BTC 钱包风险检测与恢复评估 #1674

### 1. 一句话结论
这是一个 **BTC 旧版钱包（bitcoin_legacy_bdb）** 的取证任务，目前**尚未获得明文密码**，且**链上交易记录未同步**，因此无法确认任何转入/转出活动；当前唯一强证据是钱包文件本身及其元数据。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID `1674`，币种 `BTC`，主地址 `1bq2rohpFPDf2accfNhjx6PJ64J6XP2Vk`（来源：主地址字段）。
- **文件格式**：`bitcoin_legacy_bdb`，文件名 `wallet.dat~1 / ArceeCoin (8).dat`，大小 `98304` 字节（来源：版本/格式、文件名、大小字段）。
- **存储路径**：`/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet.dat~1_ArceeCoin (8).dat-acedf18bc06b/ArceeCoin (8).dat`（来源：路径字段）。
- **时间线**：录入时间 `2026-06-23 00:58:07`，最近更新 `2026-08-06 03:21:01`（来源：录入/更新时间字段）。
- **密码状态**：`cracked_password/actual_password` 字段为“否”，即**没有已知明文密码**（来源：密码强证据字段）。
- **余额标注**：业务标注“余额很小”为**否**，即**不认为余额很小**（来源：余额阈值标注字段）。
- **链上数据**：**未发现已同步的交易记录**（来源：链上交易摘要字段）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初拿到的是一个名为 `ArceeCoin (8).dat` 的旧版 Bitcoin 钱包文件，大小约 96 KB，属于典型的 `bitcoin_legacy_bdb` 格式。首先确认了它的主地址和币种，并记录了文件路径与时间戳，确保证据链完整。

随后我们检查了“是否已有已知密码”这一关键字段——结果为“否”，说明此前没有通过任何渠道获得该钱包的明文密码或助记词。同时，我们尝试同步链上交易，但系统返回“未发现已同步的交易记录”，这意味着我们目前**无法从链上确认该地址的余额或历史活动**。

在业务层面，系统标注“余额很小”为“否”，即该钱包**不被视为低价值/小额钱包**，这提高了后续取证的优先级。但请注意，这个标注与“是否已破解密码”是两回事——目前密码仍未拿到。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活动时间**：未知（无法从现有字段推断）。
- **说明**：所有交易方向均基于 `direction` 统计字段，当前无数据，因此不做任何臆断。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：系统标注“余额很小”为**否**，即**不认为余额很小**。但这只是一个业务侧参考值，不代表链上真实余额。
- **明文密码状态**：`cracked_password/actual_password` 为“否”，即**尚未获得明文密码**。目前没有任何证据表明密码已被验证成功。
- **重要区分**：即使未来业务标注显示“余额为0”，也不等于“密码已拿到”；反之亦然。两者是独立维度。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先在页面点击“同步交易”，获取该地址的 BTC 转入/转出记录与时间戳。
2. **补充钱包来源信息**：提供该 `.dat` 文件的原始来源（如旧电脑、备份盘、交易所导出），有助于缩小密码猜测范围。
3. **查找同名文件线索**：文件名含 `ArceeCoin`，可搜索是否有关联的旧项目、论坛帖子或备份备注。
4. **检查文件元数据**：提取文件创建/修改时间、操作系统指纹等（需合规工具，不涉及暴力破解）。
5. **确认是否有多份备份**：查找同一路径下是否有 `wallet.dat` 的其他副本或 `.bak` 文件。
6. **核对地址归属**：确认主地址 `1bq2rohp...` 是否曾在公开交易记录中出现（如区块浏览器标签）。
7. **补充用户侧记忆线索**：询问钱包所有者可能使用过的密码类型（如旧邮箱前缀、生日组合），仅作线索，不指导攻击。
8. **检查是否有 BIP39 助记词碎片**：若存在助记词备份文件，可优先验证（需用户主动提供）。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证**：已确认“已知密码”字段为否，说明此前未成功验证任何密码，**无需重复尝试同一批已测试的密码**。
- **链上同步**：已尝试同步交易但未成功，**不要重复点击同步**，应先检查网络或节点配置。
- **文件格式识别**：已确认为 `bitcoin_legacy_bdb`，**无需重新猜测格式**。
- **余额标注**：已确认业务标注为“余额不小”，**无需重复评估优先级**。
- **下一步应聚焦**：补充链上数据与来源线索，而非重复已有字段的检查。