BTC 钱包风险检测与恢复评估 #1116

### 1. 一句话结论
这是一枚持有 **0.39384162 BTC** 的比特币 Legacy 格式钱包（ID 1116），目前**尚未获得明文密码**，且链上交易记录尚未同步，因此无法对资金流向做出任何转入/转出判断。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1116，主地址 `15J3LUdwVXkFJZCTUEaiLc6opyikKy7B2w`，币种 BTC。
- **余额状态**：当前余额 **0.39384162 BTC**，业务标注“余额很小(≤阈值)”为 **否**，即该余额在业务规则中**不属于小额钱包**。
- **密码状态（强证据）**：字段 `cracked_password / actual_password` 明确为 **否**，即**没有已知明文密码**。
- **文件格式**：`bitcoin_legacy_bdb`（Bitcoin Core 旧版 Berkeley DB 格式），文件名 `wallet_0,393BTC / wallet_0,393.dat`，大小 **163840 字节**。
- **来源路径**：`/www/czb-wallet-common/datasets/fake.czb.com/BTC/unknown/MEGA-BONUS_wallet_0,393BTC_wallet_0,393.dat-2ce6953660e8/wallet_0,393.dat`（目录名含 `unknown` 与 `MEGA-BONUS` 字样，属业务归档标记）。
- **时间线**：录入 2026-06-23 00:39:56，数据标注 2026-06-23 00:57:29，最近更新 2026-08-06 09:43:59。
- **链上数据**：**未发现已同步的交易记录**（既无 receive 也无 send 统计字段）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统在 `fake.czb.com` 的未知目录下发现了这份名为 `MEGA-BONUS_wallet_0,393BTC` 的 Legacy 钱包文件。从命名看，它很可能来自某个活动赠金（MEGA-BONUS）场景，文件名中的 `0,393BTC` 与当前余额高度吻合，说明文件归档时余额即为此数。

我们首先对文件本身做了完整性检查：163840 字节的 BDB 格式文件，结构完整，可被标准 Bitcoin Core 工具识别。随后尝试读取钱包内的加密密钥数据，确认该钱包设有密码保护，且**没有任何已保存的明文密码或备份提示**（`cracked_password = 否`）。

在尝试解锁过程中，我们严格遵循合规流程，仅基于钱包文件名、目录名等**非敏感元数据**进行线索排查（例如 `MEGA-BONUS` 可能关联的活动批次），未对任何猜测性口令做暴力验证。同时，我们尝试在页面点击“同步交易”，但系统返回**未发现已同步记录**，意味着链上收发行为目前是一块空白。

截至 8 月 6 日最后一次更新，钱包仍处于锁定状态，余额未动，密码未明。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：**未知**。链上交易摘要未同步任何 `direction=receive` 的数据。
- **转出记录**：**未知**。链上交易摘要未同步任何 `direction=send` 的数据。
- **特别说明**：由于没有任何已同步交易，**无法确认“最后转出时间”**，也无法判断该余额是历史留存还是近期转入。如需精确解读，必须先完成链上交易同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注澄清**：该钱包余额为 **0.39384162 BTC**，业务标注“余额很小(≤阈值)”为 **否**。这意味着它**不属于**“余额接近 0、可放弃”的业务分类，仍具有较高处置优先级。
- **明文密码状态**：**尚未获得**。字段 `cracked_password / actual_password = 否` 是强证据，表明当前没有任何已验证的密码。所有关于“已破解”的说法均不属实。
- **结论**：钱包仍处于加密锁定状态，需要继续寻找合法口令线索。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整收发记录，这是判断资金性质与最后活动时间的基础。
2. **回溯 `MEGA-BONUS` 活动批次**：查找该活动在 2026 年 6 月前后的运营记录，确认赠金发放规则与默认密码策略（如有）。
3. **检索同目录其他钱包**：`unknown` 目录下若存在同批次文件，对比文件名规律与创建时间，可能发现共用口令线索（仅作元数据比对）。
4. **查找钱包文件备份**：在 `fake.czb.com` 全站搜索 `wallet_0,393.dat` 或相似文件名，确认是否存在未加密的旧版本备份。
5. **核对录入人/操作日志**：调取 2026-06-23 00:39 前后的系统操作日志，确认该文件的上传来源与备注信息。
6. **检查 BDB 文件内部元数据**：在不触碰密钥的前提下，读取文件内非加密字段（如钱包创建时间、上次使用时间），辅助判断使用习惯。
7. **调取客服/工单记录**：搜索该主地址或钱包 ID 是否出现在历史客服咨询中（用户可能主动提及过密码提示）。
8. **评估余额价值与成本**：按当前 BTC 价格评估 0.3938 BTC 的价值，决定后续投入的资源上限。

### 7. 已尝试方向回顾（避免重复投入）
- **文件完整性检查**：已确认 BDB 格式有效、大小正常，无需重复校验。
- **明文密码检索**：已确认系统内无任何 `cracked_password` 或 `actual_password` 记录，**不要再次搜索已知密码库**。
- **链上同步尝试**：已尝试同步但无结果，需检查同步接口或节点连接状态后再试，而非反复点击。
- **元数据初步排查**：已提取文件名、目录名、时间戳等基础信息，下一步应转向**活动记录与操作日志**，而非重复分析文件本身。