BTC 钱包风险检测与恢复评估 #1035

### 1. 一句话结论
这是一枚持有 **508.29 BTC** 的 Legacy 格式比特币钱包（内部代号 Wallet 356），目前**尚未获得明文密码**，且链上交易记录**尚未同步**，因此无法确认任何转入/转出活动或最后动账时间。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1035，主地址 `187T5PEeUHzJucdvdYRMNHqdR3No71fpja`，币种 BTC。
- **余额**：508.29240380 BTC（业务标注“余额很小”为**否**，即这是一笔大额资产）。
- **文件格式**：`bitcoin_legacy_bdb`，即老式 Berkeley DB 钱包，文件名为 `wallet_356.dat`，大小 339,968 字节。
- **来源路径**：位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/fake/MEGA-BONUS_8 BTC Wallets - All 300 +_Wallet 356 BTC_wallet_356.dat-60c98938805f/` 下，命名规则显示它来自一个包含 300+ 钱包的批量数据集。
- **时间线**：录入时间 2026-06-23 00:38:33，数据标注时间 2026-06-23 00:57:25，最近一次更新时间 2026-08-06 08:31:01。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即目前没有强证据表明已拿到明文密码。
- **链上数据**：未发现已同步的交易记录，页面尚未执行“同步交易”操作。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统在批量导入“MEGA-BONUS_8 BTC Wallets”数据集时，这枚编号 356 的钱包被登记入库。当时系统自动读取了文件头信息，识别出它是老式 `bitcoin_legacy_bdb` 格式，并记录了文件大小与存放路径。钱包名称“Wallet 356 BTC”与文件路径中的“8 BTC Wallets”命名存在明显不一致——前者暗示高余额，后者是批量命名模板，这让我们怀疑它可能是一枚被重点标注的“大额目标”。

随后系统对钱包文件做了基础解析，成功读取到主地址与当前余额 508.29 BTC。但在尝试解锁钱包时，由于没有可用的密码线索，状态一直停留在“未破解”。7 月到 8 月期间，该钱包没有新的操作记录，直到 8 月 6 日有一次系统层面的元数据刷新（更新时间变化），但并未触发新的破解尝试或交易同步。

目前我们手里有的只是“静态快照”：一个文件、一个地址、一笔余额，以及“密码未知”的结论。链上发生了什么、钱从哪来、是否动过，都因为**交易记录未同步**而处于盲区。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要为空，未同步任何 `direction=receive` 的交易。
- **转出记录**：未知。未同步任何 `direction=send` 的交易，因此无法判断最后转出时间或历史转出行为。
- **当前状态**：仅能确认地址余额为 508.29240380 BTC，但该余额是否与链上实际 UTXO 一致，需等待同步后才能验证。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 508.29 BTC，远高于“余额很小”的阈值（标注为否），因此**不属于**“余额为 0 可忽略”的类别，是值得继续投入的高价值目标。
- **明文密码状态**：字段明确显示“已知密码存在 = 否”。即**尚未获得明文密码**，也没有任何验证成功的记录。所有关于“已破解”的说法均不成立，当前仍处于密码未知阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先执行链上交易同步**：补齐该地址的完整交易历史，确认 508 BTC 是否真实可动，以及最后动账时间。
2. **检索同批次数据集**：该文件来自“All 300 +”批量包，检查同批次其他钱包是否已被破解，若有，可尝试寻找密码规律（如统一口令、日期组合）。
3. **检查文件名与路径中的线索**：路径含“MEGA-BONUS_8 BTC”，名称含“Wallet 356 BTC”，需核实这是否为活动赠金钱包，密码可能关联活动规则。
4. **调取钱包文件元数据**：分析 `wallet_356.dat` 的创建时间、修改时间，判断它是在哪个 Bitcoin Core 版本下生成的。
5. **查找历史备注或工单**：在录入日志中搜索该钱包 ID 1035 是否有运营人员留下的密码提示或来源说明。
6. **比对地址标签**：将该主地址放入区块链浏览器，查看是否有交易所或已知实体标签，辅助判断资金来源。
7. **检查同目录其他文件**：路径中 `fake.czb.com` 表明这是测试/仿真数据集，确认是否存在配套的密码表或说明文档。
8. **评估钱包格式特性**：Legacy BDB 格式若未加密则可直接读取密钥；若加密，需确认加密类型后再规划合规恢复路径。

### 7. 已尝试方向回顾（避免重复投入）
- **基础文件解析**：已完成，成功读取地址与余额，但未能解锁。
- **密码字典/规则尝试**：无记录表明曾进行过系统性密码测试，当前状态为“未尝试”或“尝试未果但无日志”。
- **链上数据同步**：**尚未执行**，这是最大的信息缺口，优先补做。
- **同批次关联分析**：未启动，属于待探索方向。
- **元数据时间线分析**：仅做了基础登记，未深入挖掘文件系统层面的时间戳关联。

> 提示：后续若拿到任何密码候选或助记词片段，请先通过离线方式验证，切勿在联网环境中输入，避免资产风险。