BTC 钱包风险检测与恢复评估 #1027

### 1. 一句话结论
目前我们掌握的是一个**BTC 老式钱包文件**（余额 1.39498354 BTC，约合价值需按实时汇率估算），但**尚未获得明文密码**，且链上交易记录尚未同步，因此无法还原任何资金往来历史。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1027，名称 `MEGA-BONUS`，文件名为 `wallet_1,394.dat`，格式为 `bitcoin_legacy_bdb`（老式 Berkeley DB 格式）。
- **地址与余额**：主地址 `1BfP3D5V2yDFtfRmkT4K6MEwsizLxXp4hz`，当前余额 **1.39498354 BTC**（数据标注日期 2026-06-23，更新时间 2026-08-06）。
- **文件信息**：大小 57,344 字节，存放路径为 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet_1,394.dat-af2b954cb64f/wallet_1,394.dat`。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**，即目前没有强证据表明已拿到明文密码。
- **交易记录**：链上交易摘要显示“未发现已同步的交易记录”，意味着转入/转出均无法从现有数据判断。
- **业务标注**：余额小于阈值的业务标注为“否”，即该钱包余额并不算“极小”，不能据此推断为“废弃钱包”。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 **2026 年 6 月 23 日凌晨**被录入系统，当时我们拿到了一个约 56 KB 的 `wallet.dat` 文件，文件头显示是老式 Bitcoin Core 钱包（BDB 格式）。我们首先确认了主地址和余额——1.39498354 BTC，这个数字不算小，说明它很可能不是空壳钱包。

接着我们检查了密码状态：目前没有任何“已知密码”的强证据。也就是说，我们手里只有加密后的钱包文件，还没有能解开它的钥匙。我们尝试过一些常规的合规验证流程（例如检查文件完整性、确认格式、比对地址派生规则），但**没有进行任何暴力破解或字典攻击**——因为那既不符合安全规范，也缺乏必要的授权前提。

同时，我们尝试在页面点击“同步交易”，但系统返回“未发现已同步的交易记录”。这意味着我们目前只能看到“静态余额”，看不到这笔 BTC 是什么时候进来的、有没有转出过。整个推进过程目前停在“文件已入库、格式已确认、密码未破、交易未同步”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易未同步，无法确认该地址历史上是否收到过 BTC，以及 1.39498354 BTC 是否由多笔小额转入累积而成。
- **转出记录**：未知。同样因未同步，无法判断是否存在转出行为，也无法提供“最后转出时间”。
- **净流向判断**：不适用。在缺少 `direction=receive/send` 统计字段的情况下，不做任何臆断。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 1.39498354 BTC，**不满足“余额很小（≤阈值）”的业务标注**，因此不能将其归类为“低价值/可放弃”钱包。
- **密码状态**：`cracked_password/actual_password = 否`，即**尚未获得明文密码**。所有涉及“已破解”“已还原助记词/私钥”的说法均不成立。当前仍处于“持有加密文件、等待有效凭据或合法授权流程”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先在页面点击“同步交易”，拿到该地址完整的 `direction=receive/send` 记录，这是还原资金故事的前提。
2. **查找钱包来源备注**：确认 `MEGA-BONUS` 名称对应的业务背景（如活动钱包、奖励池、测试币），可缩小密码猜测范围。
3. **检索关联文件**：在同一路径 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下查找是否有同批次的 `.dat` 文件或说明文档。
4. **核对录入人/录入批次**：调取 2026-06-23 00:38 前后的录入日志，确认该文件由哪个任务或渠道提交。
5. **检查文件元数据**：在不改动文件的前提下，查看文件创建时间、修改时间是否与录入时间吻合，辅助判断是否为原始导出文件。
6. **确认钱包版本兼容性**：`bitcoin_legacy_bdb` 格式对应 Bitcoin Core 0.16 之前的版本，确认该版本是否支持“导入观察地址”功能，以便在不破解的情况下监控后续交易。
7. **寻找密码提示线索**：在文件名、路径、关联备注中查找可能的密码提示（例如 `MEGA-BONUS` 是否对应某个活动口令），但仅作为线索，不做破解尝试。
8. **补充授权证明**：若需继续推进密码恢复，需提供该钱包的合法持有或处置授权文件，否则按安全规范停止进一步操作。

### 7. 已尝试方向回顾（避免重复投入）
- **文件格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了现代 `descriptor` 钱包格式，后续无需再对格式做重复猜测。
- **基础信息提取**：已成功读取主地址与余额，这部分已完成，无需重复扫描。
- **密码验证**：目前仅确认“无已知密码”，尚未进行任何破解尝试（也未授权）。后续若获得合法授权，应优先从“弱密码/常见口令”的合规测试开始，但**不得使用公开字典或掩码规则**。
- **交易同步**：已尝试一次，返回“无记录”，但可能是同步未触发或节点未连接，建议检查同步状态后重试，而非直接放弃。