BTC 钱包风险检测与恢复评估 #1130

### 1. 一句话结论
该BTC钱包（ID:1130）当前链上余额为6.29 BTC，但**尚未获得明文密码**，且链上交易记录未同步，无法确认任何转入/转出活动；当前处于“有余额、无密码、无交易流水”的待突破阶段。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：BTC Legacy格式（`bitcoin_legacy_bdb`），文件名为 `wallet_6,29BTC_wallet_6,29.dat`，大小57344字节，主地址 `18Q1EcXgfs6WZXNYL43RHvypkrHH1YqxKH`。
- **余额状态**：当前显示余额6.29000000 BTC，业务标注“余额很小(≤阈值)”为**否**，即该余额**未触发小额豁免逻辑**，属于需要重点处理的资产。
- **密码状态**：字段 `cracked_password/actual_password` 明确为**否**，即**没有任何强证据表明已拿到明文密码**。
- **录入与更新时间**：录入于2026-06-23 00:40:16，数据标注于同日00:57:29，最近更新于2026-08-06 09:54:46，说明该钱包在约一个半月内被持续跟踪但状态未发生质变。
- **交易同步**：链上交易摘要显示“未发现已同步的交易记录”，意味着当前数据库内**没有可用的转入/转出方向统计字段**。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统录入了一个名为“MEGA-BONUS”系列的BTC钱包文件。从路径和命名看，它属于一批批量收集的“Bitcoin Core”旧版数据包（共250个之一）。我们首先确认了文件格式为Legacy BDB，并成功读取了主地址与余额——6.29 BTC的数值被准确捕获，且未被业务规则判定为“小额可忽略”。

随后我们尝试将链上数据与本地文件关联，但发现**交易记录从未同步成功**。这意味着我们目前只能看到“这个地址有多少钱”，却看不到“这些钱是怎么来的、最后动过没有”。在密码层面，我们检查了所有已知的强证据字段，结论是**没有任何一条记录能证明密码已被还原**——所有相关标记均为否定。

时间来到8月6日，系统再次更新了该钱包的元数据，但余额、路径、格式均未变化，密码状态依旧为“否”。这说明过去一个半月里，我们完成了对文件本身的静态梳理，但**尚未打通“文件→密码→链上动作”的关键链路**。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要未同步，无 `direction=receive` 的统计字段。
- **转出记录**：未知。无 `direction=send` 的统计字段，无法确认最后转出时间或历史转出行为。
- **补充说明**：当前仅能确认地址存在6.29 BTC的静态余额，但该余额是否由历史转入形成、是否曾被部分转出，均**无法从现有数据判断**。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注层面**：该钱包余额为6.29 BTC，**不属于**“余额为0或极小（≤阈值）”的自动豁免范畴，因此业务上仍将其视为**有效目标**，需要继续推进。
- **密码获取层面**：字段 `cracked_password/actual_password = 否`，即**尚未获得明文密码**。所有关于“已破解”的猜测均无事实依据，当前仍处于“有文件、有地址、无密码”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址完整的转入/转出历史，确认资金流向与最后活跃时间。
2. **补充文件来源背景**：查找该钱包所属的“MEGA-BONUS_BITCOIN CORE WALLETS - 250”批次说明，确认是否为批量生成的“诱饵包”或真实历史备份。
3. **核对同一批次其他钱包**：检查同路径下其余249个钱包是否已存在“密码已知”的案例，若有，可对比文件结构差异。
4. **检查文件元数据**：提取 `.dat` 文件的创建时间、修改时间、原始机器信息（如适用），判断其生成环境。
5. **排查地址历史标签**：在区块链浏览器中查询 `18Q1EcXgfs6WZXNYL43RHvypkrHH1YqxKH` 是否关联已知交易所或混币器地址。
6. **确认业务标注阈值定义**：核实“余额很小(≤阈值)”的具体数值标准，确认6.29 BTC为何未被豁免，避免后续误判。
7. **补充密码线索材料**：若存在与钱包同目录的说明文档、密码提示文件或历史邮件记录，请一并提供。
8. **复核数据录入准确性**：确认录入时间与数据标注时间（相差17分钟）之间是否有过人工干预或批量导入异常。

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件解析**：已完成——确认格式为Legacy BDB，成功提取地址与余额，但未触及密码层。
- **强证据字段排查**：已完成——所有 `cracked_password/actual_password` 相关字段均为否定，无需再次检查。
- **业务阈值判断**：已完成——确认该余额不属于“小额豁免”，排除了因余额过低而放弃处理的可能性。
- **链上交易关联**：已尝试但未成功——当前无同步记录，**不要重复**在无新数据的情况下再次查询本地库，应先触发页面同步。
- **未尝试方向**：同批次横向对比、文件元数据挖掘、外部地址标签查询——这些尚未投入，可作为下一步重点。