BTC 钱包风险检测与恢复评估 #1098

### 1. 一句话结论
钱包 1098（BTC，legacy BDB 格式）在业务侧被标记为“MEGA-BONUS / wallet_49,94.dat”，当前记录余额约 49.94 BTC，但**尚未获得明文密码**，且链上交易记录未同步，转入/转出方向均未知。

### 2. 我们掌握的事实（证据链）
- 钱包 ID：1098；币种：BTC；格式：bitcoin_legacy_bdb。
- 钱包名称：MEGA-BONUS / wallet_49,94.dat；文件大小 131072 字节。
- 主地址：1A8vgsHPB8omzy6YDUzXBEJwbFZAYZabKM。
- 记录余额：49.94016287 BTC。
- 已知密码存在（cracked_password/actual_password）：**否**。
- 余额很小（≤阈值，业务标注）：**否**。
- 录入时间：2026-06-23 00:39:35；更新时间：2026-09-13 16:42:41；数据标注日期：2026-06-23 00:57:28。
- 钱包路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/...`，目录名含 `fake.czb.com` 与 `review`。
- 链上交易摘要：**未发现已同步的交易记录**。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026-06-23 00:39:35 被录入系统，约 18 分钟后（00:57:28）被打上数据标注。从路径看，它被放在 `fake.czb.com/BTC/review/` 目录下，说明它进入的是“复核/审查”流程，而不是普通生产钱包目录。钱包名称里同时出现 “MEGA-BONUS” 和 “wallet_49,94.dat”，与记录余额 49.94016287 BTC 在数值上高度接近，这更像是业务侧对文件的一个命名线索，而不是密码线索。此后到 2026-09-13 16:42:41 有过一次更新，但更新内容未在给定数据中说明。关于是否拿到明文密码，强证据字段明确为“否”，所以目前只能确认“仍在测试/尚未获得”，不能写成已破解。链上部分也没有同步到任何交易，因此无法讲出“何时转入、何时转出”的完整资金故事。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- 转入：**未知**（未同步到 direction=receive 的记录）。
- 转出：**未知**（未同步到 direction=send 的记录）。
- 链上交易摘要明确为“未发现已同步的交易记录”，因此当前不能推断任何交易方向、时间或对手方。
- 如需更精确的“最后转出时间”，需先在页面点击同步交易。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- 余额业务标注：该钱包**不属于**“余额很小（≤阈值）”的标注，记录余额为 49.94016287 BTC。
- 明文密码状态：强证据字段 cracked_password/actual_password 为**否**，即**尚未获得明文密码**，仍在测试/待验证阶段。
- 不能因为钱包名称含 “MEGA-BONUS” 或余额数值接近文件名，就推断密码已破解或密码与文件名相关。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 在页面执行**同步交易**，补齐链上转入/转出记录。
2. 补充该钱包文件的来源说明：为何位于 `fake.czb.com/BTC/review/` 复核目录。
3. 补充 2026-09-13 16:42:41 这次更新的具体变更内容。
4. 补充业务侧对 “MEGA-BONUS” 标签的定义与来源。
5. 补充该钱包是否曾出现在其他关联案件/批次中的记录。
6. 补充文件哈希、采集时间、采集设备等取证元数据。
7. 补充同批次其他钱包的命名规律，用于判断 “wallet_49,94.dat” 是否为批量命名。
8. 若后续获得合法授权，再评估是否需要进行密码测试；当前不应重复无依据的尝试。

### 7. 已尝试方向回顾（避免重复投入）
- 已确认强证据字段未显示密码存在，因此“已破解”方向不成立，不应重复按“已拿到密码”推进。
- 已确认链上交易未同步，因此“根据交易时间反推密码/资金路径”的方向暂时缺少数据支撑。
- 已确认余额业务标注为“否”，因此不能按“余额为0的空钱包”处理。
- 已确认钱包格式为 legacy BDB，后续分析应围绕该格式的合规取证与元数据补全展开，而不是重复猜测密码内容。