BTC 钱包风险检测与恢复评估 #1647

### 1. 一句话结论
钱包 1647（BTC，bitcoin_legacy_bdb）在业务侧被标记为“MEGA-BONUS / wallet_7941.dat”，余额字段显示 7941.06786151 BTC，但链上交易尚未同步、且没有任何“已知密码存在”的强证据，因此当前既不能确认余额可动用，也尚未获得明文密码。

### 2. 我们掌握的事实（证据链）
- 钱包ID：1647；币种：BTC；格式：bitcoin_legacy_bdb。
- 余额字段：7941.06786151；业务标注“余额很小”= 否。
- 已知密码存在（cracked_password/actual_password）：否。
- 主地址：1Ehwksp8WVVzonyA8X115vuqddn2VWyoer。
- 钱包名称：MEGA-BONUS / wallet_7941.dat；文件大小 598016 字节。
- 路径位于 /www/czb-wallet-common/datasets/fake.czb.com/BTC/review/... 目录下。
- 录入时间 2026-06-23 00:56:23；更新时间 2026-08-13 23:21:24；数据标注日期 2026-06-23 00:58:05。
- 链上交易摘要：未发现已同步的交易记录。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026-06-23 被录入，标注日期几乎与录入同步，说明它一开始就被当作一个待复核对象，而不是已确认可用的资产。它的命名“MEGA-BONUS”和路径中的 fake.czb.com/BTC/review 提示：它来自一个批量数据集，且处于“复核”阶段。随后在 2026-08-13 有一次更新时间，说明系统对它做过一次状态刷新，但刷新结果并没有带来“已知密码存在=是”的强证据。整个过程里，我们掌握的是文件层面的元数据（大小、格式、路径、地址、余额字段），而不是可验证的链上活动或密码验证结果。因此目前的推进程度是：钱包已被登记、被标注、被复核过一次，但尚未跨过“密码验证成功”和“链上交易确认”这两道关键门槛。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
链上交易摘要明确写的是“未发现已同步的交易记录”。因此：
- 转入：未知（没有 direction=receive 的统计字段）。
- 转出：未知（没有 direction=send 的统计字段）。
- 最后转出时间：未知；需要先在页面点击同步交易才可能获得更精确数据。
在缺少同步交易的情况下，不能根据余额字段推断任何转入/转出方向。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- 余额为 0 的业务标注：本钱包“余额很小（≤阈值）”= 否，即业务上没有把它标成小额/零余额。
- 是否拿到明文密码：cracked_password/actual_password = 否，因此尚未获得明文密码，仍处于未验证/仍在测试状态。
- 余额字段 7941.06786151 只代表记录中的数值，不等于“可动用余额”，也不等于“已破解”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 在页面执行“同步交易”，补齐链上转入/转出记录与最后活动时间。
2. 补充该钱包的创建/导出背景，确认它是否来自真实用户还是测试数据集。
3. 核对路径中 fake.czb.com 的语义，确认该数据集是否为演练/伪造样本。
4. 补充文件哈希与来源批次，便于与同批钱包做关联分析。
5. 确认 bitcoin_legacy_bdb 的具体版本与派生方式（仅记录元数据，不涉及密码内容）。
6. 补充该主地址在链上的公开余额与交易计数，与本地余额字段交叉验证。
7. 记录 2026-08-13 更新时具体变更了哪些字段，判断复核动作的性质。
8. 若后续出现 cracked_password/actual_password=是，再单独记录验证成功的时间与来源。

### 7. 已尝试方向回顾（避免重复投入）
- 已做钱包登记与元数据标注（录入、标注、更新三次时间点）。
- 已做一次状态刷新（2026-08-13 更新），但未产生密码强证据。
- 已检查链上交易摘要，结果为“未同步”，因此重复查看同一摘要不会带来新信息。
- 在 cracked_password/actual_password 仍为“否”的情况下，重复围绕“是否已破解”做推断没有意义，应先补交易同步与来源背景。