BTC 钱包风险检测与恢复评估 #1794

### 1. 一句话结论

这是一枚录入于2026年6月的BTC Legacy格式钱包（ID 1794），目前**尚未获得明文密码**，且链上交易记录**未同步**，因此无法确认其真实余额与最后活动时间；当前所有结论均基于本地文件元数据，而非链上验证。

### 2. 我们掌握的事实（证据链）

- **钱包身份**：主地址 `1KHjYniPdjiLnwDxBkxjs1rTJDpqdFPNea`，币种 BTC，钱包ID 1794。
- **文件格式**：`bitcoin_legacy_bdb`（Bitcoin Core 旧版 Berkeley DB 钱包），文件名为 `ENCRYPTED_REAL_PVKIMPORTED.dat`，大小 81920 字节。
- **来源路径**：位于 `fake.czb.com/BTC/real/MEGA-BONUS_basepara revisar2_...` 目录下，名称含 “basepara revisar2” 与 “MEGA-BONUS”，暗示该文件可能来自某次批量导入或测试集。
- **加密状态**：文件名含 `ENCRYPTED_REAL_PVKIMPORTED`，且业务字段 `cracked_password/actual_password` 明确为 **否**，即尚未验证出明文密码。
- **录入与更新时间**：录入于 `2026-06-23 00:58:17`，最近更新于 `2026-08-06 05:04:29`，说明在约一个半月内有过处理动作。
- **余额标注**：业务标注“余额很小”为 **否**，但这只是本地标注，并非链上确认。
- **交易同步**：当前**未发现已同步的交易记录**，页面提示需手动点击“同步交易”才能获取链上转入/转出明细。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

6月23日，系统在 `fake.czb.com` 的 `real` 目录下发现了一个名为 `MEGA-BONUS_basepara revisar2` 的文件夹，里面存放着一个 80KB 的 `.dat` 文件。从命名看，这像是一批“真实私钥导入”的加密钱包备份，文件名里的 `ENCRYPTED_REAL_PVKIMPORTED` 直接点明了它的身份——加密过的、含真实私钥的导入文件。

我们首先确认了它的格式是 `bitcoin_legacy_bdb`，也就是老版本 Bitcoin Core 使用的钱包数据库。这类文件通常包含密钥、地址元数据以及交易历史缓存。文件大小 81920 字节，属于较小的钱包，可能只包含少量地址。

随后我们检查了业务系统里的“已知密码”标记，结果明确为 **否**。这意味着到目前为止，我们还没有一个被验证过的密码能解开这个文件。同时，我们注意到系统里有一条“余额很小”的业务标注，但它的值为 **否**——这并不代表余额很多，而是说明该钱包**没有被业务方标记为“低价值/可忽略”**，因此仍需认真对待。

最后，我们尝试查看链上交易，但系统显示“未同步”。也就是说，我们目前**看不到任何转入/转出记录**，无法从链上侧面验证这个地址是否活跃、何时最后动过。整个推进过程目前停留在“文件已定位、格式已识别、密码未破、链上未验证”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入记录**：未知。系统未同步任何交易数据，无法确认该地址是否收到过 BTC。
- **转出记录**：未知。同样因未同步，无法确认是否存在转出行为或最后转出时间。
- **补充说明**：主地址本身是公开的，理论上可通过区块链浏览器查询，但当前系统内**没有同步结果**，因此本报告不臆测任何交易方向或金额。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **明文密码状态**：**尚未获得**。业务字段 `cracked_password/actual_password` 为“否”，说明没有已验证的密码可用。任何关于“已破解”的说法都是不成立的。
- **余额标注状态**：业务标注“余额很小”为 **否**，但这只是录入时的本地判断，不代表链上真实余额。且由于交易未同步，**不能**据此推断余额为0或余额很大。
- **重要区分**：即使未来链上显示余额为0，也不等于密码已找到；反之，即使密码找到了，也需要链上同步才能确认资产情况。目前两者均无定论。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **在页面点击“同步交易”**，获取该地址的链上转入/转出记录，确认地址是否活跃、最后活动时间。
2. **通过区块链浏览器**（如 blockstream.info）直接查询主地址 `1KHj...Nea` 的余额与交易历史，作为系统同步的交叉验证。
3. **检查同目录 `MEGA-BONUS_basepara revisar2` 下是否有其他文件**（如说明文档、密码提示txt、历史版本dat），这类测试集常附带线索。
4. **核对录入时间附近的业务日志**，确认该钱包是从哪个上游流程导入的，是否有对应的“密码池”或“备注字段”未同步到当前表。
5. **检查钱包文件内部的时间戳元数据**（非攻击性读取），确认文件创建/最后修改时间，辅助判断使用周期。
6. **排查同一批次导入的其他钱包ID**，看是否有同批钱包已被成功解锁，若有则其密码规则或来源可能有参考价值。
7. **确认“basepara revisar2”这一命名的含义**，可能是西班牙语“检查/复核”之意，结合“MEGA-BONUS”，推测来自某活动奖励复核流程，可回溯活动文档。
8. **补充该钱包的业务备注字段**（如来源URL、关联用户名、工单号），当前数据表中未见这些信息，是重要缺口。

### 7. 已尝试方向回顾（避免重复投入）

- **文件格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了其他钱包格式的可能，后续无需再对格式做猜测。
- **密码存在性检查**：已确认业务系统中无“已知密码”记录，因此**无需再次查询密码字段**，应转向其他线索来源。
- **基础文件信息采集**：文件名、路径、大小、时间戳均已记录在案，无需重复采集。
- **链上同步尝试**：系统显示未同步，但页面有同步入口，说明可能已尝试过自动同步但未成功，下一步应优先手动触发或换用外部浏览器查询，而非反复点击系统同步按钮。