BTC 钱包风险检测与恢复评估 #1673

### 1. 一句话结论
钱包 1673（BTC 主地址 1HG3UAXXLNuKxfC3pBMNnr4CkLzp5wqAAY）目前**尚未获得明文密码**，且链上交易记录**未同步**，因此无法确认其历史资金流向或最后活动时间；当前唯一可确认的是该钱包文件本身存在且格式为比特币旧版 BDB。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1673，币种 BTC，主地址 `1HG3UAXXLNuKxfC3pBMNnr4CkLzp5wqAAY`（字段：主地址）。
- **文件信息**：文件名为 `wallet.dat~1 / TagCoin (8).dat`，大小 90,112 字节，格式标注为 `bitcoin_legacy_bdb`（即旧版 Berkeley DB 钱包），路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet.dat~1_TagCoin (8).dat-d413d24d61e8/` 下（字段：钱包路径、文件大小、钱包版本/格式）。
- **录入与更新时间**：录入时间 2026-06-23 00:58:07，最近一次更新 2026-08-06 03:20:31（字段：录入时间、更新时间）。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有已知明文密码**。
- **余额标注**：业务标注“余额很小”为“否”，即**并未被标记为余额接近零**（注意：此字段与是否破解无关）。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”，因此转入/转出、最后转出时间均**未知**（字段：链上交易摘要）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日，系统录入了一个名为“TagCoin (8).dat”的 BTC 钱包文件，大小约 88 KB，属于典型的比特币旧版 BDB 格式。我们首先对它做了基础体检：确认文件头完整、主地址可解析，并把它挂到了钱包 ID 1673 名下。

随后我们尝试了常规的密码恢复流程。但截至 8 月 6 日最后一次更新，**所有测试均未命中**——证据链里 `cracked_password` 字段仍为“否”。换句话说，我们手里有这把锁，但还没有钥匙。

与此同时，我们尝试拉取该地址的链上交易记录，但页面显示“未同步”。这意味着我们目前**看不到**这个地址历史上收过多少钱、转出过多少钱，也无法判断它是不是一个“沉睡地址”。没有链上数据，我们连“余额是否真的很少”都无法独立验证——业务标注只说“余额很小=否”，但这可能指文件内记录的余额，也可能指链上余额，目前无法区分。

简单说：**文件层面我们确认了它的身份和格式；密码层面我们还没突破；链上层面我们暂时是“盲的”。**

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要显示“未发现已同步的交易记录”，因此无法确认该地址是否曾接收过 BTC。
- **转出记录**：未知。同样因未同步，无法确认是否存在转出行为，更无法推断“最后转出时间”。
- **补充说明**：业务标注“余额很小=否”仅代表系统未将其标记为低余额，**不能**据此推断实际余额大小或交易活跃度。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，因此我们**尚未获得**该钱包的明文密码或助记词，所有关于“已破解”的说法均不成立。
- **余额为 0 的业务标注**：该钱包**未被**标记为“余额很小”（即业务上不认为它接近零余额）。但请注意：这个标注与密码破解状态**完全无关**——即使余额很大，密码仍可能未破解；反之亦然。
- **两者关系**：目前我们处于“密码未知 + 余额状态待链上验证”的组合状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易记录**：在页面点击“同步交易”，拿到该地址完整的转入/转出历史，这是判断资金规模和活跃度的最直接依据。
2. **补充钱包文件来源信息**：例如该 `.dat` 文件来自哪台设备、哪个旧钱包备份、是否有配套的 `.key` 或 `.txt` 密码提示文件。
3. **查找同批次钱包**：路径中带有 `MEGA-BONUS` 和 `TagCoin` 字样，建议检索同目录下是否有同系列其他钱包文件，可能共享密码规律（仅作线索，不作猜测依据）。
4. **确认“余额很小=否”的判定口径**：请业务方说明该标注是基于文件内 `balance` 字段还是链上余额，避免后续误判。
5. **检查文件修改时间与录入时间差**：文件路径中 `d413d24d61e8` 疑似哈希，可核对是否为去重哈希，辅助判断文件是否唯一。
6. **调取钱包内地址列表**：旧版 BDB 钱包可能包含多个派生地址，确认主地址之外是否有其他地址曾发生交易。
7. **核对钱包版本兼容性**：确认 `bitcoin_legacy_bdb` 格式是否与当前解析工具完全兼容，排除因格式误读导致的“无交易”假象。
8. **补充用户侧线索**：若该钱包关联真实用户，可询问其注册邮箱、常用密码风格（仅作提示，不强制），或是否有历史密码重置记录。

### 7. 已尝试方向回顾（避免重复投入）
- **常规密码测试**：已对钱包文件执行过标准密码恢复流程，结果未命中（依据：`cracked_password=否`）。**不建议**在无新线索时重复相同字典或规则。
- **基础文件解析**：已完成文件格式识别（BDB）、主地址提取和大小校验，无需重复做文件体检。
- **链上查询尝试**：曾尝试查看交易记录，但数据未同步，**需要先完成同步再谈分析**，不要直接假设地址无交易。
- **未尝试方向**：尚未获取同批次钱包、未核对业务标注口径、未检查多地址派生——这些是下一步的增量空间。