“余额很小（≤阈值）”——该标注仅代表金额低，**不代表密码已获取**。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**无强证据表明已拿到明文密码**。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”，因此转入/转出均无法从当前数据判断。
- **时间线**：录入时间 2026-06-23 00:40:27，数据标注日期 2026-06-23 00:57:30，最近更新 2026-08-06 10:04:59。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一批名为“MEGA-BONUS”的比特币核心钱包文件，其中 1139 号对应 `wallet_22,75.dat`。我们首先确认了文件格式为 `bitcoin_legacy_bdb`，并读取到主地址与当前余额。随后，业务侧对该钱包做了“余额很小”的标注，但这只是基于金额阈值的判断，与密码破解无关。

在尝试访问钱包内容的过程中，我们始终没有拿到任何“已知密码”的强证据（`cracked_password=否`）。同时，链上交易记录一直未同步成功，所以无法还原该地址的历史资金流向。目前状态是：文件在手、格式明确、余额极低，但密码未知、交易未知。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **当前余额**：0.00001847 BTC（仅代表当下余额，无法推断历史转入/转出时间与金额）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：“余额很小（≤阈值）”是系统对金额的客观判断，**不等于**钱包已空或已破解。
- **密码状态**：`cracked_password/actual_password = 否`，即**尚未获得明文密码**，任何“已拿到密码/验证成功”的说法均无事实依据。
- **结论**：当前仅完成文件识别与余额读取，密码访问未成功。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：在页面点击“同步交易”，获取该地址的历史转入/转出记录，这是判断资金流向的前提。
2. **补充钱包来源信息**：提供该 `.dat` 文件的原始来源（如设备、备份时间、关联邮箱/用户名），有助于缩小密码线索范围。
3. **检查同批次钱包**：该路径下存在“250_wallet”系列，若其他钱包已成功访问，可对比其文件结构或密码规律（仅作线索，不涉及攻击）。
4. **确认钱包版本与加密方式**：核实 `bitcoin_legacy_bdb` 的具体客户端版本，判断是否使用默认加密参数。
5. **寻找密码提示或关联文档**：在原始数据包中查找 `readme`、`note`、`password_hint` 等字段。
6. **核对录入时间与数据标注时间**：两者仅差 17 分钟，确认是否有自动化脚本在录入后立即做了余额检查。
7. **补充文件哈希与完整性校验**：确认该 `.dat` 文件未被篡改或截断，避免因文件损坏导致无法读取。
8. **获取用户授权与合法取证许可**：确保后续操作符合平台安全规则与法律要求。

### 7. 已尝试方向回顾（避免重复投入）
- **文件格式识别**：已确认 `bitcoin_legacy_bdb`，无需重复检测。
- **余额读取**：已成功读取当前余额，无需再次扫描。
- **密码验证**：已确认无“已知密码”字段，**不要**再假设密码已存在或已破解。
- **链上同步**：尚未完成，这是下一步首要动作，而非重复尝试密码。
- **业务标注**：已明确“余额很小”与“密码状态”无关，后续不应混淆这两个概念。