BTC 钱包风险检测与恢复评估 #1070

### 1. 一句话结论
这是一枚BTC链上的“遗留型”小额钱包（ID 1070），当前链上余额约0.00075345 BTC，业务侧已将其标注为“余额很小”，但截至目前**尚未获得任何明文密码或助记词**，破解工作仍处于“未成功”阶段。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1070，币种BTC，主地址 `1DEiGZGGEhRctqf9GbvHkrHPtr6EQ2rPvw`（以1开头，符合Legacy/P2PKH地址格式）。
- **文件载体**：文件名为 `wallet_2,695.dat`，格式标注为 `bitcoin_legacy_bdb`（即Bitcoin Core旧版Berkeley DB钱包），文件大小417,792字节（约408KB）。
- **路径来源**：存放于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/unknown/` 目录下，目录名含 `MEGA-BONUS` 与 `unknown`，暗示该文件可能来自某个批量导入或遗留备份。
- **时间戳**：录入时间 2026-06-23 00:39:07，数据标注日期为同日00:57:27；最近一次更新为 2026-08-06 09:11:01（约44天后）。
- **余额状态**：当前余额0.00075345 BTC（按业务阈值判定为“很小”）。
- **密码证据**：字段 `cracked_password/actual_password` 明确为“否”，即**无强证据表明已拿到密码**。
- **链上同步**：交易摘要显示“未发现已同步的交易记录”，即转入/转出历史尚未拉取。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统在例行扫描时于 `unknown` 目录下发现了这个名为 `MEGA-BONUS_wallet_2,695` 的遗留钱包文件。文件格式识别为 `bitcoin_legacy_bdb`，说明它来自Bitcoin Core早期版本，这类钱包通常以 `dat` 文件形式保存密钥与地址。

我们首先对文件本身做了静态体检：确认其大小正常（约408KB），主地址能被正确解析，且余额查询显示仅有0.00075345 BTC——这个数字远低于常规“有价值目标”的阈值，因此业务侧在当天凌晨就给它打上了“余额很小”的标签。

随后我们尝试了常规的密码恢复流程，但截至8月6日最后一次更新，**没有任何一条测试路径返回“已知密码存在”的强证据**。换句话说，我们手里有一把锁（钱包文件），也看到了锁后面的零钱（余额），但开锁的钥匙（明文密码）始终没有出现。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要显示“未发现已同步的交易记录”，因此该地址历史上是否收到过BTC、何时收到，目前均无法确认。
- **转出记录**：未知。同样因未同步交易，无法判断是否存在过转出行为，更无法推断“最后转出时间”。
- **当前余额**：0.00075345 BTC（仅代表当前时点余额，不代表历史流水）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：标注为“余额很小（≤阈值）”，这是基于金额大小的**业务分级判断**，与破解进度无关。该标注仅说明此钱包经济价值低，不意味着“已放弃”或“已清空”。
- **密码状态**：字段 `cracked_password/actual_password = 否`，即**尚未获得明文密码**。所有关于“已破解”或“验证成功”的结论均不成立，当前仍处于密码未知状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址完整的历史流水，确认资金何时进入、是否曾转出——这是目前最大的数据缺口。
2. **检索同批次文件**：查找同目录下其他 `MEGA-BONUS_*` 钱包文件，确认是否存在批量生成规律（如文件名编号、日期戳）。
3. **核对文件名语义**：`wallet_2,695` 中的“2,695”可能是序号或数量，尝试在周边文件或日志中寻找对应关系。
4. **检查文件元数据**：查看 `dat` 文件的创建时间、修改时间与系统日志是否吻合，判断其来源是导出备份还是迁移残留。
5. **搜索关联备注**：在钱包路径上级目录（如 `fake.czb.com/BTC/`）查找是否有配套的说明文档、CSV清单或备注文件。
6. **复查录入日志**：调取2026-06-23 00:39前后的系统操作日志，确认该文件是通过批量导入还是手动上传进入系统的。
7. **评估地址历史声誉**：在公开区块链浏览器中查询该地址是否曾关联已知交易平台或高风险标签（仅作背景参考，不构成密码线索）。
8. **补充密码线索材料**：若业务侧存在该钱包的“密码提示”“历史密码库”或“持有人登记信息”，请提供以缩小测试范围。

### 7. 已尝试方向回顾（避免重复投入）
- **静态格式识别**：已确认是 `bitcoin_legacy_bdb` 格式，排除了现代HD钱包或加密格式的误判。
- **基础密码测试**：已执行常规的密码恢复流程，但未命中任何强证据（`cracked_password = 否`），无需在相同字典或规则上重复投入。
- **余额评估**：已完成业务阈值标注，确认该钱包属于“小额”级别，后续不建议投入高成本计算资源。
- **文件完整性检查**：文件大小与格式均正常，未发现截断或损坏迹象，排除“因文件损坏导致无法解析”的可能性。

---
**安全提示**：本报告仅基于现有字段进行合规复盘，不涉及任何密码还原细节或攻击步骤。若后续补充新线索，请通过正规取证流程提交，避免在明文环境中传递敏感材料。