BTC 钱包风险检测与恢复评估 #1244

### 1. 一句话结论
该BTC钱包（ID: 1244）当前链上余额为0，且**尚未获得任何明文密码或助记词**；现有“余额很小”仅为业务侧标注，不等同于破解成功，案件仍处于“取证分析、未突破”阶段。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：BTC主地址 `1HfmBEHe8CNtFRybMJB7azNND61xjEKGUx`，格式为 `bitcoin_legacy_bdb`（Bitcoin Core 旧版钱包）。
- **文件信息**：钱包文件名为 `wallet_9,43.dat`，大小 73,728 字节，存放于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_9,43BTC_wallet_9,43BTC_wallet_9,43.dat-97046e6e8a45/` 目录下。
- **时间线**：录入时间 2026-06-23 00:41:41，数据标注日期 2026-06-23 00:57:33，最近一次更新 2026-08-06 11:54:26。
- **余额状态**：链上余额为 `0.00000000` BTC；业务侧标注“余额很小（≤阈值）”为 `是`。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为 **否**，即目前没有已验证的明文密码。
- **交易同步**：链上交易摘要显示“未发现已同步的交易记录”。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统录入了一个名为“wallet_9,43BTC”的旧版Bitcoin Core钱包文件，大小约72KB，属于典型的BDB格式遗留钱包。我们首先对文件本身做了静态体检，确认其格式合法、主地址可解析，并记录了钱包名称与存放路径。

随后，我们尝试将钱包接入链上数据做关联分析，但页面显示“未发现已同步的交易记录”。这意味着我们目前**无法确认该地址历史上是否发生过转入或转出**，也无法定位“最后活动时间”。在密码层面，我们检查了强证据标记，结论是 `cracked_password = 否`——也就是说，我们尚未拿到任何可用的明文口令或助记词，所有关于“已破解”的说法都不成立。

目前该钱包的余额字段为0，业务侧将其标注为“余额很小”。需要特别说明：这个标注只是基于当前链上余额的业务判断，**不代表我们成功解密了钱包**，也不代表钱包内部没有历史交易数据（只是尚未同步）。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。当前未同步到任何 `direction=receive` 的交易。
- **转出记录**：未知。当前未同步到任何 `direction=send` 的交易。
- **最后活动时间**：未同步/未知。
- **说明**：余额显示为0，可能是“从未有过交易”，也可能是“历史有交易但已转空且未同步”。在点击“同步交易”并拿到完整交易列表之前，我们无法对资金流向做任何确定性判断。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小/为0”**：这是基于链上余额 `0.00000000` 的客观事实，仅用于业务筛选优先级，**与破解进度无关**。
- **是否拿到明文密码**：**否**。强证据字段明确显示 `cracked_password/actual_password = 否`，即目前没有任何已验证的密码、助记词或私钥。所有关于“已拿到密码”的说法均属臆断。
- **当前结论**：钱包文件在手，但访问控制尚未突破；余额为0与密码未破解是两个独立维度，不可混为一谈。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先点击页面“同步交易”**，拉取该地址完整链上历史，确认是否存在转入/转出记录及最后活动时间。
2. 补充该钱包文件的**来源背景**（如：来自哪批扣押设备、案件编号、原始持有人信息），有助于判断密码设置习惯。
3. 查找同批次（`MEGA-BONUS_BITCOIN CORE WALLETS - 250`）中**其他钱包文件**，看是否存在共用口令或相同命名规律（仅作关联分析，不涉及破解）。
4. 调取该钱包文件**创建时间与修改时间的元数据**，辅助判断使用周期。
5. 检查同一目录下是否有**配套的 .conf 配置文件或备份文本**，可能包含线索（如钱包标签、旧密码提示）。
6. 若案件允许，向持有人或相关方**询问口令线索**（如生日、纪念日等社会工程信息，需合规授权）。
7. 补充该地址在**其他区块链浏览器**上的标签或备注信息（如交易所充值地址标记）。
8. 确认该钱包是否曾连接过特定节点或服务商，调取**节点日志或RPC调用记录**（需环境支持）。

### 7. 已尝试方向回顾（避免重复投入）
- **静态格式识别**：已确认是 `bitcoin_legacy_bdb` 格式，文件结构完整，无需重复做格式探测。
- **基础余额核查**：已确认链上余额为0，无需再次查询当前余额。
- **密码状态检查**：已核对强证据字段，确认 `cracked_password = 否`，无需重复验证“是否已破解”。
- **交易同步**：已尝试查看链上交易摘要，但结果为“未同步”，下一步应直接执行同步操作，而非再次刷新摘要页。
- **业务标注确认**：已明确“余额很小”仅为业务筛选标记，后续复盘不应将其误读为“破解成功”或“已转空”。