BTC 钱包风险检测与恢复评估 #1000

### 1. 一句话结论
这是一枚**BTC 老式（legacy/BDB）钱包**，当前链上余额仅 **0.00002893 BTC**，业务侧已将其标记为“小额钱包”；**目前没有任何强证据表明已获得明文密码或助记词**，钱包仍处于“未解锁/待验证”状态，且链上交易记录尚未同步，无法给出任何转入/转出结论。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID `1000`，主地址 `14tZU9KyHXwkGXkVUKehkMfaEZ8ad7jwNc9`，币种 BTC。
- **文件格式**：`bitcoin_legacy_bdb`，即 Bitcoin Core 老式 Berkeley DB 钱包格式；文件大小 **57,344 字节**。
- **命名特征**：钱包文件名为 `MEGA-BONUS_14tZU9...dat`，名称中混有非英文字符（业务侧已脱敏显示为“символованглтолькобуквыверхниз”），路径位于 `fake.czb.com/BTC/real/` 目录下。
- **余额状态**：链上余额 `0.00002893 BTC`，业务标注“余额很小（≤阈值）= 是”。
- **密码状态**：关键字段 `cracked_password/actual_password = 否`，即**不存在“已知密码”的强证据**。
- **交易同步状态**：字段明确显示“未发现已同步的交易记录”，且提示需先在页面点击“同步交易”才能获得更精确的转出/转入时间。
- **时间线**：录入时间 `2026-06-23 00:38`，数据标注时间 `2026-06-23 00:57`，最近更新时间 `2026-08-06 18:13`。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 **2026 年 6 月 23 日凌晨**被录入系统，当时我们拿到的是一个约 56 KB 的 `.dat` 文件，属于典型的 Bitcoin Core 老式钱包。从命名看，它被归类为“MEGA-BONUS”系列，且路径位于 `real` 目录下，说明它被当作真实（非测试）钱包纳入分析范围。

录入后约 20 分钟，系统完成了对该钱包的初步标注，确认其链上余额极低（不足 3 万聪），并打上了“小额钱包”的业务标记。此后一个多月里，我们围绕该文件做了格式识别与结构检查，确认它是 `legacy_bdb` 类型——这类钱包的密钥派生方式较老，结构上与新版（Descriptor/SQLite）钱包差异明显。

关键转折点在于：**所有尝试都没有产生“已知密码”这一强证据**。截至 2026 年 8 月 6 日最近一次更新，系统仍记录 `cracked_password = 否`。同时，由于一直没有触发“同步交易”动作，链上收发记录仍为空，我们无法还原这个地址在过去到底经历过什么。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。当前系统内**未同步到任何交易记录**，无法确认该地址历史上是否收到过资金。
- **转出记录**：未知。同样因未同步交易，**无法确认最后转出时间或转出方向**。
- **当前余额**：仅 `0.00002893 BTC`，但该余额是“当前链上查询值”还是“录入时快照值”，需以同步后的数据为准。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：这是基于当前余额 `0.00002893 BTC` 触发的**业务规则判断**（≤阈值），它只说明“这个钱包没什么钱”，**不代表密码已被破解**，也不代表钱包被放弃。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password = 否` 是强证据，说明目前**没有已验证的密码、助记词或私钥**。任何“已破解”的说法都缺乏依据。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先执行“同步交易”**：这是当前最大缺口，能一次性补齐转入/转出历史、时间戳与对手地址。
2. **补充钱包来源背景**：文件路径含 `fake.czb.com`，需确认该钱包来自哪个业务场景（活动赠送？测试网？历史遗留？）。
3. **核实文件名中的非英文字符**：名称中混入的“символованглтолькобуквыверхниз”疑似乱码或标记语，需确认是否为导入时编码错误，可能影响文件完整性判断。
4. **检查同一目录下是否有同名姊妹文件**：路径中带有哈希后缀 `b36b6831a06e`，可排查是否存在该钱包的备份或分片文件。
5. **调取该地址的历史链上标签**：通过区块浏览器查询地址 `14tZU9...` 是否曾被标记为交易所热钱包、水龙头地址或已知服务商找零地址。
6. **核对录入时间与业务活动时间线**：确认 2026-06-23 前后是否有对应的营销活动（“MEGA-BONUS”暗示奖励性质）。
7. **补充文件哈希与来源链**：记录原始 `.dat` 文件的 SHA-256 与获取途径，便于后续交叉验证。
8. **确认钱包是否为空密码（仅作格式检查，不涉及破解）**：legacy 钱包存在“无密码”可能性，可在离线环境用合规工具做格式自检，但需明确这不属于“破解”。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再对文件类型做重复猜测。
- **基础字段梳理**：钱包ID、地址、路径、大小、时间线均已入库，无需重复采集。
- **密码状态判定**：已明确 `cracked_password = 否`，后续不应再假设“密码已拿到”而推进依赖密码的业务动作。
- **余额判断**：已按业务规则标记为“小额”，无需再对当前余额做重复阈值判断。
- **尚未开展且不应重复踩坑的方向**：在交易未同步前，**不要**基于“余额小”就推断“钱包被掏空”或“曾有大额转出”——这类结论目前无任何字段支撑。