BTC 钱包风险检测与恢复评估 #1691

### 1. 一句话结论
该BTC钱包（ID:1691）目前处于“有实体文件、无同步交易、未破解密码”的早期取证阶段，余额是否为零尚无链上数据支撑，明文密码尚未获得。

### 2. 我们掌握的事实（证据链）
- **钱包实体**：存在一个名为 `Goldcoin (8).dat` 的Bitcoin Legacy格式文件（BDB），大小106,496字节，路径指向 `fake.czb.com/BTC/real/MEGA-BONUS_wallet.dat~1_Goldcoin (8).dat-8b7ae4e65072/`。
- **主地址**：`18iSTMZsWvre12bTzdMAT1tmtef62FGhyn`（该地址为公开信息，非敏感凭证）。
- **录入与更新时间**：2026-06-23录入，2026-08-06最后更新，期间无状态变化记录。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有任何已确认的明文密码**。
- **余额标注**：业务侧标注“余额很小(≤阈值)”为“否”，但这属于业务判断，**并非链上同步结果**。
- **交易记录**：链上交易摘要显示“未发现已同步的交易记录”，即转入/转出均无数据。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日，系统收录了这份名为“Goldcoin (8).dat”的遗留钱包文件。从命名和路径看，它像是某个“MEGA-BONUS”活动包中的副本，文件大小106KB，属于早期Bitcoin Core（Legacy/BDB）格式。我们首先确认了主地址，并尝试在链上索引该地址的活动，但截至8月6日，页面显示**没有任何已同步的交易**——这意味着我们既看不到历史转入，也看不到转出，无法判断资金是否早已清空。

与此同时，针对该文件的密码验证工作一直在进行，但证据字段明确记录：**尚未获得任何明文密码**。我们也没有看到“余额为0”的链上确认，业务侧的“余额很小=否”只是基于文件内部索引或历史快照的推测，不能替代链上事实。

简单说：我们目前只确认了“有一个待处理的旧格式钱包文件”，但它的资金状态和访问能力都还是未知数。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：未知。链上未同步到任何该地址的收款记录。
- **转出（send）**：未知。链上未同步到任何该地址的付款记录。
- **结论**：由于缺少同步交易数据，无法判断该地址是否曾有过大额进出，也无法给出“最后转出时间”。所有关于“已清空”或“仍有余额”的说法目前均无链上依据。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小=否”**：这仅代表业务侧未将其标记为“小额钱包”，**不等于链上余额确认**，也不等于余额为0。该标注可能来自文件内部记录或历史缓存，需以链上同步为准。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 为“否”，即没有任何已验证的密码、助记词或私钥信息。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该主地址的完整转入/转出历史，确认资金是否真的已清空。
2. **补充文件来源信息**：查找该 `wallet.dat` 的原始备份路径、创建时间或关联活动名称（如“MEGA-BONUS”），有助于判断其用途和年代。
3. **核对文件哈希与完整性**：确认该文件是否被截断或损坏（106KB对Legacy钱包偏小），必要时与同批次其他钱包文件对比。
4. **检查同批次钱包关联性**：若该文件来自批量导入，查看同目录下其他 `.dat` 文件是否已有成功同步或破解案例，可推断本文件的密码策略。
5. **收集用户侧线索**：询问提交者是否记得该钱包的创建场景、常用密码习惯（仅作提示，不要求明文）。
6. **确认业务标注依据**：向业务方索取“余额很小=否”的判断来源（是文件内索引还是历史快照），避免误导后续决策。
7. **检查地址是否曾出现在公开交易所有关联标签**：通过合规的地址标签服务（非攻击手段）查看该地址是否被标记过。
8. **评估文件内是否含扩展密钥或地址池**：在不破解主密码的前提下，通过合规工具读取非加密元数据（如地址池数量），辅助判断钱包活跃度。

### 7. 已尝试方向回顾（避免重复投入）
- **链上查询**：已尝试查看该地址交易记录，但结果为“未同步”，说明当前数据源未覆盖或尚未触发同步，需先解决数据同步问题。
- **密码验证**：已进行过基础验证流程，但未成功，且没有产生任何“已知密码”证据，说明常规候选集未命中。
- **文件格式识别**：已确认为 `bitcoin_legacy_bdb`，排除了现代描述符钱包格式，后续无需在格式判断上重复投入。
- **余额判断**：业务侧已给出“非小额”标注，但该标注未被链上证实，**不应再基于此标注做资金结论**，应转向链上同步。