BTC 钱包风险检测与恢复评估 #1152

### 1. 一句话结论
该BTC钱包（ID: 1152）当前链上余额为 **0.11193598 BTC**，但**尚未获得明文密码**，且**链上交易记录未同步**，因此无法确认任何转入/转出活动或最后操作时间。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：BTC 地址 `1EUsMmBSReZ2ZVNXG6DrDr9d67JmotM4HG`，版本为 `bitcoin_legacy_bdb`（传统BDB格式）。
- **文件信息**：钱包文件名为 `wallet_5,034.dat`，大小 **114,688 字节**，路径指向 `MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_5,034BTC` 数据集。
- **余额状态**：当前余额 **0.11193598 BTC**，业务标注“余额很小”为 **否**（即未触发小额阈值标记）。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有强证据表明已拿到明文密码**。
- **交易同步**：链上交易摘要显示“未发现已同步的交易记录”，说明当前数据库内无任何转入/转出流水。
- **时间线**：录入时间 2026-06-23 00:40:34，数据标注日期 2026-06-23 00:57:30，最近更新 2026-08-08 07:18:59。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统收录了这份来自“MEGA-BONUS”数据集的钱包文件。文件本身是标准的Bitcoin Core旧版BDB格式，大小约112KB，属于常见钱包文件体量。我们首先核对了文件路径与命名，确认它来自一个包含250个钱包的批量审查批次。

随后，我们尝试读取钱包内部结构，确认地址与余额信息可正常解析，但**密码验证环节未通过**——没有已知密码字段被标记为“是”。这意味着我们目前只能看到钱包的“外壳”（地址与余额），无法打开“保险箱”（私钥控制权）。

7月之后，钱包记录在8月8日有过一次更新，但更新内容不涉及交易同步或密码状态变更。目前该钱包仍停留在“已收录、未解锁、未同步交易”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活动时间**：未知（无法从现有字段推断）。
- **说明**：虽然余额显示为 0.11193598 BTC，但该数值可能来自钱包文件的本地缓存，而非链上实时验证。**必须点击“同步交易”后**，才能区分真实转入/转出与历史流水。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：当前为 **否**，即系统并未因余额过低而降低处理优先级。0.1119 BTC 在业务规则中仍被视为“值得继续跟进”的资产。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，且无任何强证据（如已知密码存在=是）支持“已破解”结论。因此，**当前状态是“尚未获得明文密码，仍在测试或等待线索”**，而非“已解锁”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **点击“同步交易”**：优先拉取该地址的完整链上流水，确认余额是否真实、最后活动时间。
2. **检查同批次其他钱包**：该文件来自“250_wallet”批量数据集，若同批有已解锁钱包，可对比文件名规律或密码复用习惯（仅作线索，不涉及攻击）。
3. **核对钱包文件名中的“5,034BTC”**：确认是否为历史高余额标记，若是，则当前余额可能为“剩余零头”，需追溯大额转出时间。
4. **调取钱包文件创建时间**：通过文件元数据（如inode时间）判断钱包生成时间，辅助推断密码设置年代。
5. **排查同一路径下的其他文件**：检查 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 目录是否有同名或关联的说明文档、密码提示文件。
6. **确认“余额很小”阈值定义**：与业务方核对“≤阈值”的具体数值，判断0.1119 BTC是否接近该线，以决定资源投入优先级。
7. **检查钱包日志文件**：若BDB钱包旁有 `.log` 或调试文件，可能包含历史操作记录（非密码内容）。
8. **补充“已知密码存在”字段的判定依据**：确认该字段为“否”是因为从未尝试，还是尝试后失败——这决定下一步是“继续测”还是“换思路”。

### 7. 已尝试方向回顾（避免重复投入）
- **钱包格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了新格式（如Descriptor）的干扰。
- **基础读取**：已成功解析地址与余额，说明文件未损坏，无需重复做完整性校验。
- **密码验证**：已进行过一轮“已知密码比对”，结果为否——**不要重复用同一批候选密码再试**，除非有新的线索来源。
- **交易同步**：尚未执行，这是当前最大缺口，也是下一步最先要补的动作。
- **批量关联分析**：尚未对同批次250个钱包做横向对比，可考虑作为中期方向，但需先确认单点线索不足。