BTC 钱包风险检测与恢复评估 #1153

### 1. 一句话结论
这是一个尚未解锁、余额不为零的 BTC 传统钱包（钱包ID 1153），目前我们**没有拿到明文密码**，链上交易记录也**尚未同步**，因此无法对资金流向做任何结论；下一步重点是先完成链上同步，再围绕钱包文件本身做合规取证。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID `1153`，币种 `BTC`，主地址 `1pbUJuMHnqLXAfjVz71RQKWhjLkF5fNYw`。
- **余额状态**：当前余额 `12.01132340 BTC`，业务标注“余额很小（≤阈值）”为 **否**，即余额并不小，属于高价值目标。
- **密码状态**：字段 `cracked_password / actual_password` 为 **否**，即**尚未获得明文密码**，也未经任何验证成功。
- **钱包格式**：`bitcoin_legacy_bdb`（传统 Bitcoin Core 钱包格式），文件名 `wallet_62,01.dat`，大小 `57344` 字节。
- **来源路径**：位于 `fake.czb.com/BTC/unknown/MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_62,01BTC...` 目录下，属于批量“MEGA-BONUS”系列之一。
- **录入与更新时间**：录入 `2026-06-23 00:40:35`，最近更新 `2026-08-06 10:23:00`，数据标注日期为 `2026-06-23 00:57:30`。
- **链上交易**：**未发现已同步的交易记录**，字段显示“如需更精确的最后转出时间，请先在页面点击同步交易”。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是 6 月 23 日凌晨被录入系统的，来自一个名为“MEGA-BONUS”的批量钱包包，文件名里带着 `250_wallet` 字样，看起来像是一批批量生成或批量收集的 Bitcoin Core 钱包文件。文件本身是传统的 `bitcoin_legacy_bdb` 格式，大小约 56 KB，属于典型的早期 Bitcoin Core 钱包结构。

录入当天我们就做了初步标注，确认余额为 `12.01 BTC`，并不属于“小额”范畴，因此被标记为需要重点跟进的对象。之后在 8 月 6 日做了一次状态更新，但**密码验证字段仍然为否**，说明到目前为止，我们还没有成功拿到或验证任何明文密码。

同时，系统里**没有同步到任何链上交易记录**。这意味着我们目前既不知道这些 BTC 是什么时候进来的，也不知道有没有转出过——一切资金动向都还是“未知”状态。换句话说，我们现在手里有的，只是一个“锁着的盒子”，盒子里有多少钱是知道的，但盒子什么时候开过、里面钱怎么动过，都还没看到账本。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：**未知**。当前未同步到任何 `direction=receive` 的交易记录。
- **转出记录**：**未知**。当前未同步到任何 `direction=send` 的交易记录。
- **说明**：由于链上交易摘要为空，且系统提示需要手动点击“同步交易”，因此**所有关于资金进出、最后活动时间的判断均为“未同步/未知”**，不做任何推测。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额是否为 0**：否。当前余额 `12.01132340 BTC`，业务标注“余额很小”为 **否**，即这是一个有实际价值的钱包。
- **是否拿到明文密码**：**否**。字段 `cracked_password / actual_password` 明确为“否”，表示**尚未获得任何明文密码，也未验证成功**。
- **重要区分**：余额不为 0 不代表密码已拿到；密码未拿到也不代表余额会变化。两者是独立状态，目前我们处于“有钱但没钥匙”的阶段。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先执行链上交易同步**：这是当前最大数据缺口，同步后才能判断资金何时进入、是否有转出。
2. **补充钱包文件来源信息**：确认 `MEGA-BONUS` 批次的来源背景（是扣押、找回还是批量迁移），有助于判断密码设置习惯。
3. **检查同批次其他钱包的状态**：同目录下 `250_wallet` 系列中，是否有其他钱包已成功解锁，可参考其密码规律（仅作线索，不涉及攻击细节）。
4. **核对钱包文件完整性**：确认 `wallet_62,01.dat` 是否被截断或损坏，文件大小 57344 字节是否与标准 BDB 结构一致。
5. **查找钱包创建时间线索**：在文件元数据或路径中寻找创建时间、修改时间，辅助判断密码设置年代。
6. **收集与钱包地址关联的公开信息**：通过主地址 `1pbUJuMHnqLXAfjVz71RQKWhjLkF5fNYw` 在公开浏览器上查询历史交易（合规途径）。
7. **确认业务方是否有密码线索备注**：检查录入时是否附带任何备注、邮件或工单记录。
8. **评估钱包版本兼容性**：确认 `bitcoin_legacy_bdb` 格式是否需要特定版本客户端才能正确读取，避免工具误判。

---

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证**：已尝试对钱包进行密码验证，结果为“否”，说明**当前候选密码集未命中**，无需重复测试同一批候选。
- **链上同步**：已检查链上交易摘要，发现**未同步任何记录**，说明此前未完成或未触发同步操作，需重新发起。
- **格式识别**：已确认钱包为 `bitcoin_legacy_bdb`，无需再花时间猜测格式。
- **余额评估**：已确认余额不为 0 且非小额，已标记为高优先级，无需重新评估。
- **尚未尝试**：未进行链上同步、未核对同批次钱包、未检查文件完整性——这些是下一步应优先投入的方向。