BTC 钱包风险检测与恢复评估 #1708

### 1. 一句话结论
这是一枚 **BTC 老式钱包（bitcoin_legacy_bdb）**，目前**尚未拿到明文密码**，链上交易记录**尚未同步**，因此转入/转出与最后活动时间均**未知**；业务侧“余额很小”的标注与“是否破解成功”是两回事，请勿混淆。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1708，主地址 `1MTretsBB14FKk3WEP2VPJAKnzRXhYzTck`，币种 BTC。
- **文件形态**：`wallet.dat~1 / Creativecoin (8).dat`，路径位于 `fake.czb.com/BTC/real/MEGA-BONUS_wallet.dat~1_Creativecoin (8).dat-2632870f29bd/` 下，大小 **98304 字节**。
- **格式与版本**：`bitcoin_legacy_bdb`（老式 Berkeley DB 钱包），名称中带 `Creativecoin`，推测可能涉及旧币种或分叉链，但**无字段直接证实**。
- **时间线**：录入时间 2026-06-23 00:58:08，更新时间 2026-08-06 03:52:00，数据标注日期与录入时间一致。
- **破解状态字段**：`已知密码存在（cracked_password/actual_password）= 否`，即**没有强证据表明已获得明文密码**。
- **余额标注**：`余额很小(≤阈值, 业务标注) = 否`，即业务侧**并未**将其标记为“小额/低价值”。
- **链上交易**：**未发现已同步的交易记录**，页面提示需手动点击“同步交易”才能获取更精确的转出时间。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日，这枚钱包被录入系统，当时我们拿到的是一个 98KB 的 `wallet.dat` 文件，格式是老式 BDB。从文件名里的 `Creativecoin (8).dat` 和 `MEGA-BONUS` 前缀看，它很可能来自某个旧活动或旧币种备份包，但这只是命名线索，**不能当作链上证据**。

我们首先对文件本身做了静态识别，确认它是 `bitcoin_legacy_bdb` 结构，并提取了主地址 `1MTrets...`。随后我们尝试在链上同步该地址的交易历史，但**页面显示“未发现已同步的交易记录”**——也就是说，我们目前**看不到任何转入/转出流水**，也无法判断最后活动时间。

在密码方面，我们检查了“已知密码存在”这一强证据字段，结果为**否**。这意味着：我们**尚未验证成功**任何候选密码，也没有任何已确认的明文口令。请注意，这并不代表“密码不存在”，只是**当前没有证据表明已拿到**。

8 月 6 日，钱包信息被更新过一次，但更新内容主要是元数据刷新，**并未改变破解状态与交易同步状态**。整体推进仍停留在“文件已识别、地址已提取、交易未同步、密码未验证”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活跃时间**：未知（依赖交易同步结果，当前无字段支撑）。
- **余额判断**：业务标注为“余额很小 = 否”，即**未被标记为小额**，但该标注与链上实际余额不一定等价，需以同步后的交易数据为准。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：当前字段显示“余额很小(≤阈值) = 否”，即业务侧**没有**将其归为“低价值/小额钱包”。但这只是业务分类，**不等于链上余额为 0**，也不等于“不值得处理”。
- **明文密码状态**：`cracked_password/actual_password = 否`，即**尚未获得明文密码**，也**没有验证成功**任何候选口令。所有关于“已破解”的说法均不成立。
- **重要提醒**：即使未来业务侧将余额标为 0，也**不能反推密码已拿到或已放弃**，两者必须分开记录。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出流水，确认最后活动时间与真实余额。
2. **补充钱包来源背景**：查找 `MEGA-BONUS` 与 `Creativecoin` 对应的活动/快照/空投记录，确认该文件是否来自特定分叉币或旧活动。
3. **核对文件哈希与来源路径**：确认 `2632870f29bd` 是否为原始备份批次号，能否关联到同一批其他钱包文件。
4. **检查同目录其他 `.dat` 文件**：若存在同批钱包，可能共享密码规则或助记词生成习惯，可作为旁证（仅作线索，不展开攻击细节）。
5. **确认 Creativecoin 链是否仍可访问**：若该币种有独立链或旧节点，可能提供额外交易上下文。
6. **补充“已知密码存在”字段的判定依据**：明确该字段为“否”是“未尝试”还是“尝试后失败”，避免后续重复劳动。
7. **获取钱包创建时间或最后修改时间**：文件系统元数据可能帮助缩小密码设置时间段。
8. **补充业务侧“余额很小”阈值的具体定义**：确认该标注依据是链上余额、业务估值还是历史备注。

### 7. 已尝试方向回顾（避免重复投入）
- **静态格式识别**：已完成，确认为 `bitcoin_legacy_bdb`，无需重复。
- **地址提取**：已完成，主地址已记录，无需重复。
- **链上同步**：已尝试但**未成功同步到交易记录**，下一步应优先重试，而非换工具反复扫描同一地址。
- **密码验证状态**：当前“已知密码存在 = 否”，说明**尚未有验证成功记录**；若后续要投入，应先确认是否已有候选字典或规则库，避免无方向地重复测试。
- **文件解析层面**：98KB 的 BDB 文件结构已识别，无需再次做底层格式猜测。