LTC 钱包风险检测与恢复评估 #1386

### 1. 一句话结论
这是一份针对 LTC 钱包（ID 1386）的阶段性复盘：目前我们**尚未获得明文密码**，链上交易记录**未同步**，且业务标注显示**余额不为零**，因此后续工作重点应放在“补充链上数据”和“确认密码验证路径”上，而非重复已有尝试。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1386，币种 LTC，主地址 `LhQ94k9P2dFChNU9pi3bGpBQZpmwhjo7pP`。
- **文件信息**：钱包文件名为 `DOGE +LTE+VACIA / LhQ94k9P2dFChNU9pi3bGpBQZpmwhjo7pP.dat`，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/LTC/real/...`，文件大小 **46,112,768 字节**（约 44 MB）。
- **格式与版本**：标注为 `bitcoin_legacy_bdb`，属于 Bitcoin Core 旧版 Berkeley DB 格式（LTC 早期兼容该格式）。
- **时间线**：录入时间 `2026-06-23 00:45:33`，数据标注日期 `2026-06-23 00:58:27`，最近更新时间 `2026-08-05 22:53:00`。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**，即目前没有强证据表明已拿到明文密码。
- **余额状态**：业务标注“余额很小(≤阈值)”为 **否**，即按业务口径，该钱包余额**不低**，有继续追查价值。
- **链上数据**：**未发现已同步的交易记录**，页面提示需先点击“同步交易”才能获得更精确的转入/转出时间。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
事情要从 6 月 23 日凌晨说起。当时系统录入了一个名为“MEGA-BONUS”系列的 LTC 钱包文件，文件名里带着 `DOGE +LTE+VACIA` 的混合标记，看起来像是一个历史遗留的“多币种混淆”命名。文件体积不小——44 MB 的 `.dat` 文件，说明里面可能存有大量历史密钥或地址记录。

我们首先确认了它的格式：`bitcoin_legacy_bdb`，这是早期 Bitcoin/Litecoin 客户端常用的数据库结构。基于这个格式，我们尝试了常规的合规验证流程（例如检查文件完整性、确认地址归属等），但**没有触发任何“密码已知”的强证据**——也就是说，到目前为止，我们手里并没有拿到可用的明文密码或助记词。

到了 8 月 5 日，我们再次更新了钱包状态，但链上交易摘要依然显示“未同步”。这意味着我们目前**无法从链上确认该地址到底转过多少钱、最后活动是什么时候**。业务侧标注“余额不小”，但这只是基于钱包文件内部的本地记录或业务估算，并非链上确认值。

所以，现在的局面是：**文件在手、格式清楚、但密码未破、链上未同步**。我们卡在“数据不全”和“验证未完成”这两个点上，而不是“方向错误”。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要未同步，无法确认任何 `direction=receive` 的交易。
- **转出记录**：未知。同样因未同步，无法确认任何 `direction=send` 的交易。
- **最后活动时间**：未知。需要先在页面点击“同步交易”后，才能基于区块时间给出“最后转出/转入时间”。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：当前标注为“余额很小(≤阈值)=否”，即业务侧认为该钱包**余额不低**，值得继续投入资源。
- **明文密码状态**：字段 `cracked_password/actual_password = 否`，即**尚未获得明文密码**。请注意：即使余额不为零，也不代表密码已破解；两者是独立维度。目前我们仍处于“未验证成功”阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，这是当前最大的数据缺口。
2. **核对钱包文件来源**：确认 `MEGA-BONUS_DOGE +LTE+VACIA` 命名的业务背景，是否来自某个已知活动或批量生成脚本。
3. **检查同批次钱包**：查找同一路径下（`/real/` 目录）是否有其他钱包文件，可能共享密码规则或命名规律。
4. **确认“余额不小”的业务依据**：向业务方索要该标注的统计口径（是本地 UTXO 扫描？还是历史记录汇总？）。
5. **验证文件完整性**：确认 `.dat` 文件是否被截断或损坏，44 MB 是否与预期密钥数量匹配。
6. **收集密码线索**：若存在密码提示、历史工单、或关联邮箱记录，请补充这些元数据（注意脱敏）。
7. **检查钱包版本兼容性**：确认 `bitcoin_legacy_bdb` 是否与当前 LTC 核心版本存在兼容问题，导致无法正常加载。
8. **补充“最后同步时间”**：若之前同步过但失败，请提供失败日志或错误码，便于定位是网络问题还是格式问题。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需重复猜测格式。
- **密码强证据检查**：已确认 `cracked_password` 字段为否，说明常规验证流程已跑过，但未命中。
- **链上同步尝试**：当前显示“未同步”，说明此前可能未成功拉取交易，或尚未执行该操作——请勿假设“已同步过但没数据”，应视为“未执行”。
- **余额业务标注**：已确认业务侧认为余额不小，但未提供链上佐证，因此不要重复向业务方询问“余额是否为 0”，而应追问“余额依据是什么”。