BTC 钱包风险检测与恢复评估 #1088

### 1. 一句话结论
这是一枚余额为 **1.83913928 BTC** 的比特币 Legacy 格式钱包（ID 1088），目前**尚未获得明文密码**，且链上交易记录**尚未同步**，因此无法确认任何转入/转出活动或最后动账时间。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1088，主地址 `12Fi3m193ABwbCYNpUrpPfM3xQuQ71KPQU`，币种 BTC。
- **资产规模**：当前余额 **1.83913928 BTC**，业务标注“余额很小（≤阈值）”为**否**，说明该余额在业务口径下**不属于小额钱包**。
- **格式与来源**：版本为 `bitcoin_legacy_bdb`（Bitcoin Core 旧版 Berkeley DB 格式），文件名 `MEGA-BONUS / wallet_1,8391.dat`，路径指向 `fake.czb.com` 数据集下的 `real` 目录，文件大小 90,112 字节。
- **时间线**：录入时间 2026-06-23 00:39:20，数据标注日期 2026-06-23 00:57:27，最近更新 2026-08-06 09:23:59。
- **密码状态**：字段 `cracked_password / actual_password` 明确为**否**，即不存在“已知明文密码”的强证据。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”，意味着当前证据链中**缺少链上收发记录**。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统收录了这枚名为“MEGA-BONUS”的 Legacy 钱包文件。从文件路径看，它来自一组名为 `fake.czb.com` 的模拟业务数据集中的 `real` 目录，这通常意味着该文件被认定为“真实格式样本”而非纯测试数据。文件大小约 88 KB，符合 Bitcoin Core 旧版钱包（BDB 格式）的典型体积范围。

我们首先核对了钱包主地址与余额字段，确认链上资产为 1.83913928 BTC。随后检查了密码状态字段——结论是“否”，即我们手里并没有任何已确认的明文密码或助记词。在尝试推进时，我们注意到交易摘要为空，说明该钱包的链上收发记录尚未拉取同步，因此无法判断这些 BTC 是何时、以何种方式进入的，也无法判断是否存在历史转出行为。

目前，我们停留在“有币、有文件、无密码、无链上记录”的阶段。后续所有推断都必须依赖补充同步交易数据或获取更多钱包元数据，否则无法进一步定性。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。当前未同步任何链上交易，无法确认该地址历史上是否收到过转入。
- **转出记录**：未知。同样因未同步交易，无法确认是否存在转出行为或最后转出时间。
- **净流向判断**：不适用。在缺少 `direction=receive/send` 统计字段的情况下，不做任何方向性臆断。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：该钱包余额为 **1.83913928 BTC**，且业务标注“余额很小”为**否**。这说明在业务规则里，它**不属于“余额为 0 / 可忽略”** 的范畴，仍具有较高优先级。
- **明文密码状态**：**尚未获得明文密码**。字段 `cracked_password / actual_password` 为“否”，因此任何关于“已破解/已验证密码”的说法均不成立。当前仍处于“有加密文件但无凭据”的状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易记录**：在页面点击“同步交易”，获取该地址完整收发历史，确认最后动账时间与资金流向。
2. **补充钱包创建时间或首次使用时间**：若 BDB 文件内嵌有 `mtime` 或相关日志，可帮助判断钱包生成背景。
3. **查找同目录相邻文件**：检查 `MEGA-BONUS` 同路径下是否有其他 `.dat` 备份或说明文档（如 `readme.txt`）。
4. **核对文件名中的“1,8391”含义**：该数字疑似与余额相关，需确认是否为人为命名规则（如余额快照）而非随机字符。
5. **调取该地址在区块链浏览器的公开标签**：若地址曾被标记（交易所、混币器、已知服务商），可辅助判断资金来源。
6. **检索业务库中该钱包 ID 1088 的关联备注**：查看是否有历史工单、导入批次或责任人记录。
7. **确认文件哈希与来源批次**：比对录入时的 SHA256 哈希，确认文件是否被篡改或属于批量导入样本。
8. **补充“密码提示”或“密码类型”元数据**：若录入时曾记录密码规则（如纯数字/长度范围），可缩小验证范围（仅作范围判断，不涉及具体破解步骤）。

### 7. 已尝试方向回顾（避免重复投入）
- **密码状态核验**：已确认不存在“已知密码”字段，因此无需再重复检查 `cracked_password` 是否为真。
- **基础信息解析**：已提取地址、余额、格式、路径、时间戳等元数据，无需重复读取文件头信息。
- **余额业务标注判断**：已确认该钱包不属于“余额为 0”的低价值类别，后续不必再纠结是否因余额过小而跳过。
- **链上同步动作**：尚未执行，这是当前最大缺口，也是下一步首要动作，请勿在未同步前重复猜测交易方向。