BTC 钱包风险检测与恢复评估 #1126

### 1. 一句话结论
该钱包（ID 1126）为BTC Legacy格式钱包文件，当前链上余额显示为 **3.01244000 BTC**，但**尚未获得明文密码**，且**未同步到任何链上交易记录**，因此无法确认该余额的转入/转出历史与时间线。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID 1126，主地址 `1CG7MeBho3B68Y3LqSudRMxXZWmQkA9YUD`（BTC网络）。
- **文件信息**：格式为 `bitcoin_legacy_bdb`，文件名 `MEGA-BONUS / wallet_3,01.dat`，大小 57,344 字节，路径指向 `fake.czb.com` 数据集下的 `real` 目录。
- **余额状态**：字段 `balance=3.01244000`，且业务标注“余额很小(≤阈值)”为 **否**，说明该余额在业务层面**不被视为小额或零值**。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有强证据表明已获取明文密码**。
- **交易同步**：链上交易摘要明确显示“未发现已同步的交易记录”，且提示需手动点击同步才能获取更精确的“最后转出时间”。
- **时间线**：录入时间 2026-06-23 00:40:03，数据标注日期 2026-06-23 00:57:29，最后更新时间 2026-08-06 09:52:47（仅表示元数据变更，不代表链上活动）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们在 6 月 23 日凌晨将这个名为“MEGA-BONUS”的 BTC 钱包文件纳入了取证队列。文件本身是典型的 Legacy BDB 结构，大小约 56 KB，里面包含一个主地址。录入后我们第一时间做了两件事：一是给钱包拍了“快照”（记录余额与文件哈希），二是尝试建立链上关联。

但推进到这里遇到了一个明显的“断点”：**链上数据没有同步回来**。也就是说，我们目前看到的 3.01244000 BTC 只是文件内记录的“账面数字”，它是否真实存在于链上、何时转入、是否已被转走，都因为缺少同步记录而无法验证。与此同时，密码验证工作也在进行，但截至 8 月 6 日最后一次更新，**没有任何字段能证明我们已经拿到了明文密码**。简单说：我们手里有一把锁和一份账本，但既没打开锁，也没能核对账本上的钱是否还在原地。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要显示“未发现已同步的交易记录”，因此无法确认任何一笔 `direction=receive` 的入账。
- **转出记录**：未知。同样因未同步，无法确认任何一笔 `direction=send` 的出账，也无法提供“最后转出时间”。
- **余额说明**：当前 3.01244000 仅为钱包文件内的静态数值，**不能等同于链上可花费余额**，需同步后交叉验证。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注层面**：该钱包余额为 3.01244000 BTC，业务标注“余额很小(≤阈值)”为 **否**。这意味着在业务规则里，它**不属于“余额为0/可忽略”的类别**，仍具备继续投入分析的价值。
- **密码获取层面**：字段 `cracked_password/actual_password = 否`，即**尚未获得明文密码**。所有关于“已破解”的结论均不成立，当前仍处于“持有文件但无法解锁”的状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先执行链上交易同步**：补齐该地址的完整交易列表，确认 3.01244000 是否真实在链、最后活动时间。
2. **核对文件哈希与来源路径**：确认 `eeed4eccc03f` 后缀是否为原始采集哈希，排除文件被篡改或复制错版本的可能。
3. **调取钱包创建时间线索**：检查 BDB 文件内部元数据（如 `mtime`、密钥池时间戳），推断钱包生成的大致时间窗口。
4. **排查同名关联文件**：搜索同一目录下是否存在 `MEGA-BONUS` 相关的其他 `wallet*.dat` 备份，防止多版本混淆。
5. **收集地址关联情报**：在公开链上浏览器查询 `1CG7MeBho3B68Y3LqSudRMxXZWmQkA9YUD` 的标签或历史交互地址，建立周边画像。
6. **补充“已知密码”的旁证材料**：如曾有过密码提示、部分片段或历史笔记，请作为补充材料提交，而非仅依赖自动测试结果。
7. **确认业务标注“余额小”的判定阈值**：明确该字段的对比基准，便于判断 3.01244000 在业务中的实际优先级。
8. **检查钱包文件是否包含多个地址**：Legacy BDB 可能内含密钥池，需确认主地址之外是否还有未扫描的找零地址或关联地址。

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件解析**：已确认钱包格式为 `bitcoin_legacy_bdb`，文件大小与路径已记录，无需重复做基础格式识别。
- **密码验证尝试**：已进行过一轮验证流程，但结果明确为“未拿到密码”（`cracked_password=否`），**不应再盲目重复同一批测试素材**，除非有新的线索词或字典来源。
- **链上同步尝试**：当前状态为“未同步”，说明此前同步动作未完成或未触发，下一步应直接解决同步接口问题，而非重新分析文件。
- **余额业务判定**：已完成“是否小额”的标注（否），该结论已固化，无需重新评估。