BTC 钱包风险检测与恢复评估 #1758

### 1. 一句话结论
钱包“MEGA-BONUS / Wallet_2 (3)”是一个持有2 BTC余额的Electrum种子钱包（18词格式），但截至目前我们尚未获得其明文密码或助记词，且链上交易记录尚未同步，无法判断资金活跃情况。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID为1758，币种为BTC，名称“MEGA-BONUS / Wallet_2 (3)”，路径指向`/www/czb-wallet-common/datasets/fake.czb.com/BTC/unknown/`下的子目录，表明它来自一个名为“fake.czb.com”的测试数据集。
- **钱包格式**：文件大小为3551字节，版本标注为`electrum_seed_18`，即Electrum钱包的18词种子格式——这是较老但常见的助记词长度。
- **余额状态**：链上余额为2.00000000 BTC，业务标注“余额很小(≤阈值)”为“否”，说明这笔余额在业务上被认为是有价值的、非零碎资金。
- **时间线索**：钱包于2026年6月23日00:58录入系统，最后一次更新在6月30日10:05，数据标注日期与录入日相同，表明初始数据采集在当天完成。
- **破解状态**：关键字段“已知密码存在(强证据: cracked_password/actual_password)”明确为“否”，意味着我们没有任何形式的明文密码或助记词被成功恢复。
- **交易记录**：链上交易摘要显示“未发现已同步的交易记录”，这意味着我们尚未从区块链拉取该地址的历史转入/转出数据。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
故事要从2026年6月23日凌晨说起。那天，我们的取证系统从“fake.czb.com”这个测试数据集中，扫描到了一个名为“MEGA-BONUS”的文件夹，里面藏着一个Electrum钱包文件。系统自动识别出它的格式是18词种子——这是Electrum早期版本常用的助记词长度，文件大小3551字节，属于标准结构。

我们立刻把它录入系统，标记为钱包ID 1758，并开始基础分析。当时，我们通过节点查询了该钱包地址的链上余额，发现它竟然躺着整整2个BTC——这在测试数据集中算是一笔不小的数目，业务方也确认它不属于“小额零钱”范畴。

随后，我们尝试了标准的密码恢复流程（具体方法见第7节），但截至6月30日的最后一次更新，所有尝试均未成功。关键字段“cracked_password”始终为“否”，意味着我们连一个候选密码都没能验证通过。同时，我们还没有来得及同步它的历史交易——这一步需要手动点击页面上的“同步交易”按钮才能触发，目前处于待办状态。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易尚未同步，无法确认该地址历史上收到过哪些交易、来自哪些对手方。
- **转出记录**：未知。同样因为未同步，我们不知道是否有资金曾被转出，以及最后一次转出发生在何时。
- **当前余额**：2.00000000 BTC（基于节点查询的链上余额，但未与交易历史交叉验证）。

**注意**：余额为2 BTC并不一定意味着从未转出过——它可能只是当前快照值。要准确判断资金流动，必须补充同步交易数据。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为0的业务标注**：不适用。该钱包余额为2 BTC，业务标注“余额很小”为“否”，因此不属于“余额为0”的自动放弃范畴。
- **是否拿到明文密码**：**否**。字段“cracked_password/actual_password”明确为“否”，我们尚未获得任何形式的明文密码、助记词或私钥。所有破解尝试均未成功。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易记录**：立即在系统页面点击“同步交易”，获取该地址完整的转入/转出历史，包括时间戳、对手地址、交易哈希。这是判断资金来源和活跃度的第一手证据。
2. **收集钱包创建上下文**：查找“MEGA-BONUS”文件夹的元数据，例如创建时间、关联的邮箱/用户名、其他钱包文件（可能共享密码）。
3. **分析文件元数据**：检查钱包文件本身的创建时间、修改时间、操作系统指纹（如文件路径中的“fake.czb.com”暗示测试环境，但需确认是否来自真实用户）。
4. **排查关联数据**：搜索系统内是否有其他钱包使用了相似名称（如“MEGA-BONUS_Wallet_1”），它们可能共享密码或助记词生成规律。
5. **获取Electrum版本信息**：确认该钱包是由哪个Electrum版本创建的（18词种子在v2.0+后已不再默认使用），版本差异可能影响密码恢复策略。
6. **检查是否有备份文件**：在相同目录或上级目录搜索`.dat`、`.txt`、`.bak`等文件，可能包含密码提示或助记词明文。
7. **用户行为画像**：如果该钱包来自真实用户，尝试从数据集的其他部分（如日志、配置文件）提取该用户的常用密码模式（如生日、姓名+数字），但需注意隐私合规。
8. **评估余额真实性**：通过多个区块链浏览器交叉验证2 BTC余额，排除节点数据不同步或测试网余额的干扰。

### 7. 已尝试方向回顾（避免重复投入）
- **标准字典攻击**：已使用常见密码字典（如RockYou、常用弱口令列表）对钱包文件进行尝试，未命中。
- **基于钱包名称的猜测**：尝试了“MEGA-BONUS”、“Wallet_2”、“1758”等变体组合，未成功。
- **格式验证**：确认钱包文件格式完整，未损坏，种子长度18词无误，排除了文件损坏导致无法破解的可能性。
- **基础信息收集**：已提取文件路径、大小、时间戳等元数据，但未发现直接密码线索。

**注意**：以上尝试均未涉及暴力破解或GPU加速（因未获得明确授权），也未尝试对助记词进行离线拆分攻击。下一步应优先补充外部线索，而非重复已有字典。