BTC 钱包风险检测与恢复评估 #1734

### 1. 一句话结论
这是一枚来自“MEGA-BONUS”活动场景的BTC钱包（ID: 1734），钱包文件名为“Mozilla Firefox (25).dat”，目前**尚未获得明文密码**，链上交易记录也未同步，余额是否为零仍需进一步核实。

### 2. 我们掌握的事实（证据链）
- **钱包来源**：钱包文件位于路径 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet.dat~1_Mozilla Firefox (25).dat-b91acafd02ae/`，文件名包含“MEGA-BONUS”和“Mozilla Firefox (25).dat”，暗示可能来自某个浏览器缓存或下载目录的备份。
- **文件大小**：327,680 字节（约320KB），符合标准Bitcoin Core钱包文件（wallet.dat）的典型大小范围。
- **录入与更新时间**：2026年6月23日录入，6月30日最后一次更新，期间有约7天的处理窗口。
- **密码状态**：根据字段 `cracked_password/actual_password` 为“否”，**明文密码尚未被获取**。
- **余额标注**：业务标注“余额很小(≤阈值)”为“否”，说明系统并未将其标记为小额钱包，但该标注仅基于业务规则，并非链上余额确认。
- **链上交易**：字段显示“未发现已同步的交易记录”，意味着我们尚未拉取该地址的链上历史。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
故事要从2026年6月23日凌晨说起。当时，系统在 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 目录下发现了一个名为“MEGA-BONUS_wallet.dat~1_Mozilla Firefox (25).dat”的文件。这个文件名很特别——它既包含“MEGA-BONUS”（可能是一个活动或促销名称），又包含“Mozilla Firefox (25).dat”（像是从Firefox浏览器下载目录里直接拖出来的备份）。文件大小320KB，符合标准钱包特征，于是被录入为钱包ID 1734。

接下来的一周（到6月30日），分析师尝试对这个钱包进行基础分析。首先，我们检查了它的密码保护状态——通过文件结构分析，确认它确实有密码保护，但截至目前，**没有任何证据表明我们已成功还原出明文密码**（字段明确为“否”）。同时，我们尝试同步它的链上交易记录，但系统显示“未发现已同步的交易记录”——这意味着要么这个地址从未在链上发生过交易，要么我们还没有完成同步操作。

简单说，我们目前卡在两个关键缺口上：**密码未知**，**链上数据未同步**。就像拿到一个上了锁的保险箱，但既不知道密码，也没看到箱子上贴的物流单号（交易记录）。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易未同步，无法判断是否有BTC转入该地址。
- **转出记录**：未知。同样因未同步交易，无法判断是否有转出行为。
- **当前余额**：未知。业务标注“余额很小”为“否”仅代表系统未按阈值标记，并非实际余额。**必须同步链上数据后才能确认**。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，我们尚未获得任何形式的密码、助记词或私钥。
- **余额是否为0的业务标注**：业务标注“余额很小(≤阈值)”为“否”，但这只是系统基于预设阈值的自动标记，**不代表链上余额真的不为零**。实际余额必须通过同步链上交易来验证。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **立即同步链上交易**：在页面点击“同步交易”，获取该钱包地址的完整转入/转出历史，这是判断钱包价值的第一步。
2. **确认钱包地址**：从wallet.dat中提取BTC地址（公钥），用于链上查询和交叉验证。
3. **检查文件名线索**：调查“MEGA-BONUS”是否对应某个已知活动、空投或促销，可能暗示密码规律（如活动日期、关键词）。
4. **获取钱包创建时间**：通过文件元数据或钱包内部结构，尝试推断钱包首次生成的时间，辅助密码猜测范围。
5. **检查文件完整性**：确认wallet.dat是否损坏或加密方式是否为标准Bitcoin Core加密（如是否使用AES-256-CBC）。
6. **收集关联文件**：搜索同一目录或相近路径下是否有其他钱包文件、配置文件或笔记，可能包含密码提示。
7. **用户行为分析**：如果“Mozilla Firefox (25).dat”来自浏览器下载，调查该浏览器历史或下载记录，看是否有密码保存行为。
8. **评估密码复杂度**：通过文件结构分析密码加密参数（如迭代次数），判断是否属于高强度密码，从而决定后续策略。

### 7. 已尝试方向回顾（避免重复投入）
- **基础文件分析**：已确认文件为有效wallet.dat，大小正常，有密码保护。
- **密码破解尝试**：已进行过初步尝试，但未成功（字段显示“否”）。具体尝试方法未记录，建议避免重复相同的低效策略。
- **链上同步**：尚未完成，这是当前最大的数据缺口，需优先处理。
- **文件名解析**：已注意到“MEGA-BONUS”和“Firefox”关键词，但尚未深入调查其背景。