BTC 钱包风险检测与恢复评估 #1113

### 1. 一句话结论
这是一枚**BTC 老格式钱包（bitcoin_legacy_bdb）**，当前链上余额仅 **0.00073681 BTC**，业务侧已标注“余额很小”，且**目前没有任何强证据表明已拿到明文密码**——我们仍在取证与验证阶段，尚未进入“已破解”状态。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1113，主地址 `18TL7s9jeHkQXD9qmWR9Zam3pedeHr5mvB`，币种 BTC。
- **文件载体**：`wallet_75.dat`（钱包名 wallet_75BTC），大小 **114,688 字节**，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_wallet_75BTC_wallet_75BTC_wallet_75.dat-e8fa13c25276/`。
- **格式判定**：`bitcoin_legacy_bdb`，即 Bitcoin Core 旧版 Berkeley DB 格式，属于早期钱包文件结构。
- **余额状态**：链上余额 0.00073681 BTC，业务标注“余额很小（≤阈值）”。
- **密码状态**：`cracked_password / actual_password` 字段为 **否**，即无强证据支持“已知密码存在”。
- **交易同步**：链上交易摘要显示“未发现已同步的交易记录”，意味着转入/转出历史目前为空。
- **时间线**：录入 2026-06-23 00:39:54，数据标注 2026-06-23 00:57:29，最近更新 2026-08-06 09:42:30。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 **6 月 23 日凌晨**被录入系统，当时我们拿到的是一个 114KB 的 `.dat` 文件，从文件头与结构判断它属于 Bitcoin Core 的 legacy BDB 格式——这是 2010 年代早期客户端常用的钱包存储方式，意味着它的密钥派生逻辑相对老旧。

我们首先对文件做了静态识别，确认了主地址与钱包名称（wallet_75BTC），并核对了链上余额。但这里出现了一个关键缺口：**链上交易记录尚未同步**，所以我们无法从交易流水中反推地址用途或最后活跃时间。

在密码验证方面，目前所有尝试都停留在“测试中”阶段。系统里没有写入任何“已知密码”的强证据字段，也就是说，我们还没有拿到一个能通过钱包校验的明文口令。需要特别说明的是：业务标注“余额很小”只是基于金额阈值的判断，**它并不等于“密码已破”**，两者是完全不同的概念。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活跃时间**：无法确认，需先在页面点击“同步交易”后才有字段支撑。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：余额 0.00073681 BTC，被系统标记为“余额很小（≤阈值）”。这只是一个**金额维度的提示**，不代表钱包已清空或已失效。
- **明文密码状态**：**尚未获得**。`cracked_password / actual_password` 为否，所有关于“已拿到密码”的说法均不成立。当前仍处于验证与测试阶段，没有可确认的破解成功证据。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先在页面点击“同步交易”，补齐该地址的转入/转出历史，这是判断资金流向的基础。
2. **补充钱包来源背景**：提供该 `.dat` 文件的来源说明（如来自哪台旧机器、哪个业务场景），有助于缩小口令猜测范围。
3. **确认文件完整性**：核对 114,688 字节是否为完整导出，避免因截断导致密钥信息缺失。
4. **检查同批次钱包**：若存在同目录下的其他 `.dat` 文件（如 wallet_74、wallet_76），对比其格式与口令规律，可能提供旁证。
5. **调取录入时的备注信息**：查看 2026-06-23 录入时是否附带任何用户提示或标签。
6. **验证地址归属**：通过区块链浏览器确认该地址是否曾属于某知名交易平台或活动（如 MEGA-BONUS 相关活动）。
7. **检查钱包内地址数量**：legacy BDB 可能包含多个派生地址，确认是否只有主地址有余额。
8. **补充时间上下文**：若知道该钱包的创建或最后使用年份，可大幅缩小口令构造范围。

### 7. 已尝试方向回顾（避免重复投入）
- **静态格式识别**：已完成，确认为 `bitcoin_legacy_bdb`，无需重复判断文件类型。
- **基础余额核对**：已完成，当前余额 0.00073681 BTC，已确认“余额很小”标注。
- **密码强证据检查**：已确认 `cracked_password` 字段为否，**不应再假设“密码已存在”**，后续工作应聚焦于“如何合法获取或验证口令”，而非重复检查已有字段。
- **链上交易同步**：尚未执行，属于待办而非已尝试方向。
- **文件路径与命名分析**：已记录路径与文件名，但未从中提取出可用口令线索，不建议仅凭文件名（如 `75BTC`）做过度推测。