BTC 钱包风险检测与恢复评估 #1120

### 1. 一句话结论
钱包 1120（BTC，bitcoin_legacy_bdb，文件 wallet_250.dat）目前显示余额 250.00023210 BTC，但尚未获得明文密码，且链上交易记录未同步，转入/转出方向未知；现有证据只能确认“钱包文件已录入并更新”，不能确认“密码已破解”或“资金已发生转移”。

### 2. 我们掌握的事实（证据链）
- 钱包 ID：1120；币种：BTC；钱包版本/格式：bitcoin_legacy_bdb。
- 钱包名称：MEGA-BONUS / wallet_250.dat；文件大小：200704 字节。
- 主地址：14Y7k6Aoh3DWVCbjCoZj1oyZxRbGwFtwLf。
- 余额：250.00023210 BTC；业务标注“余额很小（≤阈值）”：否。
- 已知密码存在（cracked_password/actual_password）：否。
- 录入时间：2026-06-23 00:39:59；更新时间：2026-09-13 22:40:51；数据标注日期：2026-06-23 00:57:29。
- 钱包路径：/www/czb-wallet-common/datasets/fake.czb.com/BTC/unknown/MEGA-BONUS_wallet_250.dat-c6360d198fc2/wallet_250.dat。
- 链上交易摘要：未发现已同步的交易记录；如需更精确的“最后转出时间”，需先点击同步交易。
- 以上字段中没有任何明文密码、助记词或私钥信息；即使出现也应视为[已脱敏]，不纳入结论。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026-06-23 00:39:59 被录入系统，当时的数据标注时间是 00:57:29，说明录入后很快做过一次标注。钱包名称里带有“MEGA-BONUS”和“wallet_250.dat”，文件大小 200704 字节，格式是 bitcoin_legacy_bdb，主地址为 14Y7k6Aoh3DWVCbjCoZj1oyZxRbGwFtwLf。到 2026-09-13 22:40:51，记录被更新过一次，但“已知密码存在”字段仍然是“否”。换句话说，我们手里有钱包文件的基本画像、余额和地址，但没有拿到明文密码，也没有同步到链上交易。整个过程更像是在做资产盘点与取证登记，而不是已经完成了解锁或转移。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- 转入：未知。当前链上交易摘要为“未发现已同步的交易记录”，没有 direction=receive 的统计字段可供引用。
- 转出：未知。同样没有 direction=send 的统计字段，不能推断“最后转出时间”或任何转出行为。
- 结论：在未点击同步交易、未获得链上数据前，不能判断该地址发生过转入还是转出，也不能判断余额 250.00023210 BTC 是历史沉淀还是近期变动结果。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- 余额为 0 的业务标注：本钱包“余额很小（≤阈值）”为“否”，且余额显示 250.00023210 BTC，因此不属于“余额为 0”或“小额忽略”的业务标注情形。
- 是否拿到明文密码：没有。强证据字段 cracked_password/actual_password 为“否”，所以只能写“尚未获得明文密码/仍在测试”，不能写“已破解”或“验证成功”。
- 需要强调：余额存在不等于密码已破解；钱包文件存在也不等于私钥已导出。当前状态是“有钱包文件、有余额记录、无明文密码、无同步交易”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 先点击“同步交易”，获取链上转入/转出记录，明确 direction=receive/send 的统计。
2. 补充该主地址的链上历史，确认 250.00023210 BTC 的来源与最后活动时间。
3. 核对钱包文件哈希或路径标识 c6360d198fc2，确认文件未被替换或重复录入。
4. 补充钱包版本 bitcoin_legacy_bdb 的兼容性说明，确认当前解析环境是否匹配。
5. 记录 2026-06-23 至 2026-09-13 之间的更新日志，查清“更新时间”变更原因。
6. 若业务允许，补充该钱包的归属标签、来源渠道和关联案件编号。
7. 检查是否存在同源钱包或同批数据集，避免重复投入同一文件。
8. 在合规前提下，补充密码测试状态字段（如已尝试轮次、是否命中），但不要记录任何明文密码。

### 7. 已尝试方向回顾（避免重复投入）
- 已确认钱包文件已录入，格式为 bitcoin_legacy_bdb，文件大小 200704 字节。
- 已确认主地址和余额记录，但未同步链上交易。
- 已确认“已知密码存在”为“否”，说明当前没有拿到明文密码。
- 已确认业务标注“余额很小”为“否”，不应按零余额钱包处理。
- 后续应避免在没有新证据的情况下反复猜测密码或重复解析同一文件；优先补链上交易与文件来源线索。