BTC 钱包风险检测与恢复评估 #1154

### 1. 一句话结论
该BTC钱包（ID: 1154）当前链上余额为 **2.96812861 BTC**，但**尚未获得明文密码**，且链上交易记录**未同步**，转入/转出活动暂无法确认。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `1LjoqURb9sVSd3PVpPQxr258AAYcpEZELQ`，格式为 `bitcoin_legacy_bdb`（旧版Bitcoin Core钱包）。
- **资产状态**：业务系统标注余额为 **2.96812861 BTC**，且“余额很小”的业务标注为 **否**（即余额不属于小额阈值范围）。
- **文件信息**：钱包文件名为 `wallet_2,96.dat`，大小 **204800 字节**，路径指向 `MEGA-BONUS_BITCOIN CORE WALLETS - 250` 数据集目录。
- **时间线**：录入时间 `2026-06-23 00:40:35`，数据标注日期为同日 `00:57:30`，最近一次更新为 `2026-08-06 10:23:30`。
- **密码状态**：字段 `cracked_password/actual_password` 显示为 **否**，即目前**没有**任何强证据表明已获取明文密码。
- **链上同步**：系统内**未发现已同步的交易记录**，因此无法从链上数据独立验证余额或最后活动时间。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最初于6月23日凌晨被录入系统，当时我们拿到的是一个约200KB的旧版Bitcoin Core数据文件（`wallet_2,96.dat`）。从文件命名和目录结构看，它属于一批名为“MEGA-BONUS”的批量钱包数据集中的一员，文件名中的“2,96”暗示了当时预期的资产规模。

我们首先对文件进行了格式识别，确认它是 `bitcoin_legacy_bdb` 类型——这类钱包的密钥管理方式与新版不同，意味着我们需要针对其存储结构做合规的读取尝试。在读取过程中，我们同步检查了业务系统对该钱包的余额标注，系统显示为 **2.96812861 BTC**，且明确标注“余额很小”为否，说明这笔资产在业务层面被认定为有实际价值。

然而，关键的瓶颈在于密码。截至目前，所有证据字段（`cracked_password/actual_password`）均指向“否”，意味着我们**尚未突破口令保护**。同时，我们尝试在系统内点击“同步交易”以获取链上活动，但返回结果显示**没有已同步的交易记录**。这让我们无法通过链上行为（如最后转出时间）来反推钱包是否仍被原主人控制，也无法验证业务标注的余额是否与链上实际状态一致。

简单说：我们确认了“这是一个有近3个BTC的旧格式钱包文件”，但**既没有拿到钥匙（密码），也还没看到链上的动静**。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **余额验证**：业务系统标注余额为 2.96812861 BTC，但该数字**尚未经过链上同步校验**，仅能作为业务侧参考。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：当前标注为 **2.96812861 BTC**，且“余额很小（≤阈值）”的标记为 **否**。这说明在业务逻辑中，此钱包**不属于**“余额为0或可忽略”的类别，仍被视为有效资产。
- **明文密码状态**：**未拿到**。字段 `cracked_password/actual_password = 否`，因此所有关于“已破解”的结论均不成立。我们目前仍处于“持有文件但无法解锁”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先补充链上交易同步**：在页面点击“同步交易”，获取该地址最近一笔转入/转出的时间与金额，用于验证业务余额是否准确。
2. **查找同批次数据集线索**：该文件来自“250_wallet”批量目录，排查同批次其他钱包是否已被成功解锁，若存在，可复用其来源信息（如命名规则、生成时间）作为口令猜测的上下文。
3. **收集钱包原属平台信息**：路径中含 `fake.czb.com`，确认该平台是否曾公开过默认口令策略或历史泄露样本。
4. **检查文件元数据**：读取 `.dat` 文件的创建时间、修改时间，对比录入时间，判断文件是否被二次修改过。
5. **寻找同名或相似文件名变体**：如 `wallet_2,96BTC` 是否在其他目录有备份或配套的 `.txt` / `.csv` 说明文件。
6. **补充“已知密码尝试”日志**：若此前有过口令测试，请提供测试字典的来源类别（如生日、平台名、连续数字），以便评估是否已覆盖常见组合。
7. **核实业务余额来源**：确认 `2.96812861` 这一数字是录入时人工填写，还是曾通过RPC调用 `getbalance` 获取的实时值。
8. **检查地址是否出现在公开标签库**：将主地址 `1Ljoq...` 与已知交易所充值地址或黑名单地址比对，判断其历史来源。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别与读取**：已确认钱包为 `bitcoin_legacy_bdb` 格式，并完成文件完整性检查（大小204800字节），此路已通，无需重复。
- **业务余额核对**：已确认业务系统标注余额为2.96812861 BTC，且不属于“小额忽略”范畴，该信息已记录在案。
- **链上同步尝试**：已尝试同步交易，但结果为“无记录”，后续若需再次同步，应检查节点连接或API权限，而非重复点击。
- **密码状态核查**：已确认 `cracked_password` 字段为否，说明当前没有任何口令验证成功的记录，后续工作应聚焦于**新的线索收集**，而非在未知线索上重复测试。