BTC 钱包风险检测与恢复评估 #1073

### 1. 一句话结论

钱包 `12QqLWVSiLb79tZ1sHMx47gx6d7T1yfKBs`（BTC，余额 57.62250900）目前**尚未获得明文密码**，链上交易记录未同步，无法确认任何转入/转出活动；该钱包余额不为零，但业务上未标记为“小额忽略”对象。

### 2. 我们掌握的事实（证据链）

- **钱包身份**：钱包 ID 1073，名称 `MEGA-BONUS`，文件 `wallet_59,72.dat`，格式为 `bitcoin_legacy_bdb`（老式 Bitcoin Core 数据库格式）。
- **路径与大小**：位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet_59,72.dat-5c0b4f54c329/`，文件大小 196,608 字节（约 192 KB）。
- **余额**：BTC 余额 57.62250900，业务标注“余额很小(≤阈值)”为**否**，即该余额未被系统视为可忽略的小额。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即目前没有强证据表明已拿到明文密码。
- **录入与更新时间**：录入于 2026-06-23 00:39:10，最近更新于 2026-08-06 09:02:30，数据标注日期为 2026-06-23 00:57:27。
- **链上交易**：系统显示“未发现已同步的交易记录”，意味着我们目前**没有**任何经过同步的转入/转出明细。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

6 月 23 日凌晨，系统首次录入了这个名为 `MEGA-BONUS` 的钱包文件。从文件格式 `bitcoin_legacy_bdb` 和大小来看，它属于 Bitcoin Core 老版本钱包，内部结构是 Berkeley DB 数据库。我们首先确认了主地址和余额——57.62 个 BTC，这个数字并不小，因此被列入重点排查对象。

随后，我们尝试对钱包文件进行基础解析，确认其内部结构完整、没有明显损坏。在密码验证环节，我们检查了是否有已知密码或已破解标记，但字段明确显示为“否”——也就是说，到目前为止，我们**没有**任何证据表明已经拿到或验证过明文密码。

7 月到 8 月期间，钱包记录被更新过一次（8 月 6 日），但更新内容并未改变密码状态。同时，我们尝试调取链上交易记录，但系统显示“未同步”，这意味着我们无法从链上确认这个地址最近是否发生过转出或转入。整个推进过程目前停留在“文件已解析、密码未突破、链上未同步”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入记录**：未知。系统未同步任何交易记录，无法确认该地址历史上是否收到过 BTC。
- **转出记录**：未知。同样因为未同步，无法确认是否存在转出行为，也无法判断“最后转出时间”。
- **补充说明**：当前余额 57.62250900 是钱包文件内记录的数值，但该数值未经链上同步校验，可能与实际链上余额存在差异。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注**：该钱包余额为 57.62250900，业务标注“余额很小(≤阈值)”为**否**。这意味着系统认为这笔余额**值得继续投入分析**，不属于可忽略的小额钱包。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**。因此，我们**尚未获得明文密码**，也没有任何验证成功的记录。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **优先同步链上交易记录**：在页面点击“同步交易”，获取该地址完整的转入/转出历史，确认余额是否与链上一致。
2. **补充钱包来源信息**：`MEGA-BONUS` 名称与路径中的 `fake.czb.com` 暗示其可能来自某个测试或备份环境，请提供该钱包文件的来源说明或关联案件编号。
3. **查找同批次钱包文件**：路径中 `wallet_59,72.dat` 暗示可能存在 `wallet_59`、`wallet_72` 等相邻文件，建议一并提取比对。
4. **检查钱包文件元数据**：确认文件创建时间、最后修改时间是否与录入时间（2026-06-23）吻合，以判断是否为原始文件。
5. **提供密码线索字典**：若业务方掌握该钱包可能使用的密码规则（如历史密码片段、命名习惯），可单独提交，但需遵守脱敏规范。
6. **确认是否有多签或嵌套地址**：该主地址为 Legacy 格式（1 开头），请确认是否存在找零地址或关联地址未纳入统计。
7. **调取 2026-06-23 前后的操作日志**：查看录入前后是否有其他系统对该文件进行过读取或修改。
8. **补充“余额很小”阈值的业务定义**：明确该标注的具体数值标准，以便判断 57.62 BTC 在业务中的优先级。

### 7. 已尝试方向回顾（避免重复投入）

- **文件格式解析**：已确认是 `bitcoin_legacy_bdb`，结构完整，无需重复检测文件完整性。
- **已知密码检查**：已核对 `cracked_password/actual_password` 字段，结果为否，无需再次查询该字段。
- **链上同步尝试**：系统当前显示未同步，若再次操作请先确认网络或节点状态，避免重复无效同步。
- **余额业务标注核对**：已确认该钱包不属于“余额很小”类别，后续无需再讨论是否忽略此钱包。