BTC 钱包风险检测与恢复评估 #1041

### 1. 一句话结论
该BTC钱包（ID:1041，主地址 `1Lm2yY7hzW47mvm96SzvXGaUrh11GhgTao`）当前链上余额为 **281.10088449 BTC**，但**尚未获得明文密码**，且**链上交易记录未同步**，因此无法确认任何转入/转出活动。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包名称 `MEGA-BONUS / wallet_281.dat`，格式为 `bitcoin_legacy_bdb`（Bitcoin Core 旧版 Berkeley DB 格式）。
- **文件信息**：路径指向 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet_281.dat-190a200164f8/wallet_281.dat`，文件大小 **241,664 字节**。
- **余额状态**：业务标注“余额很小”为 **否**，即当前余额 **281.10088449 BTC** 未被判定为小额或零余额。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**，即**没有**强证据表明已获取明文密码。
- **数据时间线**：录入时间 `2026-06-23 00:38:37`，数据标注时间 `2026-06-23 00:57:25`，最近更新时间 `2026-08-06 08:34:00`。
- **链上同步**：交易摘要显示“未发现已同步的交易记录”，即当前系统内**无任何 direction=receive/send 的统计字段**。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包从 6 月 23 日被纳入台账，当时我们记录下它的文件名、路径和格式——一个典型的 Bitcoin Core 旧版钱包文件。从文件大小看，它包含完整的密钥数据库结构，而非空壳。

我们首先确认了它的“身份”：`MEGA-BONUS` 这个名称暗示它可能来自某个活动奖励或批量生成的钱包组。接着我们检查了业务标注，确认余额 **281 BTC** 属于高价值目标，绝非“可忽略”的小额钱包。

随后我们尝试了常规的合规验证流程（如检查是否有配套的密码提示文件、历史备份记录等），但截至目前，**没有任何字段或证据表明我们已拿到明文密码**。同时，由于链上同步功能尚未在该钱包页面触发，我们**无法从链上数据反推任何交易行为**——这既是当前的事实，也是下一步必须补上的关键缺口。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：**未知**。系统内无任何已同步的 `direction=receive` 记录。
- **转出（send）**：**未知**。系统内无任何已同步的 `direction=send` 记录。
- **最后活跃时间**：**未同步/未知**。如需精确的“最后转出时间”，必须先点击页面“同步交易”按钮拉取链上数据。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：该钱包余额 **281.10088449 BTC**，业务标注“余额很小”为 **否**。即**不满足**“余额为0或极小”的自动跳过条件，属于需要继续跟进的资产。
- **明文密码获取状态**：字段 `cracked_password/actual_password` 为 **否**。即**尚未获得明文密码**，所有关于“已破解”的猜测均无事实依据。当前仍处于“持有钱包文件但无法解密”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先触发链上交易同步**：补齐该地址的转入/转出历史，确认资金最后活跃时间与流向。
2. **查找同批次钱包（MEGA-BONUS 系列）**：若存在同命名规则的其他钱包文件，可能共享密码策略或备份习惯。
3. **检索服务器本地日志**：查找该钱包文件路径下是否有临时备份、`.txt` 密码提示或历史版本文件。
4. **核查录入人/来源渠道**：确认该钱包是用户提交、链上监控发现还是批量导入，来源可能附带额外线索。
5. **检查文件元数据**：通过文件时间戳（创建/修改时间）与录入时间对比，判断是否为原始拷贝。
6. **关联地址标签**：在区块链浏览器中查询 `1Lm2yY7hzW47mvm96SzvXGaUrh11GhgTao` 是否被标记为交易所、赌博平台或已知服务商地址。
7. **排查同路径目录**：`/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下是否存在其他 `.dat` 文件，可能包含同名钱包的不同版本。
8. **补充密码线索材料**：若业务侧有用户提交的“找回密码”申请或历史工单，可提供相关提示词（非明文密码）用于合规验证。

### 7. 已尝试方向回顾（避免重复投入）
- **业务标注筛查**：已确认该钱包不属于“余额极小可忽略”类别，无需重复检查此标记。
- **基础字段核验**：已确认钱包格式（`bitcoin_legacy_bdb`）、文件大小、路径均完整，无需重新采集文件信息。
- **密码状态确认**：已核实 `cracked_password` 字段为否，**无需再次尝试任何未经验证的“破解成功”假设**——在拿到强证据前，默认未破解。
- **链上数据现状**：已确认当前无同步交易记录，**不要基于“无记录”推断钱包为“冷钱包”或“从未交易”**，必须先完成同步再下结论。