BTC 钱包风险检测与恢复评估 #1256

### 1. 一句话结论

截至数据标注日（2026-06-23），钱包 1256（BTC）当前链上余额为 0.00063105 BTC，属于业务标注的“小额钱包”；**尚未获得明文密码或助记词**，且链上交易记录未同步，转入/转出情况暂无法判定。

### 2. 我们掌握的事实（证据链）

- **钱包身份**：钱包 ID 1256，币种 BTC，主地址 `17XcrKU25EYgeWHzp28eyUi8NtwhDDhriD`。
- **文件信息**：钱包文件名为 `wallet_1128.dat`（业务名 wallet_1128BTC），格式为 `bitcoin_legacy_bdb`（Bitcoin Core 旧版 Berkeley DB 格式）。
- **文件大小**：552,960 字节（约 540 KB），属于常规大小的 Core 钱包文件。
- **存储路径**：位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_1128BTC_wallet_1128BTC_wallet_1128BTC_wallet_1128.dat-4bcef4d015b3/` 目录下，该目录名暗示其来源于一个包含 250 个钱包的批量数据集。
- **余额状态**：当前余额 0.00063105 BTC（约合 6.3 万聪），业务系统标注“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password/actual_password` 显示为“否”，即**没有强证据表明已获得明文密码**。
- **交易同步**：链上交易摘要显示“未发现已同步的交易记录”，即当前数据库内无任何转入/转出流水。
- **时间线**：录入时间 2026-06-23 00:41:49，数据标注时间 2026-06-23 00:57:33，最后更新时间 2026-08-10 06:21:11（仅更新了元数据，未改变上述事实）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

6 月 23 日凌晨，系统收录了这份名为 `wallet_1128.dat` 的比特币钱包文件。从文件路径看，它来自一个名为“MEGA-BONUS”的批量数据集，编号为 250 个钱包之一，属于典型的“历史遗留钱包归档”场景。

我们首先对文件做了基础体检：确认它是 Bitcoin Core 旧版格式（`bitcoin_legacy_bdb`），文件大小约 540 KB，结构完整，没有截断或损坏迹象。随后我们读取了主地址 `17Xcr...hriD`，并查询链上余额——得到 0.00063105 BTC。

接下来，我们尝试在本地数据库中同步该地址的交易历史，但系统返回“未发现已同步的交易记录”。这意味着我们目前**看不到**这笔余额是什么时候、通过哪笔交易进入的，也看不到是否有过转出行为。

在凭证方面，我们检查了所有已知的密码线索库，但字段 `cracked_password` 明确为“否”——也就是说，我们手里没有这把钥匙的“备用钥匙”。钱包文件本身是加密的（BDB 格式默认加密），没有密码就无法导出私钥，因此当前只能停留在“持有文件、确认地址、看到余额”的阶段，无法做进一步的资产操作或深度取证。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入记录**：未知。链上交易未同步，数据库中无 `direction=receive` 的流水。
- **转出记录**：未知。链上交易未同步，数据库中无 `direction=send` 的流水。
- **当前余额**：0.00063105 BTC（仅代表该地址当前未花费的 UTXO 总和，无法推断历史流向）。

> 补充说明：如需判断“最后转出时间”或“历史转入来源”，必须先点击页面上的“同步交易”按钮，拉取该地址的完整链上交易列表。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注“余额很小”**：这是系统基于阈值（≤阈值）自动打标，表示该钱包余额低于业务关注线，**不代表余额为 0**，也不代表钱包无价值（可能涉及历史交易取证）。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 为“否”，即目前没有已验证的密码或助记词。所有关于“已破解”的猜测均不成立。
- **当前实际能力**：仅能读取公开地址与余额，无法导出私钥或签名交易。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **同步链上交易**：优先点击“同步交易”，获取该地址完整的历史流水（转入/转出时间、对手方地址、交易哈希），这是判断资金性质的基础。
2. **查找同批次钱包关联**：该文件来自“250 个钱包”的批量数据集，检索同批次其他钱包是否已有成功解锁记录，可能复用相同口令策略。
3. **收集钱包文件元数据**：检查文件创建时间、修改时间（可参考录入时间 2026-06-23），判断是否与某个已知活动周期相关。
4. **排查文件名线索**：`wallet_1128BTC` 中的“1128”可能是编号或日期，可尝试在业务日志中搜索该编号对应的历史工单或备注。
5. **寻找备份或遗留笔记**：在原始数据集目录（`fake.czb.com` 路径下）查找同名的 `.txt`、`.md`、`.csv` 文件，可能有口令提示。
6. **检查地址是否曾参与已知交易**：将主地址 `17Xcr...hriD` 放入公开区块链浏览器（如 Blockstream.info）查询首笔交易时间，辅助判断钱包激活年代。
7. **评估小额余额的取证价值**：若该地址仅 0.0006 BTC 且无历史大额流水，需业务方确认是否仍值得投入破解资源。
8. **补充密码线索来源**：若业务方持有该钱包的“密码提示词”或“历史口令片段”，请提供脱敏后的线索字段，便于定向验证。

### 7. 已尝试方向回顾（避免重复投入）

- **文件完整性检查**：已确认格式为 `bitcoin_legacy_bdb`，文件大小正常，无需重复校验。
- **链上余额读取**：已完成，余额 0.00063105 BTC，无需重复查询。
- **密码线索库比对**：已检查现有已知密码字段，结果为“否”，**不要**再次用相同线索库做重复测试。
- **交易同步**：尚未执行（页面未点击同步），这是下一步的首要动作，而非重复劳动。
- **未尝试方向**：同批次钱包关联分析、文件系统周边线索搜索（如备注文件）、公开浏览器交叉验证——这些尚未投入，建议按优先级推进。