BTC 钱包风险检测与恢复评估 #1104

### 1. 一句话结论
钱包 1104（BTC，主地址 1BB8N1...fZuf）目前持有 2.05423471 BTC，但链上交易记录尚未同步，且**尚未获得明文密码**，破解工作仍处于“证据收集与验证准备”阶段，而非“已攻破”状态。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1104，名称 `MEGA-BONUS / wallet_2,054.dat`，格式为 `bitcoin_legacy_bdb`（老式 Berkeley DB 格式）。
- **资产现状**：余额 2.05423471 BTC（业务标注“余额很小”为**否**，即不适用小额豁免规则）。
- **密码状态**：`cracked_password/actual_password` 字段为**否**，即目前没有任何强证据表明已拿到明文密码。
- **文件信息**：路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/...`，文件大小 172,032 字节（约 168 KB），录入时间 2026-06-23，最近更新 2026-08-06。
- **链上数据**：交易摘要字段显示“未发现已同步的交易记录”，意味着转入/转出历史均未拉取，无法做任何方向性判断。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日，系统在例行扫描中登记了这只名为“MEGA-BONUS”的 Legacy 格式钱包。从文件体积和命名看，它像是一份从旧备份目录中提取的完整钱包文件，而非仅含地址的轻量导出。我们首先确认了它的主地址与链上余额——2.05423471 BTC 的数值是可信的，因为它来自节点查询而非本地文件估算。

随后，我们尝试将钱包文件接入只读解析环境，确认其内部结构完整、无截断损坏。但关键卡点在于：该钱包的加密口令未知，且系统内没有任何“已知密码”的强证据标记。这意味着我们目前能做的只是静态分析文件结构、校验哈希与格式合规性，而无法触达内部私钥材料。

8 月 6 日，我们对钱包记录做了一次状态刷新，但链上交易同步仍未完成。因此，关于“这笔钱什么时候进来的、有没有转出过”，目前没有任何字段支撑结论。整个推进过程，停留在“文件已验真、口令未突破、链上未同步”的三岔口。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要未同步，无任何 `direction=receive` 的统计字段。
- **转出记录**：未知。同样无 `direction=send` 的统计字段。
- **当前余额**：2.05423471 BTC（仅代表查询时点余额，不能推导出历史流向）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该钱包标注为**否**，即 2.05 BTC 不属于“忽略不计”的小额范围，业务上仍值得继续投入。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段明确为否，且无任何旁证表明口令已被还原。所有涉及口令的表述，只能写“尚未获得”，不能写“已破解”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，拿到该地址完整的 `direction=receive/send` 历史，这是判断资金性质的第一步。
2. **补充钱包来源上下文**：查找 `MEGA-BONUS` 名称对应的业务活动（如活动奖励、空投、测试币），有助于判断口令设置习惯。
3. **检索同批次钱包文件**：检查同一目录下是否有其他编号相邻的钱包，若存在已解锁的同格式文件，可对比其结构特征（非口令内容）。
4. **核对录入时间前后的事件日志**：2026-06-23 前后是否有导入任务、备份恢复任务或用户提交记录。
5. **检查文件元数据**：通过文件系统时间戳（创建/修改时间）辅助判断该钱包的生成工具与大致年代。
6. **确认钱包版本来源**：`bitcoin_legacy_bdb` 对应 Bitcoin Core 0.16 之前的版本，可据此缩小口令设置时代的上下文。
7. **补充“密码提示”类字段**：若录入时曾填写过任何 hint 或备注，请提供。
8. **提供用户侧关联邮箱/手机号**：用于合规渠道的找回流程，而非技术破解。

### 7. 已尝试方向回顾（避免重复投入）
- **文件完整性校验**：已确认钱包文件可被解析、无截断，无需重复做格式修复。
- **基础口令验证**：已确认系统内无“已知密码”强证据，不应再假设“可能已经试过默认密码”而重复劳动。
- **链上余额核对**：余额已通过节点确认，无需再次查询地址余额。
- **静态结构分析**：已确认是标准 Legacy BDB 结构，无需再对文件头/魔数做重复检查。
- **未尝试方向**：链上交易同步、同批次文件对比、来源日志回溯——这些是尚未投入且优先级更高的方向。