BTC 钱包风险检测与恢复评估 #1149

### 1. 一句话结论
该BTC钱包（ID: 1149）当前链上余额为 **0.00020622 BTC**，属于“余额很小”的业务标注范畴；**尚未获得明文密码**，且链上交易记录未同步，转入/转出情况暂无法确认。

---

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1149，主地址 `1LnaG36xn4CVWwVux9PzCYXXvkvgNF1966`，币种 BTC。
- **钱包文件**：`wallet_100-3.dat`（别名 `wallet_100BTC-3`），格式为 `bitcoin_legacy_bdb`，文件大小 155,648 字节。
- **路径线索**：存储于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_100BTC-3_wallet_100BTC-3_wallet_100-3.dat-a98ed7bec7c0/` 目录下。
- **余额状态**：当前余额 0.00020622 BTC，业务系统标注“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即无强证据表明已获取明文密码。
- **链上数据**：未发现已同步的交易记录（数据标注日期为 2026-06-23，更新于 2026-08-06）。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最初在 2026 年 6 月 23 日凌晨被录入系统，文件名带着“MEGA-BONUS”和“250_wallet”的标记，看起来像是批量整理的一批“高价值命名”钱包之一。录入时系统自动抓取了文件格式、路径和大小，并生成了主地址。

我们首先检查了链上同步情况——结果发现**没有任何已同步的交易记录**。这意味着我们目前无法从链上确认这个地址是否曾经有过大额进出，也无法判断它是不是真的像文件名暗示的那样“曾经装过 100 BTC”。

接着我们核对了密码状态：目前没有强证据（如 `cracked_password` 或 `actual_password` 字段）表明我们已经拿到了明文密码。也就是说，**这个钱包文件虽然躺在硬盘里，但门还是锁着的**。

余额方面，系统显示当前只有 0.00020622 BTC，业务侧已将其标记为“余额很小”。但请注意：这个标注只代表“当前余额低”，**并不等于“我们已经解开钱包并确认里面没钱”**——因为密码还没拿到，我们看到的余额可能只是链上公开数据，而非钱包内完整历史。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活动时间**：无法确认（需先在页面点击“同步交易”获取最新链上数据）。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：这是系统基于当前链上余额（0.00020622 BTC）自动触发的阈值判断，**仅代表金额低，不代表钱包已解锁**。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，因此我们**尚未获得任何明文密码、助记词或私钥**。所有关于“已破解”的说法均不成立。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先在页面点击“同步交易”，获取该地址完整历史记录，确认是否曾有大额进出。
2. **检查同名钱包文件**：路径中带有 `wallet_100BTC-3` 和 `250_wallet` 字样，建议检索同目录下是否存在 `wallet_100-1.dat`、`wallet_100-2.dat` 等系列文件，可能共享密码或助记词规则。
3. **核对录入批次信息**：查找 2026-06-23 前后录入的其他钱包，确认是否来自同一批“MEGA-BONUS”数据集，便于批量分析。
4. **验证文件完整性**：确认 `wallet_100-3.dat` 是否被截断或损坏（文件仅 155KB，对 legacy BDB 格式而言偏小，需检查是否包含完整密钥池）。
5. **检查钱包名称线索**：文件名中的“100BTC”可能是历史余额提示，也可能是命名者的主观标记，需结合链上数据验证。
6. **调取钱包创建时间**：若文件系统保留元数据（如 inode 时间），可辅助判断钱包生成时间，与链上活跃期交叉比对。
7. **排查关联地址**：通过区块链浏览器查询主地址的“邻居交易”（如有），看是否与已知其他钱包地址有过交互。
8. **补充密码线索材料**：若业务侧有该钱包来源的备注、邮件、压缩包注释等，请一并提供，有助于缩小验证范围。

---

### 7. 已尝试方向回顾（避免重复投入）
- **链上同步**：已尝试但未成功获取交易记录，需重新触发同步，而非重复手工查询。
- **密码验证**：已进行过初步验证流程，但未产生“已知密码存在”的强证据，后续应避免在无新线索时重复同一批猜测。
- **文件格式解析**：已确认钱包为 `bitcoin_legacy_bdb` 格式，无需再对格式本身做重复检测。
- **余额判断**：已确认当前余额极低，但该结论不构成“放弃”的理由——因为未解锁前，无法排除钱包内存在其他派生地址或找零地址的可能性。