BTC 钱包风险检测与恢复评估 #1089

### 1. 一句话结论
钱包 `MEGA-BONUS / f7a4d4e47c155322 (2).wallet`（ID 1089，BTC）目前处于“**未破解、未同步交易、余额非零但很小**”的中间状态——我们既没有拿到明文密码，也尚未确认链上资金流向，下一步的关键是补齐交易同步与来源线索，而非继续盲目尝试。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：名称 `MEGA-BONUS / f7a4d4e47c155322 (2).wallet`，路径位于 `.../BTC/unknown/` 目录下，文件大小 **244,894 字节**。
- **时间线**：录入时间 `2026-06-23 00:39:20`，数据标注时间 `2026-06-23 00:57:27`，最近更新 `2026-06-29 08:10:04`——说明该钱包在 6 月 23 日被纳入追踪，6 天后有过一次状态刷新。
- **破解状态字段**：`已知密码存在（cracked_password/actual_password）= 否`，即**没有任何强证据表明已获得明文密码**。
- **余额业务标注**：`余额很小（≤阈值）= 否`，即业务上**不认为余额已归零或低于阈值**，仍有待处理价值。
- **链上数据**：`未发现已同步的交易记录`，转入/转出方向均无统计字段支撑。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统在 `BTC/unknown` 目录下发现了这个名为 `MEGA-BONUS` 的钱包文件。文件体积约 239 KB，属于中等偏大的钱包结构，通常意味着内部包含较多地址或元数据。我们随即在 00:57 完成了数据标注，确认它被纳入“未知来源 BTC 钱包”的追踪列表。

此后几天，我们主要做了两件事：一是检查是否存在已知密码的匹配记录，结果字段明确为“否”；二是尝试拉取链上交易，但页面显示“未同步”，意味着我们目前**看不到任何转入/转出历史**。6 月 29 日有一次状态更新，但更新内容并未改变上述两个关键结论——密码未知、交易未同步。

换句话说，当前推进的瓶颈不在“猜密码”，而在“数据同步”与“来源判断”。我们还没有足够信息判断这个钱包是历史遗留、测试样本，还是与某次事件相关的关键资产。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 统计字段）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 统计字段）。
- **最后活动时间**：无法确认，需先在页面点击“同步交易”后才能获得更精确的“最后转出时间”。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额业务标注**：`余额很小（≤阈值）= 否`，说明业务上**不认为余额已清零**，该钱包仍被视为有潜在价值，不能关闭或归档。
- **明文密码状态**：`已知密码存在 = 否`，即**尚未获得明文密码**。请勿将“余额不为 0”误解为“已破解”——这是两个完全独立的维度。当前状态是：**有钱但进不去，且不知道里面有多少钱**。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **执行链上交易同步**（页面点击同步），获取该钱包地址的转入/转出历史与时间戳。
2. **提取钱包内的 BTC 地址列表**（只读操作），用于后续链上查询。
3. **核对钱包文件路径中的 `fake.czb.com` 目录**，确认是否为测试环境样本，降低优先级或调整策略。
4. **检索同目录下其他钱包文件**，看是否存在命名规律（如 `MEGA-BONUS` 系列），判断是否为批量生成。
5. **检查钱包文件元数据**（如创建时间、修改时间），与录入时间比对，推测生成工具或来源。
6. **查询该钱包是否出现在任何历史事件报告或已知地址库中**（内部威胁情报匹配）。
7. **确认“余额很小”的具体数值范围**（需补充业务侧阈值定义），判断是否值得投入更多资源。
8. **补充钱包来源说明**（谁上传的、从哪个设备/渠道收集），这是判断“是否继续追”的最关键缺失信息。

### 7. 已尝试方向回顾（避免重复投入）
- **密码匹配尝试**：已确认无已知密码记录，**无需再次尝试常见密码/字典匹配**，除非未来出现新的线索（如来源设备中找到密码本）。
- **链上同步尝试**：截至更新时点仍未成功同步，**不要重复刷新**，应先检查网络配置或节点状态，再决定是否重试。
- **余额判断**：已确认业务标注为“非零且非小额”，**无需重新评估阈值**，但需要补充具体数值才能做成本收益分析。

> 提示：当前最大缺口是“交易同步”与“钱包来源”。补齐这两项之前，任何进一步的密码测试或链上分析都属于低效投入。