BTC 钱包风险检测与恢复评估 #1242

### 1. 一句话结论
该钱包（ID 1242）是一枚 BTC 老旧格式钱包，当前链上余额极低（0.00003388 BTC），且**尚未获得明文密码**；目前所有结论均基于钱包文件元数据与业务标注，链上交易记录尚未同步，无法确认任何转入/转出行为。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1242，币种 BTC，主地址 `1QGXHTD6z3iKrTdWRKMvLwGay5SHHgj4TD`（字段：主地址）。
- **文件格式**：`bitcoin_legacy_bdb`（旧版 Bitcoin Core 钱包格式），文件名为 `wallet_47,00BTC / wallet_47,00.dat`，大小 81920 字节（字段：钱包版本/格式、钱包名称、文件大小）。
- **来源路径**：位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_47,00BTC_...`，属于批量审查数据集中的第 47 号钱包（字段：钱包路径）。
- **时间线**：录入时间 2026-06-23 00:41:39，数据标注日期 2026-06-23 00:57:33，最近更新 2026-08-06 11:53:51（字段：录入时间、数据标注日期、更新时间）。
- **余额状态**：链上余额 0.00003388 BTC，业务系统标注“余额很小（≤阈值）”（字段：余额、余额很小）。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有**强证据表明已获得明文密码（字段：已知密码存在）。
- **交易记录**：链上交易摘要显示“未发现已同步的交易记录”（字段：链上交易摘要）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，这批名为“MEGA-BONUS”的 250 个 BTC 钱包进入审查队列。我们首先对钱包文件做了格式识别，确认它是 Bitcoin Core 的 legacy BDB 格式——这是 2015 年前后常见的钱包类型，文件体积 80KB 左右，符合“仅含少量地址与密钥”的典型特征。

随后我们记录了钱包的主地址与文件名，并尝试在链上同步交易历史，但页面返回“未发现已同步的交易记录”。这意味着我们目前**无法**从链上确认这个地址曾经收到或转出过比特币，所有关于“资金流向”的结论都必须留白。

在密码验证环节，系统明确标记 `cracked_password = 否`，说明我们尚未拿到明文密码或助记词。业务侧同时标注“余额很小”，这只是一个**业务判断**（用于决定是否值得继续投入资源），与“是否破解成功”是两回事——目前两者均为“否/未成功”。

8 月 6 日，钱包记录被更新过一次，但更新内容并未改变上述核心状态。整体来看，这个钱包目前处于“证据已建档、密码未破、交易未同步”的中间态。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要未同步任何交易，无法确认该地址是否曾收到资金。
- **转出记录**：未知。同样因未同步交易，无法确认是否有转出行为或最后转出时间。
- **当前余额**：0.00003388 BTC（仅代表当前链上余额，不代表历史流水）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：这是系统根据当前余额（0.00003388 BTC）与阈值比较后给出的**业务优先级标记**，仅表示“该钱包剩余价值低”，**不代表**钱包已清空或已破解。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 为“否”，即目前**没有**任何强证据表明已获得密码、助记词或私钥。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：在页面点击“同步交易”，获取该地址完整历史流水，确认是否有转入/转出及最后活动时间。
2. **补充钱包文件哈希**：提供该 `.dat` 文件的 SHA-256 哈希，便于与其他批次钱包做去重与关联分析。
3. **查找同批次关联钱包**：该文件来自“250_wallet”批量数据集，建议对比同批次其他钱包的地址生成时间与文件名规律，判断是否为同一批生成。
4. **检查钱包内部地址数量**：通过合规工具读取该 BDB 文件内包含的地址数量（非密钥内容），判断是单地址钱包还是多地址钱包。
5. **核对业务标注来源**：确认“余额很小”阈值是谁设定的、何时设定，避免后续误判。
6. **补充钱包创建时间线索**：若文件元数据（如 mtime）可用，可辅助推断钱包生成年代。
7. **确认是否有多签或脚本类型**：读取地址类型（P2PKH/P2SH），判断是否涉及复杂脚本。
8. **用户侧补充记忆线索**：若该钱包属于某用户，请用户回忆可能的密码设置习惯或备份时间，但**不要**在聊天中直接发送密码。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已完成，确认为 `bitcoin_legacy_bdb`，无需重复检测。
- **链上同步**：已尝试但未成功（无同步记录），需检查节点同步状态或数据源，而非重复点击。
- **密码验证**：已进行过一轮验证，结果为“否”，说明当前候选密码集不匹配；后续应侧重**线索补充**而非盲目扩大测试范围。
- **业务标注**：已记录“余额很小”标记，后续无需重新评估该钱包优先级，除非链上同步后余额发生变化。