BTC 钱包风险检测与恢复评估 #1693

### 1. 一句话结论
该BTC钱包（ID: 1693）目前处于“有实体文件、无链上同步、未拿到明文密码”的早期取证阶段，余额是否为零与密码是否已破解是两件独立的事，当前两者均未确认。

### 2. 我们掌握的事实（证据链）
- **钱包实体**：文件名为 `Bitcash (3).dat`（别名 `wallet.dat~1`），格式为 `bitcoin_legacy_bdb`，大小 32,768 字节，属于早期Bitcoin Core（Bitcoin Legacy）使用的Berkeley DB格式。
- **存储位置**：路径指向 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet.dat~1_Bitcash (3).dat-148db84b850f/`，目录名含 `MEGA-BONUS` 与哈希后缀 `148db84b850f`，推测为业务方批量导入时的归档命名。
- **时间线**：录入时间为 2026-06-23 00:58:07，最近一次更新为 2026-06-30 07:25:04，数据标注日期与录入时间一致，说明录入后未发生新的字段变更。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即目前没有强证据表明已获得明文密码。
- **余额状态**：业务标注“余额很小”为“否”，即未触发小额阈值标记，但这不等于链上余额已核实。
- **链上交易**：系统内“未发现已同步的交易记录”，即当前没有任何转入/转出统计字段可供引用。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统将该 `Bitcash (3).dat` 文件纳入取证队列，当时我们只拿到一个孤立的BDB格式文件，没有伴随的链上地址索引或交易历史。我们首先确认了文件格式与大小，判断它属于Legacy BDB钱包，这类文件通常包含密钥池与地址元数据，但需要配套的同步工具才能映射到链上交易。

随后几天（至6月30日），我们尝试从文件结构层面读取内部记录，确认了钱包名称与路径归档规则，但并未触发任何“密码已确认”的回写——也就是说，我们还没有拿到可用的明文口令或助记词。同时，由于未执行“同步交易”操作，系统里没有任何 `direction=receive/send` 的统计字段，因此我们无法判断该地址历史上是否收过款、是否转出过币。目前进度停留在“文件已归档、结构已识别、链上未关联、密码未突破”四个状态。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：未知。系统未同步任何交易记录，无 `direction=receive` 字段可引用。
- **转出（send）**：未知。同样无 `direction=send` 字段，无法确认“最后转出时间”或转出金额。
- **说明**：请不要将“余额很小=否”误读为“有余额”。该字段只是业务侧的小额阈值标记，不是链上余额查询结果。要获得真实交易活动，必须先完成链上同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：`余额很小(≤阈值, 业务标注)=否`，表示该钱包未被业务方标记为“小额/可忽略”，但这不是链上余额证据。
- **明文密码**：`已知密码存在=否`，即当前**未拿到**明文密码、助记词或私钥。任何“已破解”的说法均不成立。
- **两者关系**：即使未来链上同步显示余额为0，也不代表密码已破解；反之，即使密码被验证，也不代表余额非零。请勿混淆。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 在页面点击“同步交易”，拉取该钱包地址的完整链上收发记录（这是当前最大缺口）。
2. 提供该 `wallet.dat` 对应的地址列表或公钥导出文件（如 `dump` 结果），以便关联链上数据。
3. 补充业务方录入时的来源说明（如“MEGA-BONUS”活动批次），帮助判断地址用途。
4. 提供该钱包的创建时间或首次使用时间（可从文件元数据或相邻文件推断）。
5. 检查同目录下是否存在其他 `.dat` 或备份文件（如 `wallet.dat~1` 的原始版本），可能包含更完整的密钥池。
6. 确认该钱包是否曾关联到已知交易所或服务商的充值地址（需业务方提供历史映射表）。
7. 若业务方有“最后转出时间”的人工记录，请提供该时间点，便于与链上同步结果交叉验证。
8. 补充该钱包的“已知密码尝试次数/来源”日志（如有），以便评估后续测试方向，但无需提供具体尝试内容。

### 7. 已尝试方向回顾（避免重复投入）
- **文件格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再对格式做重复猜测。
- **目录与命名分析**：已提取路径、文件名、哈希后缀，确认是业务归档命名，非链上证据。
- **密码状态检查**：已确认 `cracked_password` 字段为“否”，因此不需要再重复检查“是否已破解”这一状态。
- **链上同步**：尚未执行，这是下一步首要动作，此前未做过，不算重复投入。
- **未做事项**：未进行任何地址提取、交易广播或密钥导出，这些应在同步完成后按合规流程进行。