LTC 钱包风险检测与恢复评估 #1521

### 1. 一句话结论
这是一份针对 LTC 钱包（ID 1521）的阶段性取证复盘：目前我们**尚未获得明文密码**，也**未发现任何已同步的链上交易记录**，钱包文件本身已成功定位并完成基础解析，但后续推进高度依赖补充交易同步与更多上下文线索。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1521，币种为 LTC，主地址 `LSXGTYMjyWkvspV1QbKNzqZHLnf6niErmP`。
- **文件信息**：钱包文件名为 `DOGE +LTE+VACIA / LSXGTYMjyWkvspV1QbKNzqZHLnf6niErmP.dat`，格式标注为 `bitcoin_legacy_bdb`（LTC 与 BTC 同源，故沿用该格式标记）。
- **物理路径**：位于 `/www/czb-wallet-common/datasets/fake.czb.com/LTC/real/` 目录下，文件大小约 1.52 MB（1,523,712 字节）。
- **时间线**：录入时间 2026-06-23 00:50:55，数据标注日期 2026-06-23 00:58:28，最近一次更新 2026-08-06 00:50:31。
- **破解状态**：字段 `cracked_password/actual_password` 明确为“否”，即**无强证据表明已拿到明文密码**。
- **余额标注**：业务标注“余额很小(≤阈值)”为“否”，即**未被标记为小额钱包**，但这与“是否已破解”是两回事。
- **链上数据**：当前未发现已同步的交易记录（转入/转出均无）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
事情要从 6 月 23 日说起。那天凌晨，系统在 `fake.czb.com` 的 LTC 数据目录下，发现了一个命名很特别的钱包文件——名字里带着 `DOGE +LTE+VACIA` 的字样，主地址是 `LSXGTYMjyWkvspV1QbKNzqZHLnf6niErmP`。我们第一时间把它登记入库，并做了基础信息采集：确认了文件格式（`bitcoin_legacy_bdb`）、大小（约 1.5 MB）和存储路径。

随后，我们尝试对钱包文件进行解析与状态检查。到 8 月 6 日，系统做了一次例行更新，但钱包的“破解状态”字段依然保持为“否”——也就是说，我们目前**没有拿到任何可验证的明文密码或助记词**。

与此同时，我们检查了链上同步情况：页面显示“未发现已同步的交易记录”。这意味着，我们既不知道这个地址历史上收到过多少笔 LTC，也不知道它是否曾向外转出过资金。整个钱包目前就像一本合上的账本，我们只看到了封面（文件信息），还没翻开内页（交易流水）。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要显示“未发现已同步的交易记录”，因此无法确认该地址是否曾接收过 LTC。
- **转出记录**：未知。同样因无同步数据，无法确认是否存在转出行为，更无法推断“最后转出时间”。
- **说明**：以上“未知”均源于**数据未同步**，而非“确认没有交易”。如需精确结论，必须先完成链上交易同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：字段显示“余额很小(≤阈值)”为“否”。这仅代表业务侧未将该钱包归类为“小额/低价值”钱包，**并不等于**余额很大，也不等于余额为零——它只是一个业务筛选标记。
- **明文密码状态**：字段 `cracked_password/actual_password` 为“否”，即**尚未获得明文密码**。所有关于“已破解”的说法均不成立，目前仍处于“未验证成功”阶段。
- **重要提醒**：请勿将“余额标注为否”误读为“已破解”或“有钱可转”，这是两个完全独立的维度。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址完整的 LTC 收发记录，这是判断钱包价值与活动的最关键一步。
2. **补充钱包来源上下文**：文件名中的 `MEGA-BONUS`、`DOGE +LTE+VACIA` 等字样可能关联特定活动或批次，建议查找同批次其他钱包文件，看是否有共性规律。
3. **核对录入批次信息**：调取 2026-06-23 前后录入的其他钱包记录，确认该文件是否来自批量导入，是否有配套的备注或来源说明。
4. **检查文件完整性**：确认 1.52 MB 的文件是否完整（是否被截断或损坏），可尝试用官方钱包工具做一次只读校验。
5. **查找关联地址**：若后续同步出交易记录，优先排查与 `LSXGTYMjyWkvspV1QbKNzqZHLnf6niErmP` 有资金往来的对手地址，可能指向同一控制人。
6. **调取钱包创建时间线索**：从 BDB 文件内部元数据（如创建时间戳）推断钱包生成时间，辅助判断其用途。
7. **确认“余额很小”标注的判定阈值**：向业务方索要该字段的具体判定规则，避免后续误读。
8. **补充人工情报**：询问最初发现该文件的同事，是否有截图、日志或备注说明当时为何关注此钱包。

### 7. 已尝试方向回顾（避免重复投入）
- **基础文件解析**：已完成，确认了格式、路径、大小等静态信息，无需重复采集。
- **破解状态检查**：已确认 `cracked_password` 为“否”，说明当前没有可用的密码结果，**不应再假设“已破解”** 而重复尝试导出私钥。
- **链上同步尝试**：当前页面显示未同步，说明此前未成功拉取交易记录，下一步应直接点击同步，而非反复刷新页面。
- **余额标注核对**：已确认业务标注为“否”，但未获取判定阈值，后续应向业务方索取规则，而不是自行猜测余额大小。