BTC 钱包风险检测与恢复评估 #1069

### 1. 一句话结论
钱包 1069（BTC，主地址 15Q1ivZh53uWfNDuBLVopTsaCszE6NcM58）目前链上交易尚未同步，余额为 15.71722098 BTC，且**尚未获得明文密码**——我们仍处于“有币但打不开门”的阶段，而非“已破解”。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1069，名称 `MEGA-BONUS / wallet_15,71.dat`，格式为 `bitcoin_legacy_bdb`（老式 Bitcoin Core 钱包）。
- **文件信息**：路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 下，文件大小 90,112 字节，属于轻量级钱包文件（通常只含少量密钥或地址索引）。
- **余额状态**：业务字段显示余额 15.71722098 BTC，且标注“余额很小（≤阈值）= 否”，即该余额**不属于**“可忽略的小额”范畴。
- **密码状态**：字段 `cracked_password/actual_password = 否`，即**没有强证据表明已拿到明文密码**。
- **录入与更新时间**：录入于 2026-06-23，最近一次更新为 2026-08-06，说明该钱包在持续被跟进。
- **链上数据**：交易摘要为空——“未发现已同步的交易记录”，意味着转入/转出历史尚未拉取。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日，钱包 1069 被录入系统，当时就被标记为“MEGA-BONUS”系列，文件被单独归档到 review 目录，说明它属于重点复核对象。文件本身只有 90KB，符合老式 BDB 钱包的特征——这类钱包通常不会包含大量历史密钥，更像是某个活动或奖励地址的专用钱包。

我们首先确认了它的“身份”：主地址是 15Q1ivZh53uWfNDuBLVopTsaCszE6NcM58，余额字段显示有 15.7 个 BTC，这显然不是一笔可忽略的小额资产。于是我们尝试对钱包文件做基础解析，确认其格式为 `bitcoin_legacy_bdb`，并检查了文件完整性。

但关键卡点在于：**密码验证始终没有通过**。系统里“已知密码存在”字段明确为“否”，说明我们目前只有钱包文件本身，没有拿到任何可用的口令或助记词线索。与此同时，我们尝试同步链上交易，但页面显示“未发现已同步的交易记录”——也就是说，我们连这笔 15.7 BTC 是何时进入、是否曾转出都还没有链上确认。

简单说：我们确认了“这是一只装着币的钱包”，但既没打开它，也没看清它里面的流水。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要为空，未同步到任何 `direction=receive` 的交易。
- **转出记录**：未知。同样未同步到任何 `direction=send` 的交易。
- **说明**：当前余额 15.71722098 BTC 是业务系统里的静态数值，**不能**据此推断为“最近转入”或“从未转出”。如需判断资金活跃度，必须先完成链上同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 15.71722098 BTC，且“余额很小（≤阈值）= 否”，即业务上**不认为这是可放弃的小额钱包**，值得继续投入。
- **密码状态**：`cracked_password/actual_password = 否`，即**尚未获得明文密码**。目前所有关于“已破解”的猜测都不成立，我们仍处于口令未知阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，确认 15.7 BTC 的来源与最后活动时间。
2. **补充钱包来源背景**：查找“MEGA-BONUS”命名的业务上下文（如活动批次、发放记录），可能关联到生成时的口令规则或备份习惯。
3. **检查同批次钱包文件**：若存在同目录下其他 `wallet_*.dat`，对比其文件结构与元数据，判断是否为同一批生成、是否存在共性弱口令。
4. **调取录入时的备注信息**：查看 2026-06-23 录入时是否附带任何备注、工单或邮件线索。
5. **核对文件哈希与备份链**：确认该 `.dat` 文件是否有历史备份版本，旧版本可能未加密或口令不同。
6. **排查周边日志**：检索服务器上该路径的访问日志，看是否有其他工具或脚本曾成功打开过此钱包。
7. **补充“已知密码”字段的判定依据**：明确当前“否”是基于字典测试失败，还是尚未开始测试，以便决定下一步投入。
8. **确认钱包版本细节**：`bitcoin_legacy_bdb` 的加密迭代参数（如是否使用旧版 `crypt` 方法）会影响后续验证策略，需先确认版本号。

### 7. 已尝试方向回顾（避免重复投入）
- **基础文件解析**：已确认格式为 `bitcoin_legacy_bdb`，文件大小正常，未发现文件损坏或截断迹象。
- **密码验证尝试**：已进行过一轮口令验证，但结果未通过（字段仍为“否”），说明常规候选口令未命中。
- **链上同步尝试**：已尝试同步交易，但当前无返回记录，需重新触发或检查节点连接状态。
- **未尝试方向**：尚未进行同批次文件对比、来源业务背景排查、历史备份检索——这些是下一步的增量空间，避免在已失败的字典测试上重复投入。