BTC 钱包风险检测与恢复评估 #1020

### 1. 一句话结论

钱包 `MEGA-BONUS / wallet_2,5.dat`（BTC，主地址 `1E6bw8...XRKUk`）当前链上余额为 `0.00000000 BTC`，业务系统标注“余额很小（≤阈值）”，但**尚未获得任何明文密码或助记词**；目前无任何已同步的链上交易记录，无法确认最后活动时间。

### 2. 我们掌握的事实（证据链）

- **钱包身份**：钱包ID `1020`，币种 BTC，格式 `bitcoin_legacy_bdb`（旧版 Bitcoin Core 钱包）。
- **文件信息**：路径指向 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_wallet_2,5.dat-08b755a847b1/wallet_2,5.dat`，文件大小 `73728` 字节（约 72 KB，属于较小的钱包文件）。
- **余额状态**：当前余额 `0.00000000 BTC`；业务标注“余额很小（≤阈值）”为 `是`。
- **密码状态**：字段 `cracked_password / actual_password` 为 **否**——即没有强证据表明已拿到明文密码。
- **录入与更新时间**：录入 `2026-06-23 00:38:23`，最近更新 `2026-08-06 08:14:00`，数据标注日期 `2026-06-23 00:57:25`。
- **链上交易**：未发现已同步的交易记录（字段：无交易摘要）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

6 月 23 日凌晨，系统录入了一个名为 `MEGA-BONUS` 的 BTC 钱包文件，版本是 `bitcoin_legacy_bdb`，路径位于 `fake.czb.com` 的 review 目录下，文件大小约 72 KB。从命名和目录看，这更像是一个“待复核”的样本，而非正在使用的高价值热钱包。

录入后约 19 分钟，系统完成了数据标注（`00:57:25`），但当时并未同步到任何链上交易。之后钱包进入静默期，直到 8 月 6 日有一次状态更新（`08:14:00`），但更新内容并未改变两个关键事实：**余额仍为 0**，且**密码字段仍为“否”**。

我们目前能确认的只是“这是一个 legacy 格式的 BTC 钱包文件，内部可能存有地址与密钥材料”，但**没有任何证据表明已成功解密或拿到密码**。文件大小偏小，可能意味着地址数量不多，也可能只是某个活动钱包的残留副本。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入记录**：未同步，未知。
- **转出记录**：未同步，未知。
- **最后活动时间**：未知（页面未同步交易，无法推断）。
- **当前余额**：`0.00000000 BTC`（仅代表当前链上查询结果，不代表历史无交易）。

> 说明：由于没有同步任何交易摘要，我们**不能**判断该地址是否曾接收或转出过资金，也不能推断“最后转出时间”。如需明确，需先完成链上交易同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **“余额为 0”的业务标注**：这是基于当前链上余额 `0.00000000` 的客观事实，标注为“余额很小（≤阈值）= 是”。它只说明**当前没有可动用的资金**，不代表钱包文件本身无价值（例如可能包含历史地址或与其他钱包关联）。
- **是否拿到明文密码**：**否**。字段 `cracked_password / actual_password` 明确为“否”，即**尚未获得任何明文密码、助记词或私钥**。所有关于“已破解”的说法均不成立，当前仍处于“未解密 / 测试中”状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址完整历史（转入/转出/时间戳），这是判断钱包是否曾活跃的最直接证据。
2. **检查钱包文件内部结构**：确认 `wallet_2,5.dat` 中是否包含多个地址、密钥池大小或仅一个默认地址（可通过合规工具读取文件元数据，不涉及破解）。
3. **核对钱包名称与来源**：`MEGA-BONUS` 与路径中 `fake.czb.com` 的关联，确认该文件是测试样本、历史遗留还是恶意软件诱饵。
4. **查找同批次钱包文件**：路径中 `review` 目录下是否有其他编号钱包（如 `wallet_1,3.dat`），用于判断是否为批量生成的测试集。
5. **确认录入时的业务背景**：调取 2026-06-23 录入前后的操作日志，看是否有备注或任务单说明该钱包的用途。
6. **检查文件哈希与已知样本库比对**：若该文件曾在其他案例中出现，可能直接关联到已知结论（需提供哈希值）。
7. **补充“密码提示”或“历史口令策略”**：若业务侧有该钱包可能使用的口令规则（非明文），可缩小验证范围（仅限合规测试环境）。
8. **确认是否允许链上主动探测**：若该地址曾属于某个已知服务商，可通过公开标签（如交易所冷热钱包标记）辅助判断，但需遵守平台规则。

### 7. 已尝试方向回顾（避免重复投入）

- **余额检查**：已完成，当前为 0，且业务标注“余额很小”已确认。
- **密码状态核查**：已确认 `cracked_password` 字段为“否”，说明**未进入“已破解”阶段**，后续不应假设密码已知。
- **链上交易同步**：**尚未执行**（页面无交易摘要），这是当前最大缺口，也是下一步首要动作。
- **文件格式识别**：已确认为 `bitcoin_legacy_bdb`，排除了现代 `descriptor` 钱包格式的可能，后续无需重复做格式猜测。
- **文件大小初判**：72 KB 属于小型钱包，已记录在案，无需重复测量。

> 安全提示：以上所有操作均基于合规取证流程，不涉及任何明文密码/私钥的还原或攻击性尝试。若后续补充材料中出现敏感字段，将一律按 `[已脱敏]` 处理。