BTC 钱包风险检测与恢复评估 #1144

### 1. 一句话结论
该BTC钱包（ID 1144）当前链上余额为4.02219444 BTC，但**尚未获得明文密码**，且链上交易记录未同步，因此无法确认任何转入/转出活动；目前处于“有余额、无密码、无交易流水”的待取证状态。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1144，主地址 `13Wf7QCGz3xYmGhCZ3g16Ds9KVztUDRJvk`，币种BTC。
- **余额状态**：当前显示余额 4.02219444 BTC；业务标注“余额很小(≤阈值)”为**否**，即余额不算小。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即**没有**强证据表明已拿到明文密码。
- **文件信息**：格式 `bitcoin_legacy_bdb`，文件名 `wallet_4,022BTC / wallet_4,022.dat`，大小 98304 字节，路径指向 `fake.czb.com/BTC/review/MEGA-BONUS_BITCOIN CORE WALLETS - 250_...` 目录。
- **录入与更新**：录入时间 2026-06-23 00:40:29，数据标注日期 2026-06-23 00:57:30，最近更新 2026-08-06 10:14:00。
- **链上交易**：摘要明确写“未发现已同步的交易记录”，且提示需手动点击“同步交易”才能获取更精确的转出时间。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统录入了一个名为 `wallet_4,022.dat` 的Bitcoin Core旧版钱包文件，大小约96KB，属于“MEGA-BONUS”批量钱包集中的一个。当时余额快照显示有4.02219444 BTC，因此业务侧没有将其标记为“小额/低价值”钱包。

随后我们对该文件进行了格式识别，确认是 `bitcoin_legacy_bdb`（旧版Berkeley DB钱包）。在尝试读取与验证密钥的过程中，系统记录显示**尚未出现任何“已知密码存在”的强证据**——也就是说，我们目前并没有拿到可用的明文密码或助记词。

8月6日，系统对该钱包做了一次状态更新，但链上交易摘要依然为空，提示“未发现已同步的交易记录”。这意味着我们目前只能看到钱包文件内部的静态余额快照，无法还原它历史上到底发生过哪些转入/转出，也无法判断最后活动时间。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易未同步，无任何 `direction=receive` 的统计字段可引用。
- **转出记录**：未知。链上交易未同步，无任何 `direction=send` 的统计字段可引用。
- **补充说明**：当前4.02219444 BTC仅为钱包文件内的余额快照，不等同于链上实时验证结果；如需判断“最后转出时间”或历史流向，必须先完成交易同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为**否**，即业务侧认为4.022 BTC不属于“小额忽略”范畴，值得继续跟进。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，因此我们**没有**任何明文密码、助记词或私钥可用于签名或转移资产。
- **重要提醒**：余额不为0 ≠ 密码已破解。当前状态是“有钱包文件+有余额快照”，但**没有可用的解锁凭证**。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的历史转入/转出记录，确认余额是否真实可用。
2. **补充钱包来源背景**：该文件来自 `MEGA-BONUS_BITCOIN CORE WALLETS - 250` 批量目录，需查清该批次的来源说明（是用户提交、扣押物还是测试数据）。
3. **核对文件完整性**：确认98304字节的文件未被截断或损坏，必要时做哈希校验并与同批次其他钱包对比。
4. **检查同批次钱包**：查看同目录下其他 `wallet_*.dat` 是否已有成功解锁案例，若有可参考其密码规律（仅作内部比对，不涉及攻击细节）。
5. **查找钱包创建时间线索**：在BDB文件内部元数据中寻找创建时间或最后修改时间，辅助判断使用习惯。
6. **确认地址归属**：通过区块链浏览器查询 `13Wf7QCGz3xYmGhCZ3g16Ds9KVztUDRJvk` 的首次出现时间与历史交易对手方。
7. **补充“已知密码”测试记录**：若内部有尝试过的密码候选清单，请导出测试日志，便于判断是否已覆盖常见组合。
8. **确认业务优先级**：鉴于余额4.022 BTC不算小，建议业务方明确该钱包的处置目标（找回、冻结还是仅取证）。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再对文件类型做重复猜测。
- **密码强证据检查**：已核查 `cracked_password/actual_password` 字段，结果为否，说明目前没有可用的明文密码，不必再重复检索“是否已破解”这一结论。
- **余额业务标注**：已确认“余额很小”为否，即该钱包不属于低价值忽略项，后续不必再纠结是否值得投入。
- **链上同步**：当前尚未执行同步，因此“无交易记录”是**未同步**造成的，不是链上真的没有交易——请勿据此误判为“冷钱包/无历史活动”。