BTC 钱包风险检测与恢复评估 #1284

### 1. 一句话结论
钱包 `MEGA-BONUS / default_wallet (3)`（ID: 1284，BTC）目前**尚未获得明文密码**，链上交易记录**未同步**，余额是否为零也**缺乏业务标注**，整体处于“信息待补全”的早期取证阶段。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1284，名称 `MEGA-BONUS / default_wallet (3)`，币种 BTC。
- **文件信息**：路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/unknown/...`，文件大小 **2120 字节**。
- **时间线**：录入时间 `2026-06-23 00:42:14`，数据标注时间 `2026-06-23 00:57:35`，最近更新 `2026-06-29 16:15:04`。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **“否”**，即**没有**已确认的明文密码。
- **余额标注**：业务字段“余额很小(≤阈值)”为 **“否”**，说明系统**未将其标记为小额钱包**，但注意这不等于“余额很大”，只是未触发小额阈值。
- **链上交易**：**未发现已同步的交易记录**，既无转入也无转出数据。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一个名为 `MEGA-BONUS` 的 BTC 钱包文件，大小仅 2 KB 左右，属于典型的轻量级钱包文件。我们第一时间做了数据标注，确认文件路径归属 `unknown` 目录，说明来源渠道尚未归类。

随后我们检查了密码状态字段——结论是“否”，意味着**没有任何已确认的密码证据**。同时，我们尝试拉取链上交易摘要，但页面显示“未发现已同步的交易记录”，说明该钱包的链上活动尚未被同步工具抓取，或者该地址从未有过链上交互。

到 6 月 29 日，我们再次更新了钱包信息，但密码与交易两个关键字段均无变化。整个推进过程目前停留在“数据已入库、但关键证据缺失”的阶段，没有进入任何破解或验证环节。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：**未知**——链上交易未同步，无任何转入记录。
- **转出（send）**：**未知**——同样无任何转出记录。
- **说明**：当前所有交易方向均无法判断。若需精确的“最后转出时间”或历史收支，必须先点击页面“同步交易”按钮，拉取链上数据后再做统计。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额业务标注**：字段“余额很小(≤阈值)”为 **“否”**，即系统**没有**将其标记为“余额为 0 或极小”的钱包。但这只是业务侧的一个阈值判断，**不等于**已核实余额。
- **明文密码状态**：`cracked_password/actual_password = 否`，即**尚未获得任何明文密码**，也**未验证成功**。当前不存在“已破解”的事实。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先点击“同步交易”，获取该 BTC 地址的完整转入/转出记录，判断是否活跃。
2. **核实余额**：通过节点或区块浏览器查询该地址当前 BTC 余额，补充业务标注缺口。
3. **确认文件来源**：查清 `unknown` 目录的导入批次，确认该钱包来自哪次批量采集或移交。
4. **检查文件完整性**：核对 2120 字节文件是否完整（是否被截断或加密头缺失）。
5. **关联钱包群组**：检索是否存在同批次 `MEGA-BONUS` 系列钱包，对比文件结构。
6. **查找元数据**：查看文件内是否包含非密钥类元信息（如创建时间、备注、URL 等）。
7. **确认“default_wallet (3)”含义**：核实该命名是客户端默认生成还是人工标记，辅助判断使用场景。
8. **补充密码线索**：若存在密码提示、历史泄露库匹配记录或用户习惯档案，可提供作为后续验证素材（但需合规授权）。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证**：已确认无任何已知密码证据，**无需**再次尝试“用已有密码去验证”。
- **链上交易拉取**：已尝试同步，但结果为“无记录”，**不要**重复点击同步，除非先确认地址正确或网络同步服务正常。
- **余额阈值判断**：已做业务标注（为“否”），**不要**再次仅凭文件大小猜测余额，应直接查链上数据。
- **文件路径排查**：已确认路径归属 `unknown` 目录，**无需**重复遍历目录，应转向来源批次调查。