LTC 钱包风险检测与恢复评估 #1046

### 1. 一句话结论
这是一个LTC（莱特币）钱包的取证复盘：当前链上余额为0，且**尚未获得明文密码**，所有“余额为0”仅来自业务标注，不代表破解成功；目前证据链仅覆盖钱包文件本身，链上交易记录尚未同步，无法确认任何历史转入/转出。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1046，币种LTC，主地址 `LfRQj4hYJc6JMgJB3cGnNBFNrJkLGheEAp`（字段：主地址）。
- **文件来源**：路径为 `/www/czb-wallet-common/datasets/fake.czb.com/LTC/review/MEGA-BONUS_Litecoin_wallet.dat-30934fcb0973/wallet.dat`，文件大小 999,424 字节（约 0.95 MB），格式标注为 `bitcoin_legacy_bdb`（字段：钱包路径、文件大小、钱包版本/格式）。
- **时间线**：录入时间 2026-06-23 00:38:41，数据标注日期 2026-06-23 00:58:23，最近更新时间 2026-08-06 08:40:01（字段：录入时间、数据标注日期、更新时间）。
- **余额状态**：字段显示余额 `0.00000000`，且业务标注“余额很小(≤阈值)”为“是”（字段：余额、余额很小）。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有已知明文密码**（字段：已知密码存在）。
- **链上数据**：未发现已同步的交易记录（字段：链上交易摘要）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统录入了一个名为“MEGA-BONUS_Litecoin”的LTC钱包文件，大小接近1MB，属于典型的旧版BDB格式钱包（bitcoin_legacy_bdb）。我们首先确认了它的主地址和文件路径，并打上了“余额很小”的业务标注——这一步只是基于钱包内记录的余额字段，并不代表我们打开了它。

随后，我们尝试对钱包文件进行基础检查，确认其格式与结构是否完整。但关键点在于：**我们始终没有拿到任何明文密码或助记词**，字段里“已知密码存在=否”就是最直接的证据。因此，所有关于“能否动用这笔资产”的结论都必须停留在“未验证”状态。

到了8月6日，我们更新了一次钱包状态，但链上交易摘要依然显示“未发现已同步的交易记录”。这意味着我们目前连“这笔钱包历史上到底有没有收过钱、转出过钱”都无法确认——不是没有交易，而是**我们还没有同步链上数据**。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：未知。链上交易摘要未同步，无法确认该地址是否曾收到过LTC。
- **转出（send）**：未知。同样因未同步交易记录，无法确认是否有过转出行为。
- **当前余额**：显示为0.00000000，但该数值仅来自钱包文件内部记录或业务标注，**未经链上验证**，且与“是否破解密码”无关。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为0的业务标注**：这是系统根据钱包文件内记录的余额字段给出的判断（字段：余额、余额很小），属于业务层面的“低价值”标记，**不代表我们成功打开过钱包**。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 为“否”，即我们目前没有该钱包的任何明文密码、助记词或私钥。所有关于“破解成功”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易记录**：优先在页面点击“同步交易”，获取该地址的完整转入/转出历史，这是判断钱包真实价值的基础。
2. **补充钱包来源背景**：提供该 `wallet.dat` 文件的上游来源（如哪个活动、哪个批次），有助于判断密码设置习惯。
3. **确认文件完整性**：核对文件哈希（如SHA-256）是否与原始录入一致，排除文件损坏或篡改。
4. **检查同批次钱包**：若存在同批次的“MEGA-BONUS”系列钱包，可对比其密码规律（仅作规律分析，不涉及具体破解）。
5. **补充时间线索**：提供该钱包可能被创建或最后使用的时间段，缩小密码猜测范围。
6. **确认是否有多地址**：旧版BDB钱包可能包含多个地址，需确认主地址之外是否还有关联地址。
7. **获取用户侧提示**：若该钱包来自真实用户，可尝试通过合规渠道获取密码提示或重置流程。
8. **链上余额二次验证**：通过区块浏览器直接查询主地址余额，与本地字段交叉验证。

### 7. 已尝试方向回顾（避免重复投入）
- **基础格式检查**：已确认钱包为 `bitcoin_legacy_bdb` 格式，文件大小正常，未发现结构异常。
- **密码状态核查**：已确认当前没有任何已知明文密码，后续无需再重复检查“是否已有密码”这一字段。
- **链上数据同步**：尚未执行，这是下一步的首要动作，**不要跳过**。
- **余额判断**：已基于本地字段做出“余额很小”的业务标注，但该结论未经链上验证，后续应以链上数据为准，避免重复依赖本地字段。