BTC 钱包风险检测与恢复评估 #1079

### 1. 一句话结论
钱包 1079（BTC，主地址 13tcvsyZWLpvvTrLteNmkXXRUfA4GTpsoq）当前链上余额为 108.06006134 BTC，但**尚未获得明文密码**，且**链上交易记录未同步**，因此无法确认任何转入/转出活动或最后动账时间。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1079，名称 `MEGA-BONUS / wallet_108,06.dat`，版本格式 `bitcoin_legacy_bdb`。
- **文件信息**：路径 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet_108,06.dat-cbad643a8af7/wallet_108,06.dat`，大小 106,496 字节。
- **余额字段**：108.06006134 BTC（业务标注“余额很小”=否，即不适用小额豁免规则）。
- **密码状态**：`cracked_password/actual_password` 字段为“否”，即**无强证据表明已拿到明文密码**。
- **链上同步状态**：交易摘要显示“未发现已同步的交易记录”，即当前没有可用的转入/转出统计。
- **时间线**：录入 2026-06-23 00:39:13，数据标注 2026-06-23 00:57:27，最后更新 2026-08-06 09:12:00。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入该 BTC 钱包，文件格式为 legacy BDB，属于较早期的 Bitcoin Core 钱包类型。我们随即对文件进行了基础校验，确认其大小与路径完整，并读取到余额字段为 108.06 BTC——这是一个值得关注的数字，因此业务上未将其标记为“小额忽略”。

随后我们尝试从钱包文件中提取可用于验证身份的信息，但**关键字段显示“已知密码存在=否”**，说明到目前为止，我们还没有拿到任何可用的明文密码或助记词。与此同时，我们尝试同步链上交易，但页面返回“未发现已同步记录”，意味着我们无法从链上确认这笔余额是何时、以何种方式进入该地址的。

简单说：**我们有一把锁着的保险箱，知道里面有多少钱，但既没有钥匙，也没有账本记录它是怎么被放进去的。**

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 统计）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 统计）。
- **最后动账时间**：无法确认。若需精确时间，需先在页面点击“同步交易”获取链上数据。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：否。即该钱包余额 108.06 BTC 远高于小额阈值，**不适用“余额为0/小额即放弃”的业务规则**，仍需继续推进。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段明确为“否”，因此当前状态是“尚未获得明文密码”，任何关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的历史转入/转出记录，确认余额来源与最后动账时间。
2. **补充钱包文件来源信息**：该文件来自 `fake.czb.com` 数据集，需确认其原始备份环境（如旧服务器、导出批次），可能包含密码线索的上下文。
3. **检查同批次钱包文件**：查找同一路径下其他 `wallet_*.dat` 文件，看是否有已知密码的相邻钱包，用于推断密码生成习惯（仅作关联分析，不涉及破解）。
4. **核对钱包名称含义**：`MEGA-BONUS` 可能对应某活动或批次命名，建议从业务活动记录中查找该名称对应的注册信息或备注。
5. **确认文件哈希与完整性**：比对 `cbad643a8af7` 前缀对应的哈希记录，确保文件未被篡改或截断。
6. **调取录入时的操作日志**：查看 2026-06-23 00:39 前后的系统日志，确认是否有操作员备注或导入批次说明。
7. **检查地址 13tcvs... 的公开标签**：通过区块链浏览器查看该地址是否关联已知交易所或服务商标签（仅观察，不操作）。
8. **补充密码提示/找回材料**：若该钱包来自业务方，可向资产来源方索取密码提示问题或历史工单记录。

### 7. 已尝试方向回顾（避免重复投入）
- **基础文件校验**：已完成，文件大小与路径正常，无损坏迹象。
- **密码状态检查**：已确认当前无已知明文密码，**无需重复尝试“验证已知密码”流程**。
- **链上同步尝试**：已尝试但未成功，当前无交易数据，**不要重复点击同步**，应先检查节点连接或 API 配置。
- **业务小额豁免判断**：已确认不适用，**不要因“余额小”而关闭工单**。
- **格式识别**：已确认为 `bitcoin_legacy_bdb`，无需重新判断钱包类型。