BTC 钱包风险检测与恢复评估 #1224

### 1. 一句话结论
该钱包（ID 1224）目前链上交易记录未同步，余额极低（0.000003 BTC），且**尚未获得明文密码**；当前最关键的缺口是“交易同步”与“密码验证结果”，而非余额本身。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：BTC 地址 `1HZhupAtgGRzrC7FYqVJQ8RvZnY2byKKeF`，格式为 `bitcoin_legacy_bdb`（旧版 Bitcoin Core 钱包）。
- **文件信息**：钱包名 `wallet_20.dat`，路径指向 `MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_20BTC...`，文件大小 73,728 字节（约 72 KB），属于典型 BDB 结构。
- **余额状态**：当前余额 `0.00000300 BTC`，业务系统已标注“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有强证据表明已拿到明文密码**。
- **录入与更新时间**：录入于 2026-06-23 00:41，最近更新于 2026-08-06 11:34，数据标注日期为 2026-06-23 00:57。
- **链上交易**：系统显示“未发现已同步的交易记录”，即当前没有可用的转入/转出统计。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最初在 2026 年 6 月 23 日被录入系统，当时被归入一个名为“MEGA-BONUS”的批量钱包目录，文件名带有“250_wallet_20BTC”的标记，暗示它可能来自一批被集中管理的旧版 Bitcoin Core 钱包。

我们首先确认了文件格式与路径，判断它属于 `bitcoin_legacy_bdb`，即 Bitcoin Core 0.4~0.6 时代常用的 Berkeley DB 钱包结构。这类钱包通常包含密钥池与加密元数据，但**是否加密、密码是否已知，必须依赖后续验证**。

随后我们检查了链上同步状态，发现该地址没有拉取到任何交易记录。这意味着我们无法从链上判断它历史上是否真的持有过 20 BTC，也无法确认最后的活动时间。业务系统虽然标注了“余额很小”，但这只是基于当前同步到的 UTXO 余额，**并不代表历史价值**。

最后，我们核对了密码状态字段，结论是“否”——即目前没有已验证的明文密码。整个推进过程目前停留在“文件已定位、格式已识别、链上未同步、密码未验证”的阶段。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。当前未同步到任何 `direction=receive` 的交易。
- **转出记录**：未知。当前未同步到任何 `direction=send` 的交易。
- **说明**：由于链上交易摘要为空，我们**不能**判断该地址是否曾收到或转出过大额 BTC。文件名中的“20BTC”仅是一个命名线索，不能作为交易事实。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：这是基于当前同步余额（0.000003 BTC）的自动判断，仅表示该地址当前可花费余额极低，**不代表钱包文件无价值**（可能历史余额已转出，或存在未同步的交易）。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 为“否”，即没有已验证的密码。我们**没有**声称破解成功，也没有任何证据支持“已拿到密码”的说法。
- **重要区分**：余额低 ≠ 密码已破解。即使余额为 0，钱包文件仍可能包含历史密钥或地址信息，需要单独评估。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先执行链上交易同步**：补齐该地址的完整交易历史，确认是否存在历史大额转入/转出。
2. **检查钱包文件是否加密**：通过文件头或元数据判断是否启用了密码保护（仅做状态判断，不涉及破解）。
3. **核对同批次其他钱包**：该目录下还有约 250 个类似钱包，对比它们的余额与密码状态，判断本钱包是否属于“批量空钱包”或“历史残留”。
4. **查找钱包创建时间线索**：从文件时间戳或目录命名推断创建年代，辅助判断是否属于早期测试钱包。
5. **确认“20BTC”命名的来源**：是业务备注、历史快照，还是随机命名？需要向数据提供方核实。
6. **补充该地址的地址标签或备注**：如果系统内有历史备注（如来源批次、归属用户），请一并提供。
7. **检查是否存在备份文件**：如 `wallet_20.dat.bak` 或同目录下其他副本，可能包含更完整的密钥数据。
8. **提供该钱包的“预期用途”说明**：是待恢复资产、涉案扣押，还是测试样本？不同用途决定后续优先级。

---

### 7. 已尝试方向回顾（避免重复投入）
- **文件格式识别**：已确认是 `bitcoin_legacy_bdb`，无需重复判断格式。
- **余额检查**：已确认当前余额极低，但未同步交易，**不要**基于当前余额直接结案。
- **密码状态核查**：已确认 `cracked_password` 为“否”，**不要**假设密码已拿到。
- **链上同步**：已尝试但未成功（或未执行），下一步应优先补做，而不是重复检查文件本身。
- **未尝试方向**：尚未进行同批次对比、文件备份查找、命名来源核实——这些是新的突破口。