BTC 钱包风险检测与恢复评估 #1135

### 1. 一句话结论
该BTC钱包（ID: 1135）当前链上余额为 **0.00027387 BTC**，业务系统标注“余额很小”，但**尚未获得任何明文密码或助记词**，且链上交易记录未同步，无法确认转入/转出历史。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1135，主地址 `13HJqF327yoC9oiTC17RgnGEpU1HujCr2b`，币种 BTC。
- **版本格式**：`bitcoin_legacy_bdb`（旧版Bitcoin Core钱包格式），文件名为 `wallet_45,67BTC_wallet_45,67.dat`，大小 81920 字节。
- **余额状态**：当前余额 0.00027387 BTC，业务标注“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即没有强证据表明已获得明文密码。
- **交易同步**：链上交易摘要显示“未发现已同步的交易记录”，即转入/转出方向均无统计字段支撑。
- **时间线**：录入 2026-06-23 00:40:25，数据标注 2026-06-23 00:57:30，最后更新 2026-08-06 10:03:00。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统录入了一个名为“wallet_45,67BTC”的旧版Bitcoin Core钱包文件，路径指向一个名为“MEGA-BONUS_BITCOIN CORE WALLETS”的批量审查数据集。文件大小仅80KB，属于典型的轻量级钱包数据库。

我们首先确认了钱包格式为 `bitcoin_legacy_bdb`，这意味着它使用的是早期Bitcoin Core的 Berkeley DB 存储结构。随后我们核对了主地址与余额，发现当前余额仅为 0.00027387 BTC，远低于常见“大额遗留钱包”的阈值，因此业务侧自动打上了“余额很小”的标注。

在尝试读取钱包内部结构时，我们注意到密码验证字段始终未返回正向结果——即没有任何证据表明已还原出明文密码。同时，由于页面上的“同步交易”功能尚未被触发，链上转入/转出记录为空，我们无法判断这笔余额是历史遗留的“零头”还是某次转账后的剩余。

截至8月6日最后一次更新，该钱包仍停留在“已录入、未破解、未同步交易”的状态。整个过程没有发生任何“成功解锁”或“资金流动”的事件。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 统计）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 统计）。
- **当前余额**：0.00027387 BTC（仅代表钱包文件内记录的余额，不代表链上最新状态）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：“余额很小（≤阈值）”是系统基于当前余额 0.00027387 BTC 自动做出的判断，与密码破解无关。
- **明文密码状态**：**尚未获得**。字段 `cracked_password/actual_password = 否`，即没有强证据支持“已拿到密码”或“验证成功”。任何关于“已破解”的说法均无事实依据。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，确认最后活跃时间与资金流向。
2. **核对钱包文件名含义**：文件名中的“45,67BTC”是否代表历史最高余额？若是，需查找对应时期的交易记录。
3. **检查同批次数据集**：路径中“MEGA-BONUS_BITCOIN CORE WALLETS - 250”暗示同批有250个钱包，对比同批次其他钱包是否已成功解锁，可判断该文件是否属于“低价值样本”。
4. **验证文件完整性**：确认 `wallet_45,67.dat` 是否被截断或损坏（80KB对旧版钱包偏小），必要时对比同版本正常文件大小。
5. **查找地址关联备注**：在业务系统或原始数据源中搜索主地址 `13HJqF327yoC9oiTC17RgnGEpU1HujCr2b`，看是否有历史工单或备注信息。
6. **确认钱包密码策略**：若该批次来自某个已知活动（如“MEGA-BONUS”），可查找活动规则中是否提及密码生成方式（仅作线索，不涉及攻击细节）。
7. **补充录入人/来源信息**：获取该钱包是由哪个渠道、哪个时间点被纳入审查的，有助于判断其证据价值。
8. **评估是否降级处理**：若余额长期不变且无交易同步，可考虑将其标记为“低优先级”，将资源转向其他高价值钱包。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需重复检测文件类型。
- **密码验证**：已尝试过一轮密码校验，结果为“未通过/无已知密码”，不应在无新线索时盲目重复相同测试。
- **余额判断**：已确认当前余额极低，业务侧已打标，无需再次人工核对余额字段。
- **交易同步**：尚未执行，这是下一步的首要动作，而非重复劳动。
- **文件解析**：已读取文件大小与基本元数据，但未深入解析内部记录（如密钥池状态），若需深入需先同步交易以确认钱包是否“活跃”。