BTC 钱包风险检测与恢复评估 #979

### 1. 一句话结论
这是一个名为“MEGA-BONUS / 20_btc_wallet (2)”的BTC钱包，目前余额不为零（业务标注未标记为“余额很小”），但**尚未获得明文密码**，且链上交易记录尚未同步，无法判断其历史活动。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID为979，币种为BTC，钱包名称暗示其可能关联“MEGA-BONUS”活动或曾持有20 BTC。
- **文件信息**：钱包文件位于路径 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/unknown/MEGA-BONUS_20_btc_wallet (2)-4b9dfc2161df/20_btc_wallet (2)`，文件大小仅476字节，属于小型钱包文件（可能仅包含私钥或少量元数据）。
- **时间线**：录入时间为2026-06-23 00:37:21，数据标注时间为同一天00:57:21，更新时间在6天后（2026-06-29 03:50:09），说明在此期间进行过处理或分析。
- **余额状态**：业务标注显示“余额很小(≤阈值)”为**否**，意味着钱包余额**大于**业务设定的阈值（即不是“几乎空”的状态）。
- **密码状态**：关键字段 `cracked_password/actual_password` 为**否**，表明**尚未通过任何手段获得明文密码或助记词**。
- **交易记录**：链上交易摘要明确标注“未发现已同步的交易记录”，意味着我们目前没有该钱包任何转入或转出的数据。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
故事始于2026年6月23日凌晨，一个名为“MEGA-BONUS / 20_btc_wallet (2)”的BTC钱包被录入系统。从文件名推测，它可能来自某个“MEGA-BONUS”活动，且曾与20 BTC有关联。钱包文件很小（476字节），说明它可能是一个精简的密钥文件。

录入后半小时内，系统完成了数据标注，确认了钱包的基本属性。随后，分析团队开始尝试获取访问权限。由于钱包余额不为零（业务标注未标记为“余额很小”），这引起了我们的重视——里面可能还有资金。

然而，在接下来的几天里（直到6月29日更新），我们遇到了两个关键障碍：第一，**密码破解工作没有成功**，我们未能获得明文密码；第二，**链上交易记录尚未同步**，我们无法通过区块链数据了解这个钱包的历史活动——它是否曾转出过大量BTC？是否还有未花费的输出？这些信息目前都是盲区。

目前，这个钱包仍处于“待突破”状态，我们掌握的信息仅限于文件本身和系统标注，缺乏链上数据的支撑。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：**未知**。链上交易摘要显示“未发现已同步的交易记录”，因此无法判断该钱包历史上是否接收过BTC。
- **转出记录**：**未知**。同样，由于没有同步交易，无法判断是否有过转出操作。
- **当前余额**：业务标注显示余额**不为零**（未标记为“余额很小”），但具体数额未知，需同步交易后才能确认。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额状态**：业务标注“余额很小(≤阈值)”为**否**，说明钱包余额**大于**业务设定的阈值（例如大于0.001 BTC等），并非“余额几乎为0”的空钱包。
- **密码获取状态**：**尚未获得明文密码**。字段 `cracked_password/actual_password` 明确为“否”，意味着所有尝试（包括字典、规则、碰撞等）均未成功还原密码或助记词。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **立即同步链上交易记录**：这是最高优先级。通过同步，可以获取该钱包的完整交易历史，包括转入时间、金额、转出时间、目标地址等，从而判断资金流向和当前余额。
2. **获取钱包文件的完整内容**：476字节的文件可能包含加密私钥或助记词，需确认文件格式（如是否BIP38加密、是否包含salt等）。
3. **查找钱包来源上下文**：文件名中的“MEGA-BONUS”和“20_btc_wallet”可能是线索，需调查该名称是否关联某个已知的加密货币活动、空投或论坛帖子。
4. **检查是否有多签或脚本限制**：小文件可能对应简单私钥，但也可能是多签脚本的一部分，需验证。
5. **收集用户行为数据**：如果该钱包来自某个用户，需补充用户注册邮箱、IP、设备指纹等信息，用于关联分析。
6. **尝试离线分析文件元数据**：检查文件创建时间、修改时间、操作系统特征等，可能缩小密码生成范围。
7. **补充钱包地址**：从文件中提取BTC地址（如果可能），用于链上查询和监控。
8. **标记为“需人工介入”**：如果自动化破解已穷尽，可考虑人工分析文件名、路径等上下文线索。

### 7. 已尝试方向回顾（避免重复投入）
- **密码破解尝试**：已进行过密码破解工作（具体方法未记录），但未成功，字段显示 `cracked_password` 为“否”。**无需重复相同的破解流程**，除非获得新线索（如密码提示、用户习惯数据）。
- **基础数据录入**：已完成钱包文件录入、标注和初步分析。**无需重复录入**。
- **交易同步尝试**：截至更新时（2026-06-29），链上交易仍未同步，说明之前的同步请求可能未执行或失败。**需重新发起同步**，而非重复分析已有数据。