BTC 钱包风险检测与恢复评估 #1201

### 1. 一句话结论
该BTC钱包（ID: 1201）当前链上余额为0，业务系统标注“余额很小”，且**尚未获得明文密码**；现有证据仅能确认这是一份Bitcoin Core旧版格式（legacy/bdb）的钱包文件，交易记录未同步，无法还原任何资金流向。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1201，主地址 `1MZSBRvZvJoTM1NeafGjAm3VnfGbnFN3UC`，币种BTC。
- **文件属性**：文件名 `wallet_40BTC / wallet_40.dat`，路径位于 `.../MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_40BTC_.../wallet_40.dat`，文件大小102,400字节。
- **格式判断**：钱包版本/格式字段为 `bitcoin_legacy_bdb`，即Bitcoin Core旧版Berkeley DB格式（非现代descriptor钱包）。
- **余额状态**：当前显示余额 `0.00000000`，且业务标注“余额很小(≤阈值)”为“是”。
- **破解状态**：字段“已知密码存在(强证据: cracked_password/actual_password)”为 **否**，即目前没有已验证的明文密码。
- **交易同步**：链上交易摘要显示“未发现已同步的交易记录”，说明交易数据尚未拉取或未同步成功。
- **时间线**：录入时间 2026-06-23 00:41:08，数据标注日期 2026-06-23 00:57:32，最近更新时间 2026-08-06 11:13:00（仅文件信息更新，非交易更新）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统收录了这份名为“wallet_40BTC”的钱包文件，从命名看疑似与“40 BTC”有关，但文件名只是线索，不是余额证明。文件被放入批量审查目录（MEGA-BONUS系列，编号250），说明它来自一批待复核的旧版Bitcoin Core钱包。

我们首先确认了文件格式——legacy_bdb，这是2010年代常见的钱包类型，意味着其内部结构是旧式密钥库。随后检查了链上地址余额，发现主地址余额为0。同时，业务侧打上了“余额很小”的标注，提示该钱包在当前视角下不具备高优先级。

关于密码：我们检查了是否存在已确认的明文密码或破解成功标记，结果是否定的。也就是说，即便文件在手，目前也没有任何已验证的密码可用于打开密钥库。文件大小102,400字节，属于较小的钱包文件，可能只包含少量地址或密钥，但未解密前无法确认内部地址数量。

最后，我们尝试查看该地址的历史交易，但系统显示“未同步”，因此无法判断它过去是否曾持有大额BTC，也无法确认“40BTC”命名的由来。整个推进过程停留在“文件已归档、格式已识别、余额为零、密码未破”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无任何已确认的receive方向数据）。
- **转出记录**：未知（链上交易未同步，无任何已确认的send方向数据）。
- **当前余额**：0.00000000 BTC（仅代表当前查询时点，不代表历史峰值）。
- **重要提醒**：文件名中的“40BTC”**不能**作为历史持仓证据，需以同步后的链上交易为准。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：这是系统基于当前余额（0 BTC）和阈值规则自动生成的业务标签，仅表示“该钱包当前不值得优先投入资源”，**不代表**钱包已损坏或已成功打开。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，意味着没有任何已验证的密码、助记词或私钥可用于解锁该钱包。所有关于“已破解”的说法均不成立。
- **两者关系**：余额为0是链上事实，密码未破是文件状态，二者独立。即使未来余额不为0，密码破解状态仍需单独更新。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先在页面点击“同步交易”，获取该主地址完整历史记录，确认是否存在转入/转出及时间点。
2. **检查同批次钱包**：该文件位于“MEGA-BONUS...250_”目录，建议对比同批次其他钱包文件是否已同步或已破解，寻找共性线索。
3. **核实文件名来源**：查找“wallet_40BTC”命名的出处（如备份清单、导入日志），确认是否对应某笔历史充值记录。
4. **补充钱包内部结构信息**：在合规工具下读取该BDB文件的地址数量、密钥类型（如是否含HD种子），无需破解密码即可获取元数据。
5. **确认录入批次背景**：调取2026-06-23录入前后的工单或案件编号，了解该钱包来自哪个渠道（如旧设备备份、交易所遗留）。
6. **交叉验证地址**：将该主地址放入区块链浏览器（如Blockchain.info）人工核对，绕过内部同步缺失问题。
7. **检查文件完整性**：确认102,400字节文件是否完整（对比同目录其他wallet_*.dat大小），排除截断或损坏导致无法解析。
8. **评估优先级**：鉴于余额为0且密码未破，建议业务侧确认是否继续投入，或转入冷备归档。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是Bitcoin Core legacy/bdb格式，无需重复检测文件类型。
- **余额检查**：已通过内部系统查询主地址余额为0，无需重复查询同一数据源。
- **密码状态核查**：已确认不存在“已知密码”标记，无需再次检索cracked_password字段。
- **交易同步尝试**：当前显示未同步，若页面同步功能已点击但仍无数据，应排查同步服务而非重复点击。
- **文件路径与命名解析**：已记录完整路径和文件名，无需重新定位文件。
- **未尝试方向**：尚未进行链上外部浏览器核验、同批次文件对比、文件内部元数据解析——这些是下一步的增量工作。