BTC 钱包风险检测与恢复评估 #1787

### 1. 一句话结论
钱包 1787（BTC，主地址 1ACcZVUJBhwd6v1iLSVveV6neVFXbGEWZP）当前链上余额为 316.08708174 BTC，属于高价值目标；但截至目前**尚未获得明文密码**，且链上交易记录尚未同步，转入/转出情况未知。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1787，币种 BTC，版本/格式为 `bitcoin_legacy_bdb`（旧版 Bitcoin Core 钱包格式）。
- **文件信息**：钱包文件名为 `wallet_x1.dat`，原始路径含 `MEGA-BONUS_basepara revisar2` 目录，文件大小 376,832 字节（约 368 KB），录入时间为 2026-06-23。
- **余额状态**：当前显示余额 316.08708174 BTC；业务标注“余额很小（≤阈值）”为**否**，即系统认为该余额不可忽略。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为**否**，即目前没有任何已确认的明文密码或助记词。
- **链上同步**：交易摘要显示“未发现已同步的交易记录”，意味着转入/转出明细尚未拉取。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日，系统在 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/unknown/` 路径下发现了一个名为 `MEGA-BONUS_basepara revisar2` 的目录，里面存放着一个旧版 Bitcoin 钱包文件 `wallet_x1.dat`。从文件命名和目录结构看，这像是一份被标记为“待复核”（revisar）的遗留资产，因此被录入为钱包 ID 1787。

我们首先确认了文件格式为 `bitcoin_legacy_bdb`，这是一种较早期的钱包存储结构，通常包含密钥材料和地址簿。随后，我们通过地址推导确认了主地址 `1ACcZVUJBhwd6v1iLSVveV6neVFXbGEWZP`，并查询到该地址当前持有约 316 BTC。

然而，在尝试访问钱包内容时，我们遇到了第一道门槛：钱包文件本身受口令保护。截至目前，所有验证尝试均未返回“成功”标记——事实数据中 `cracked_password` 字段仍为“否”。同时，由于链上交易同步尚未执行，我们无法判断这笔 316 BTC 是长期沉淀还是近期活跃，也无法区分历史转入与转出。

简单说：**我们确认了“这是一只有料的旧钱包”，但还没拿到打开它的钥匙，也还没看清它过往的流水。**

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要显示“未发现已同步的交易记录”，因此无法确认任何历史转入。
- **转出记录**：未知。同样因未同步，无法确认是否存在转出行为或最后转出时间。
- **当前余额**：316.08708174 BTC（仅代表当前链上状态，不代表历史净流量）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为“否”，说明系统判定 316 BTC 不属于“可忽略的小额”范畴，此钱包值得继续投入资源。
- **是否拿到明文密码**：**否**。事实数据中 `cracked_password/actual_password` 明确为“否”，因此我们尚未获得任何可用的明文密码、助记词或私钥。所有关于“已破解”的说法均不属实。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **执行链上交易同步**：优先拉取该地址的完整交易历史，确认资金流入时间与最后活动时间，判断资产是否“沉睡”。
2. **检查文件元数据**：查看 `wallet_x1.dat` 的创建/修改时间（文件系统时间戳），与录入时间 2026-06-23 对比，推测文件来源。
3. **搜索同目录其他文件**：检查 `MEGA-BONUS_basepara revisar2` 目录下是否有同名备份、文本笔记或 `.txt` 说明文件，常伴随密码提示。
4. **排查命名线索**：目录名含 `MEGA-BONUS` 与 `revisar2`（西语“复核”），推测与某次活动奖励或人工复核流程相关，可回溯内部工单记录。
5. **关联地址标签**：在内部数据库中搜索主地址 `1ACcZVUJBhwd6v1iLSVveV6neVFXbGEWZP` 是否曾出现在其他案件或备注中。
6. **检查钱包内部结构**：在不尝试破解的前提下，解析 BDB 文件中非加密字段（如密钥类型、时间戳），确认钱包创建时间。
7. **补充“已知密码候选”材料**：若业务方曾提供过该钱包的密码线索（如历史工单、交接文档），请补充至证据链，以便定向验证。
8. **确认业务来源**：向录入方核实该钱包来自哪个渠道（如旧服务器迁移、用户上报、交易所遗留），来源信息常能缩小密码范围。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb` 旧版格式，无需重复检测文件类型。
- **基础口令验证**：已对常见默认口令/空口令进行过验证（结果均为否），无需再次尝试该范围。
- **地址与余额核对**：已完成主地址推导与链上余额确认（316.08708174 BTC），无需重复查询。
- **未尝试方向**：链上交易同步、文件系统元数据挖掘、同目录关联文件排查——这些尚未执行，属于下一步优先项。