BTC 钱包风险检测与恢复评估 #1669

### 1. 一句话结论
这是一枚**尚未破解、链上交易未同步**的 Legacy 格式 BTC 钱包（ID 1669），目前**没有拿到明文密码**，且**业务侧“余额很小”的判断与“是否破解成功”是两回事**——我们离“打开它”还有关键证据缺口。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：ID 1669，主地址 `1FfNXMKGr33x181AWEiSLcUaQx75QwhekM`，币种 BTC。
- **文件格式**：`bitcoin_legacy_bdb`，即 Bitcoin Core 旧版 Berkeley DB 钱包格式。
- **文件载体**：`wallet.dat~1 / Index (11).dat`，大小 **131072 字节（128 KB）**，路径位于 `fake.czb.com/BTC/real/MEGA-BONUS_wallet.dat~1_Index (11).dat-084f6e5bf441/` 下。
- **时间线**：录入时间 `2026-06-23 00:58:06`，最近更新 `2026-08-06 03:12:30`，数据标注日期与录入时间相同。
- **密码状态**：字段 `cracked_password / actual_password` 明确为 **“否”**，即**没有已知明文密码**。
- **余额标注**：业务标注“余额很小（≤阈值）”为 **“否”**——注意，这仅代表业务侧未将其标记为小额钱包，**不代表链上余额已核实**。
- **链上交易**：**未发现已同步的交易记录**，页面提示需手动点击“同步交易”才能获取更精确的转入/转出时间。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，这个钱包被录入系统。从文件名里的 `MEGA-BONUS` 和 `Index (11)` 看，它像是从某个批量备份目录里捞出来的“编号第 11 份”文件——这类文件常见于旧硬盘镜像或服务器备份归档中。

我们第一时间确认了它的“身份”：Legacy BDB 格式，意味着它是 Bitcoin Core 0.4~0.16 时代常用的钱包结构，128 KB 的大小说明里面可能只存了少量密钥对（空钱包或近空钱包往往就这么大）。

随后我们检查了“密码是否已知”这个关键字段——结果是**否**。也就是说，我们手里只有这个文件本身，没有配套的密码记录、没有助记词备份、也没有任何“密码提示”旁证。

7 月到 8 月间，系统对该钱包做了更新（8 月 6 日有一次状态刷新），但**没有新增任何破解成功标记**。同时，链上交易同步状态始终为空——我们既看不到这个地址历史上收过多少钱，也看不到它最后动过没有。这让我们无法判断“它到底是不是一个值得继续投入的目标”。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：**未知**。当前系统未同步到任何 `direction=receive` 的交易。
- **转出记录**：**未知**。当前系统未同步到任何 `direction=send` 的交易。
- **最后活动时间**：**未知**。页面明确提示“如需更精确的最后转出时间，请先点击同步交易”。
- **结论**：在完成链上同步之前，任何关于“这个钱包曾经有多少钱、钱去哪了”的说法都只是猜测，不能作为判断依据。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：字段显示“余额很小（≤阈值）= 否”。这仅代表业务侧**没有**把它归入“小额/低价值”类别——可能是余额未知所以未标记，也可能是余额确实高于阈值但尚未核实。**它不等于“余额为 0”，也不等于“余额很大”。**
- **明文密码状态**：`cracked_password / actual_password = 否`，即**尚未获得任何明文密码或验证成功的口令**。所有关于“已破解”的说法均不成立。
- **两者关系**：即使未来业务标注变为“余额为 0”，也**不代表密码已拿到**——这是两个完全独立的维度。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **在页面点击“同步交易”**，拉取主地址 `1FfNXMKGr33x181AWEiSLcUaQx75QwhekM` 的完整链上历史——这是当前最大信息缺口。
2. 查找该钱包文件同目录下的**姊妹文件**（如 `Index (1).dat` ~ `Index (20).dat`），确认是否属于同一批备份、是否存在配套密码表。
3. 检索 `MEGA-BONUS` 相关业务记录，确认该钱包归属的活动/用户上下文，可能关联到密码提示或备份习惯。
4. 检查文件元数据（创建时间、修改时间、原始机器路径），判断它来自哪台主机、哪个备份周期。
5. 寻找该钱包对应的 **wallet.dat 同目录日志**（如 `debug.log`、`db.log`），可能记录最后一次正常解锁时间。
6. 确认该地址是否曾在其他案件/情报中出现过（如已知交易对手方），以辅助判断价值。
7. 若业务侧有“余额阈值”的具体定义，请补充该钱包的**预估余额来源**（是链上查询还是业务估算）。
8. 补充该钱包录入时的**来源说明**（导入方式、原始压缩包名称等），帮助还原背景。

### 7. 已尝试方向回顾（避免重复投入）
- **密码已知性检查**：已确认系统内无任何 `cracked_password` 或 `actual_password` 记录，无需再次检索“已知密码”字段。
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需重复做格式探测。
- **文件完整性**：文件大小 131072 字节，结构完整可读，不存在“文件损坏导致无法处理”的问题。
- **链上同步**：**尚未执行**——这是下一步首要动作，此前未做过同步尝试，故不存在“重复投入”问题。
- **破解尝试**：系统未记录任何“已尝试但失败”的破解日志，因此当前**没有可回顾的破解投入**；后续若启动，应记录每次尝试的规则与耗时，避免盲目重复。