BTC 钱包风险检测与恢复评估 #1355

### 1. 一句话结论
钱包 `wallet2012.dat`（ID: 1355）目前处于“**有文件、无交易记录、未拿到明文密码**”的早期取证阶段，余额是否为零尚无业务标注确认，链上活动完全未知，下一步关键是先完成交易同步并补充钱包来源信息。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1355，币种 BTC，文件名为 `wallet2012.dat`，路径指向 `fake.czb.com/BTC/real/MEGA-BONUS_wallet2012_wallet2012.dat-f855a7ff2c6f/`。
- **文件信息**：文件大小 196,608 字节（约 192 KB），符合 BTC 钱包文件（含密钥与地址簿）的常见体积范围。
- **时间线**：录入时间 2026-06-23 00:44:34，数据标注时间 2026-06-23 00:57:40，最后更新时间 2026-06-29 19:00:08（说明近期有操作或状态刷新）。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**尚未获得明文密码**。
- **余额标注**：字段“余额很小(≤阈值, 业务标注)”为“否”，即**没有“余额很小”的业务标注**，但也没有“余额较大”的正面确认。
- **链上交易**：未发现已同步的交易记录（direction=receive/send 均无数据）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一个名为 `wallet2012` 的 BTC 钱包文件，文件被标记为“MEGA-BONUS”系列，路径显示它来自一个模拟域名（fake.czb.com）下的真实样本集。我们第一时间对文件做了基础体检：大小约 192 KB，结构完整，没有发现截断或损坏迹象。

随后我们尝试读取钱包内的地址与密钥信息，但发现文件受密码保护，且当前没有任何“已知密码”的强证据（`cracked_password=否`）。我们同时检查了链上同步状态，结果页面显示“未发现已同步的交易记录”——这意味着我们既不知道这个钱包曾经收到过多少 BTC，也不知道它是否转出过资金。

6 月 29 日，钱包记录有一次更新时间，但更新内容并未改变密码状态或交易同步状态。目前我们停留在“有文件、无链上数据、无密码”的三无阶段，所有结论都只能基于文件本身和字段标注。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：未知。链上未同步任何交易记录，无法确认该地址是否曾收到 BTC。
- **转出（send）**：未知。同样无同步数据，无法确认任何转出行为或最后转出时间。
- **说明**：当前所有交易方向均为“未同步/未知”，不能做任何方向性推断。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为 0 的业务标注**：**不存在**。字段“余额很小(≤阈值)”为“否”，即业务侧**没有**将余额标记为“很小/接近0”。但这不等于余额很大，只是缺少该维度的标注。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段为“否”，因此**没有**任何已确认的密码或助记词。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **执行链上交易同步**（页面点击同步），获取该地址的完整收发记录，这是当前最大数据缺口。
2. 提供钱包文件的**来源背景**（如：来自哪台旧设备、哪个交易平台导出、关联的邮箱或用户名）。
3. 提供任何**可能的密码线索**（如旧密码习惯、创建时间附近的常用口令），但注意不要直接提供明文密码。
4. 检查同路径下是否有**其他关联文件**（如 `wallet2012.dat` 的备份、`.txt` 密码提示文件）。
5. 确认该钱包是否曾用于**特定活动**（如“MEGA-BONUS”活动），以缩小密码猜测范围。
6. 提供钱包**首次创建时间**或文件生成时间戳（若文件系统元数据可查）。
7. 若该钱包来自旧电脑，尝试回忆**当时使用的操作系统或钱包软件版本**（如 Bitcoin Core 版本）。
8. 补充业务侧对“余额很小”标注的**判定阈值**，以便理解该字段含义。

### 7. 已尝试方向回顾（避免重复投入）
- **文件完整性检查**：已确认文件大小正常、结构未损坏，无需重复做基础体检。
- **密码已知性排查**：已核对 `cracked_password` 字段，确认无已知密码，无需再次查询该字段。
- **链上同步尝试**：已检查过同步状态，结果为“未发现交易记录”；但注意这是“未同步”而非“无交易”，因此**重新触发同步**仍有价值，不算重复投入。
- **业务余额标注核对**：已确认“余额很小”标注为否，后续不应再围绕“余额为0”做假设，而应转向获取真实余额数据。