BTC 钱包风险检测与恢复评估 #1109

### 1. 一句话结论
这是一枚 **BTC 老旧格式钱包（bitcoin_legacy_bdb）**，当前链上余额为 **0.03159732 BTC**，但**尚未获得明文密码**，且链上交易记录**尚未同步**，因此无法确认任何转入/转出活动。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID 1109，主地址 `19Ycb9ueYu1fNb4X96skxBc3DtdamoHUEG`（BTC 网络）。
- **文件载体**：`wallet_0,0314.dat`，大小 49,152 字节，路径位于 `fake.czb.com/BTC/real/MEGA-BONUS_wallet_0,0314BTC_...` 目录下。
- **格式判断**：版本/格式标注为 `bitcoin_legacy_bdb`，即 Bitcoin Core 旧版 Berkeley DB 钱包格式（非现代 descriptor 钱包）。
- **余额状态**：链上余额 0.03159732 BTC；业务标注“余额很小(≤阈值)”为 **否**（即业务方认为该余额不算极小值）。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有强证据表明已拿到明文密码**。
- **时间线**：录入 2026-06-23 00:39:51，数据标注 2026-06-23 00:57:29，最近更新 2026-08-06 09:41:30。
- **交易同步**：链上交易摘要显示“未发现已同步的交易记录”。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包在 6 月 23 日被录入系统，当时我们拿到的是一个 49KB 的 `.dat` 文件，命名里带着 `0,0314BTC` 的字样，暗示文件所有者自己标注了余额约 0.0314 BTC。我们首先确认了文件格式——是 Bitcoin Core 旧版的 BDB 钱包，这类钱包的密钥和元数据都封装在 Berkeley DB 结构中。

随后我们核对了主地址 `19Ycb...` 的链上状态，发现系统里**还没有同步任何交易记录**，这意味着我们目前只能依赖文件本身的信息，无法判断这笔 BTC 是何时、以何种方式进入该地址的。我们也检查了“是否已知密码”的强证据字段，结果为否——说明到目前为止，我们**没有验证通过任何候选密码**，也没有拿到可用的明文口令。

文件路径中出现了 `MEGA-BONUS` 和 `fake.czb.com` 的目录名，这提示该样本可能来自某个批量收集的测试集或历史遗留数据集，但这一线索目前仅停留在目录命名层面，尚未与外部情报关联。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易未同步，无 `direction=receive` 的统计字段可引用。
- **转出记录**：未知。链上交易未同步，无 `direction=send` 的统计字段可引用。
- **当前余额**：0.03159732 BTC（来自钱包字段，非链上同步结果）。
- **说明**：在点击“同步交易”之前，任何关于“最后转出时间”“历史转入方”的描述都属于臆测，暂不采纳。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即业务方并未将 0.0315 BTC 视为可忽略的零头。这与“余额为 0”是完全不同的概念——本钱包**余额不为 0**。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段未标记为是，因此我们**尚未获得明文密码**，也没有任何“验证成功”的记录。
- **结论**：当前处于“有币但锁着”的状态，密码恢复工作仍在进行中，未宣告成功。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的历史转入/转出时间与对手方，这是判断资金来源和最后活动的基础。
2. **补充钱包创建时间线索**：若 `.dat` 文件内嵌有 `mkey` 或时间戳元数据，可辅助推测密码设置年代，缩小候选范围。
3. **查找同目录关联文件**：检查 `MEGA-BONUS_wallet_0,0314BTC_...` 目录下是否有同名 `.txt`、`.csv` 或备注文件，常含密码提示。
4. **检索文件名中的数字含义**：`0,0314` 可能对应余额，也可能对应日期（如 3 月 14 日），可作为密码联想素材（仅作线索，不作猜测依据）。
5. **调取录入时的来源备注**：查看钱包录入批次的操作日志或上传者备注，确认是否来自公开数据集或历史泄露样本。
6. **检查地址是否出现在公开标签库**：将 `19Ycb...` 与已知交易所/服务商地址库比对，确认是否有历史交互标签。
7. **确认钱包文件完整性**：核对 49,152 字节文件是否被截断或加密层异常，排除文件损坏导致的读取障碍。
8. **补充“密码提示词/关联词”字段**：若业务方可提供该钱包所有者的常用邮箱前缀、姓名或昵称，可显著提升后续验证效率。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再猜测钱包类型。
- **密码强证据检查**：已核对 `cracked_password/actual_password` 字段，结果为否，说明此前未产生有效命中，不必重复验证同一批候选。
- **链上同步**：尚未执行，这是下一步首要动作，而非继续在文件内做无谓的格式解析。
- **余额判定**：已确认余额非零且业务标注“非极小”，因此**不要按“空钱包/无价值”处理流程走**，应继续按有值钱包对待。