BTC 钱包风险检测与恢复评估 #992

### 1. 一句话结论
钱包 992（BTC，主地址 1Q3VM5DFvkmn67hH522xMBM3tU2UM8EyMf）当前链上余额为 4.85583200 BTC，但**尚未获得明文密码**，且链上交易记录未同步，转入/转出活动暂无法确认。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 992，币种 BTC，钱包名称 `MEGA-BONUS / wallet_4,85.dat`，格式为 `bitcoin_legacy_bdb`。
- **文件信息**：路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_wallet_4,85.dat-f773100750ab/wallet_4,85.dat`，文件大小 90,112 字节。
- **余额数据**：当前显示余额 4.85583200 BTC；业务标注“余额很小（≤阈值）”为**否**，即该余额不属于小额阈值豁免范畴。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即**未拿到明文密码**。
- **链上同步**：交易摘要显示“未发现已同步的交易记录”，因此无法从现有数据判断最后转出时间或历史流向。
- **时间线**：录入时间 2026-06-23 00:37:46，数据标注日期 2026-06-23 00:57:23，最近更新 2026-08-06 07:44:30。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从钱包文件本身入手，确认了它的格式是 `bitcoin_legacy_bdb`，这是比特币早期常用的钱包数据库结构。文件大小约 90KB，属于常规尺寸，没有异常膨胀或截断的迹象。我们核对了钱包名称和路径，确认它来自 `MEGA-BONUS` 数据集，且文件哈希前缀为 `f773100750ab`，说明该文件已被唯一标识并纳入审查流程。

在录入当天（6 月 23 日），系统完成了初始标注，但余额字段和密码状态并未发生变化。直到 8 月 6 日，钱包记录有一次更新，但更新内容并未改变“密码未获取”的状态。我们尝试从链上角度补充信息，但当前数据源未同步任何交易记录，因此无法通过链上行为反推钱包使用习惯或最后活动时间。目前，我们停留在“有文件、有余额、无密码、无交易记录”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后转出时间**：无法确认（需先在页面点击“同步交易”获取链上数据）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：余额为 4.85583200 BTC，业务标注“余额很小”为**否**，说明该钱包不因余额过小而豁免后续审查。
- **密码状态**：`cracked_password/actual_password` 字段为**否**，即**尚未获得明文密码**，也未验证任何候选密码。当前所有关于“已破解”的结论均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先在页面点击“同步交易”，获取该地址的历史转入/转出记录，确认资金流向与最后活动时间。
2. **检查钱包文件完整性**：确认 `wallet_4,85.dat` 是否包含多个密钥条目，或是否存在同名备份文件（如 `wallet_4,85.dat.bak`）。
3. **核对钱包名称线索**：`MEGA-BONUS` 可能关联活动、批次或营销场景，可检索同批次其他钱包文件，看是否存在共用口令规律（仅作线索，不作猜测）。
4. **补充文件元数据**：获取文件创建时间、修改时间、最后访问时间，辅助判断钱包使用周期。
5. **调取钱包日志**：若运行环境有 `debug.log` 或钱包启动日志，可查看该文件是否曾被正常加载或解锁过。
6. **关联地址监控**：对主地址 `1Q3VM5DFvkmn67hH522xMBM3tU2UM8EyMf` 设置链上监控，观察未来是否有新交易触发。
7. **检查同批次数据集**：`fake.czb.com` 路径下其他钱包文件是否已有成功解锁案例，可参考其文件结构（仅作流程参考）。
8. **确认业务来源**：向数据提供方核实该钱包的录入背景，确认是否存在配套的密码提示或交接文档。

### 7. 已尝试方向回顾（避免重复投入）
- **文件格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再重复判断格式。
- **基础字段核对**：已完成钱包 ID、路径、大小、余额、密码状态等字段的核对，无遗漏。
- **链上同步尝试**：当前未同步成功，需先解决同步问题，而非重复检查本地文件。
- **密码状态确认**：已明确“未拿到明文密码”，后续不应再假设“可能已破解”，而应聚焦于补充线索或合规流程。