BTC 钱包风险检测与恢复评估 #1240

### 1. 一句话结论
该钱包（ID 1240）目前链上交易记录尚未同步，余额显示为 7 BTC，但**尚未获得明文密码**，且“余额很小”的业务标注为“否”，说明当前结论既不支持“已破解”，也不支持“余额可忽略”的定性。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID 1240，币种 BTC，主地址 `13CYuup8T3xmxu2mCw1626PwMmNJ7aaeGA`。
- **余额字段**：显示 7.00000000 BTC；业务标注“余额很小(≤阈值)”为 **否**。
- **密码状态**：`cracked_password/actual_password` 字段为 **否**，即**没有强证据表明已拿到明文密码**。
- **文件信息**：钱包名 `wallet_7BTC / wallet_7.dat`，格式 `bitcoin_legacy_bdb`，大小 417,792 字节。
- **路径线索**：位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_7BTC_.../wallet_7.dat`，目录名含“MEGA-BONUS”与“250_wallet”字样，疑似批量审查样本之一。
- **录入与更新时间**：录入 2026-06-23 00:41:37，数据标注 2026-06-23 00:57:33，最近更新 2026-08-06 11:53:13。
- **链上交易**：**未发现已同步的交易记录**（页面未点击“同步交易”）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一批名为“MEGA-BONUS”的比特币核心钱包文件，本钱包是其中编号为 250 的样本之一。当时我们记录到余额为 7 BTC，并同步生成了文件指纹与路径索引。

随后在 8 月 6 日，我们对该钱包做了一次状态复核，发现两个关键点：一是**密码验证字段仍为“否”**，说明此前尝试的候选材料均未命中；二是**链上交易从未同步过**，意味着我们目前看到的“7 BTC”只是钱包文件内部记录的余额，并非链上确认后的最新值。

换句话说，我们目前只完成了“文件级”的静态取证（格式、大小、路径、余额快照），尚未进入“链上动态验证”阶段，也没有拿到任何可用的明文凭据。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活动时间**：无法确认（页面提示需先点击“同步交易”）。
- **说明**：当前 7 BTC 余额来自钱包文件内部字段，**不能**等同于链上真实可动余额，也不代表近期有转入行为。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即系统不认为 7 BTC 属于可忽略的小额钱包，因此**不能**以“余额小”为由关闭此案。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段明确为“否”，我们**尚未获得**任何明文密码、助记词或私钥。所有涉及凭据的内容一律按 [已脱敏] 处理。
- **两者关系**：即使未来余额被链上同步为 0，也不代表密码已破解；反之，即使密码测试有进展，也必须以该字段更新为“是”才能确认成功。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址真实的转入/转出历史与最后活动时间。
2. **核对目录批量信息**：确认同批次“250_wallet”中其他钱包是否已有成功案例，可提供格式与命名规律参考。
3. **检查文件头与时间戳**：提取 `wallet_7.dat` 的创建/修改时间，判断是否为特定软件版本生成。
4. **调取录入时的来源备注**：查找 2026-06-23 录入批次的上传者或来源描述（如“MEGA-BONUS”活动背景）。
5. **比对地址公开标签**：在合规浏览器中查询 `13CYu...` 是否有公开交易备注或关联标签（仅作情报参考，不构成证据）。
6. **补充候选材料**：若业务方持有该钱包来源方的历史密码习惯材料，可整理为候选列表（仅限内部合规测试）。
7. **确认钱包是否加密**：通过文件结构判断是否启用了 BDB 加密层（不涉及具体破解步骤）。
8. **复核“余额很小”阈值定义**：确认业务方对“≤阈值”的具体数值，避免误判关闭条件。

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件检查**：已确认格式为 `bitcoin_legacy_bdb`，大小与路径已记录，无需重复提取基础信息。
- **密码验证尝试**：根据字段状态，当前候选集未命中，**不建议**在无新线索时重复相同范围的测试。
- **余额判定**：已确认业务标注“余额很小=否”，无需再次争论是否可关闭。
- **尚未开展**：链上同步、来源背景调查、同批次横向对比——这些是下一步的空白区，值得优先投入。