BTC 钱包风险检测与恢复评估 #995

### 1. 一句话结论
钱包“MEGA-BONUS / default_wallet”（ID: 995）是一个BTC钱包，目前余额不为零但尚未同步链上交易记录，且我们尚未获得其明文密码或私钥，破解工作仍处于早期阶段。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID为995，币种为BTC，钱包名称是“MEGA-BONUS / default_wallet”。
- **文件位置**：钱包文件位于路径 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/unknown/MEGA-BONUS_default_wallet-606698d548da/default_wallet`，文件大小为35,826,676字节（约34MB），属于较大文件，可能包含较多交易历史或地址。
- **时间线**：钱包于2026年6月23日00:37录入系统，并在同一天00:57完成数据标注。最后一次更新是2026年6月29日04:30。
- **余额状态**：根据业务标注，该钱包余额“很小”但未达到“≤阈值”的零余额标准，因此余额不为零，但具体金额未知。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，意味着我们尚未通过任何方式验证或获取到明文密码。
- **交易记录**：链上交易摘要显示“未发现已同步的交易记录”，说明钱包的链上数据尚未拉取，无法判断转入/转出历史。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
故事要从2026年6月23日凌晨说起。那天，我们的系统在 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/unknown/` 目录下发现了一个名为“MEGA-BONUS_default_wallet”的钱包文件。这个文件体积不小，有34MB，暗示它可能不是个“空壳”钱包。系统随即将其录入，ID编号为995，并打上了“BTC”和“unknown”标签。

当天凌晨，数据标注员对钱包进行了初步检查，确认其余额不为零（业务标注为“余额很小”），但并未达到“零余额”的阈值。这意味着里面确实有资产，只是数量不大。然而，钱包的密码状态字段显示为“否”——我们还没有拿到任何密码或私钥。

时间来到6月29日，系统对钱包信息进行了更新，但链上交易记录仍然显示“未同步”。这意味着我们至今没有拉取过该钱包在比特币区块链上的任何交易明细，无法知道它何时收到过比特币，或者是否曾向外转账。整个推进过程，目前就卡在了“有文件、有余额、没密码、没链上数据”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要显示“未发现已同步的交易记录”，因此无法确认该钱包历史上是否收到过比特币。
- **转出记录**：未知。同样因为交易记录未同步，无法判断是否有过转出行为。
- **当前余额**：业务标注为“余额很小”且不为零，但具体金额和来源均未可知。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额状态**：业务标注明确该钱包“余额很小”，且未达到“≤阈值”的零余额标准，因此余额不为零。但具体数值需要后续同步链上数据才能确认。
- **密码获取状态**：字段 `cracked_password/actual_password` 为“否”，意味着我们**尚未获得任何明文密码、助记词或私钥**。所有破解尝试均未成功，目前仍处于“未破解”状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易记录**：立即在页面点击“同步交易”，获取该钱包地址的完整转入/转出历史，这是判断资产来源和最后活动时间的核心依据。
2. **提取钱包地址**：从钱包文件中解析出所有关联的BTC地址（包括找零地址），以便在区块链浏览器上交叉查询。
3. **检查钱包文件格式**：确认该文件是加密的HD钱包（如BIP38）还是未加密的明文文件，这直接影响破解策略。
4. **获取钱包创建时间**：通过文件元数据或链上首笔交易时间，推断钱包的“年龄”，有助于缩小密码猜测范围。
5. **收集用户关联信息**：查找“MEGA-BONUS”这个名称是否出现在其他系统日志、邮件或历史记录中，可能包含密码提示。
6. **分析文件大小异常**：34MB的文件可能包含大量历史地址或交易，优先检查是否包含未花费的输出（UTXO）。
7. **尝试弱密码字典**：基于钱包名称“MEGA-BONUS”和常见模式（如年份、生日），构建针对性字典进行测试（注意：仅限内部合规测试，不泄露具体规则）。
8. **检查是否有备份文件**：在相同目录或邻近路径搜索 `.dat`、`.bak`、`.txt` 等后缀文件，可能包含未加密的私钥或密码。

### 7. 已尝试方向回顾（避免重复投入）
根据现有数据，系统尚未记录任何具体的破解尝试方向。所有工作目前仅停留在“录入、标注、更新”阶段，未进行过密码猜测、字典攻击或链上数据拉取。因此，下一步可以毫无顾虑地从最基础的“同步交易”和“文件格式分析”开始，无需担心重复投入。