BTC 钱包风险检测与恢复评估 #1579

### 1. 一句话结论
该BTC钱包（ID: 1579）当前链上余额为 **5.49006333 BTC**，但**尚未获得明文密码**，且**未同步到任何链上交易记录**，因此无法确认资金最后动向；目前处于“有余额、无密码、无交易流水”的待突破状态。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `1N6QnHZGmdZjpWmK3oaAxscWjLJBz1Hoxv`，币种 BTC，钱包ID 1579。
- **余额与标注**：余额 **5.49006333 BTC**，业务标注“余额很小(≤阈值)”为 **否**，说明该余额在业务上被认定为**有实际价值**，不是空壳。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有强证据表明已拿到明文密码**。
- **文件信息**：钱包文件名为 `5я сотня 100 / 64.30251094.dat`，格式为 `bitcoin_legacy_bdb`（老式Berkeley DB钱包），文件大小 106,496 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_!!таблица_5я сотня 100_64.30251094.dat-6a5ed55b7752/`。
- **录入与更新**：录入时间 2026-06-23 00:54:06，最近更新 2026-08-06 01:44:00，数据标注日期为 2026-06-23 00:58:02。
- **链上数据**：**未发现已同步的交易记录**，即转入/转出流水均为空。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统录入了一个名为“5я сотня 100”的BTC钱包文件。从文件名和路径看，它属于一个批量导入的“MEGA-BONUS”数据集，文件格式是老式BDB，说明这是一个**较早年代生成的钱包**。

我们首先确认了钱包主地址和余额——5.49 BTC，这个数字不小，业务上也没有把它标记为“低价值”，所以它进入了重点观察名单。随后我们检查了密码状态字段，结果是“否”，意味着**目前没有任何已确认的明文密码**。

接着我们尝试同步链上交易，但系统返回“未发现已同步的交易记录”。这有两种可能：一是该地址从未有过链上交易（纯收款后未动），二是同步功能尚未触发。由于没有交易流水，我们**无法判断资金是长期沉睡还是近期被转走**。

最后我们核对了文件大小和路径，确认文件本身完整（约104KB），没有损坏迹象。整个推进过程停留在“有币、有文件、无密码、无流水”的阶段。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：**未知**（未同步到任何 `direction=receive` 的交易）。
- **转出记录**：**未知**（未同步到任何 `direction=send` 的交易）。
- **结论**：由于链上交易摘要为空，**无法确认该地址历史上是否发生过转入/转出**。余额 5.49 BTC 是当前节点查询到的状态，但无法判断它是什么时候、以什么方式获得的。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：该钱包余额 **5.49006333 BTC**，业务标注“余额很小(≤阈值)”为 **否**，即**不是**因为余额为0或极小而被放弃，而是**有实际价值**。
- **明文密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**尚未获得明文密码**。目前没有任何强证据表明密码已被验证成功，所有关于“已破解”的说法均不成立。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先触发链上交易同步**：在页面点击“同步交易”，获取该地址完整的转入/转出历史，确认资金最后活跃时间。
2. **补充钱包文件来源信息**：查找该文件所属的“MEGA-BONUS”数据集说明，确认是否为批量生成的钱包（如批量注册的空投地址）。
3. **检查同批次其他钱包**：若同目录下存在其他 `.dat` 文件，对比它们的余额与密码状态，判断是否存在共性规律（如统一密码或统一生成时间）。
4. **核对钱包文件哈希与完整性**：确认文件未被篡改或截断，排除文件损坏导致的读取异常。
5. **查询地址在区块链浏览器的公开标签**：如该地址曾被用于已知交易平台或混币服务，可能提供额外线索。
6. **确认录入时间与文件修改时间的关系**：文件路径中带有哈希后缀，可尝试从文件系统元数据中提取创建时间，判断生成年代。
7. **补充“已知密码”的测试记录**：如果之前有尝试过密码字典，请提供测试范围与次数，避免重复劳动。
8. **确认业务方对该钱包的预期用途**：是用户遗忘密码的找回，还是涉案资产冻结？不同目的决定后续取证方向。

---

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证**：已确认 `cracked_password` 字段为“否”，说明**尚未有成功的密码验证记录**，但未记录具体尝试过哪些字典或规则，需补充测试日志。
- **链上同步**：已尝试同步交易，但返回“未发现记录”，可能同步未完成或地址确实无交易，需再次确认同步状态。
- **文件读取**：已确认文件格式为 `bitcoin_legacy_bdb`，文件大小正常，未发现文件损坏迹象。
- **余额评估**：已确认余额 5.49 BTC 具有业务价值，未因“余额为0”而跳过处理。

> 以上所有结论均基于提供的事实字段，未做任何超出数据的推测。如需进一步推进，请优先补充第6节中的第1、2、7条线索。