LTC 钱包风险检测与恢复评估 #1517

### 1. 一句话结论
这是一个 LTC 钱包取证任务，目前我们**尚未获得明文密码**，且链上交易记录**尚未同步**，因此无法对资金流向做任何判断；当前最优先的事项是补齐交易同步与密码验证材料。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1517，币种 LTC，主地址 `Li8Bmo6N53B1dBeXaNPxtwKg4vv4wVGHWM`。
- **文件信息**：钱包文件名为 `DOGE +LTE+VACIA_Li8Bmo6N53B1dBeXaNPxtwKg4vv4wVGHWM.dat`，格式为 `bitcoin_legacy_bdb`，大小 2,809,856 字节。
- **时间线**：录入时间 2026-06-23 00:50:34，数据标注日期 2026-06-23 00:58:27，最近更新 2026-08-06 00:50:31。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有强证据表明已拿到明文密码**。
- **余额标注**：业务标注“余额很小(≤阈值)”为“否”，说明当前**没有触发“余额为0/极小”的业务标记**。
- **链上数据**：未发现已同步的交易记录；页面提示需先点击“同步交易”才能获得更精确的转出/转入时间。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，我们录入了一个 LTC 钱包文件，文件来自一个名为“MEGA-BONUS”的目录，文件名里混合了 DOGE、LTE、VACIA 等字样，看起来像是一个多用途或历史遗留的备份文件。当时我们做了基础登记，并给数据打了标注。

随后我们检查了钱包格式，确认它是 `bitcoin_legacy_bdb`，也就是老式 Bitcoin Core 数据库格式，这类文件通常需要对应版本的软件或工具才能解析。我们尝试读取文件结构，确认文件大小约 2.8 MB，属于中等规模的钱包数据库。

在密码验证环节，我们核对了“是否已有已知密码”这一强证据字段，结果是否定的——也就是说，到目前为止，我们手里**没有一份被验证过的明文密码**。同时，我们查看了链上交易摘要，发现系统里还没有同步到任何交易记录，因此无法从链上确认这个地址是否曾经有过资金进出。

8 月 6 日，我们更新了一次钱包信息，但状态没有变化：密码仍未拿到，交易仍未同步。整个推进过程目前卡在“缺链上数据”和“缺密码验证结果”这两个环节上。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **说明**：当前系统内没有任何已同步的交易记录，因此**不能**推断该地址是否活跃、是否有历史余额、是否发生过转账。所有关于“最后转出时间”“累计转入”等说法目前均无依据。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：标注为“否”，即当前**没有**被系统标记为“余额很小（≤阈值）”。但这只是一个业务侧的低余额提示，**不等于**链上真实余额为 0，也不等于我们验证过余额。
- **明文密码状态**：字段 `cracked_password/actual_password` 为“否”，即**尚未获得明文密码**，也没有任何验证成功的记录。所有关于“已破解”“已拿到密码”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出记录，这是判断资金流向的前提。
2. **补充密码验证材料**：提供该钱包可能使用过的密码线索（如历史密码本、关联邮箱/账号命名习惯），用于后续合规验证。
3. **确认钱包来源背景**：补充“MEGA-BONUS”目录的上下文，说明该文件来自哪台设备、哪个业务场景，有助于缩小密码猜测范围。
4. **检查同批次钱包文件**：如果同一目录下还有其他 `.dat` 文件，可对比文件名规律与时间戳，判断是否为批量生成的钱包。
5. **核对钱包版本兼容性**：确认 `bitcoin_legacy_bdb` 对应的客户端版本，避免因版本不匹配导致解析不完整。
6. **查询地址历史备注**：如果业务系统中有该地址的备注或标签（如“DOGE +LTE+VACIA”的含义），请补充，可能包含命名密码线索。
7. **补充文件哈希与来源链**：提供该 `.dat` 文件的 SHA-256 哈希及获取途径，便于确认文件完整性。
8. **明确“余额很小”标注的判定依据**：请业务方说明该标注是基于什么数据得出的（链上查询？本地解析？），以判断是否可信。

### 7. 已尝试方向回顾（避免重复投入）
- **基础登记与格式识别**：已完成，确认是 `bitcoin_legacy_bdb` 格式，文件大小与时间线已记录。
- **密码强证据核查**：已核查 `cracked_password/actual_password` 字段，结果为“否”，无需重复检查该字段。
- **链上交易查询**：已尝试查看交易摘要，但系统内无同步数据，**不要重复**在无同步的情况下反复刷新链上页面，应先执行“同步交易”操作。
- **余额业务标注核对**：已确认当前标注为“否”，但该标注本身缺乏链上依据，后续应优先补充真实链上余额，而不是依赖该业务标注。