BTC 钱包风险检测与恢复评估 #1683

### 1. 一句话结论
这是一枚尚未完成链上交易同步、且**尚未获得明文密码**的比特币 Legacy 钱包（ID 1683），当前所有结论都基于本地文件元数据，链上资金动向仍是“未知”，需要先补齐交易同步与密码验证材料才能继续推进。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 1683，币种 BTC，主地址 `1MjF3oSyVBem5LRnZeiYJ2h6QsznFbruZu`（来源：主地址字段）。
- **文件格式**：`bitcoin_legacy_bdb`，即 Bitcoin Core 旧版 Berkeley DB 格式钱包（来源：钱包版本/格式字段）。
- **文件实体**：实际文件名为 `BitcoinLove (11).dat`，原始上传名含 `wallet.dat~1` 与 `MEGA-BONUS` 前缀，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 目录下（来源：钱包名称与路径字段）。
- **文件大小**：6,758,400 字节（约 6.45 MB），属于体积较大的钱包文件，通常意味着内部包含较多地址或历史密钥记录（来源：文件大小字段）。
- **录入与更新时间**：录入于 2026-06-23 00:58:07，最近一次更新为 2026-08-06 03:24:30，说明该钱包在约一个半月内被再次触碰或复核（来源：录入/更新时间字段）。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为“否”，即目前**没有**任何已确认的明文密码或助记词（来源：已知密码存在字段）。
- **余额标注**：业务标注“余额很小(≤阈值)”为“否”，即系统并未判定该钱包为小额钱包（来源：余额很小字段）。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”，意味着转入/转出统计为空（来源：链上交易摘要字段）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一枚来自 `fake.czb.com` 测试/演示目录下的 BTC 钱包文件，文件名带着“MEGA-BONUS”和“BitcoinLove”的字样，看起来像是一份被重命名过的历史备份。文件被归入 `real` 目录，说明它被当作真实样本对待。

我们首先确认了它的格式：`bitcoin_legacy_bdb`，这是比特币早期客户端常用的数据库结构，文件体积超过 6 MB，暗示内部密钥材料并不单薄。随后我们核对了主地址与文件路径，确认它是一份独立钱包，而非某个大钱包的碎片。

7 月到 8 月之间，该钱包记录被更新过一次（8 月 6 日），但更新内容并未改变密码状态——强证据字段依然显示“否”。同时，我们尝试在系统内拉取链上交易摘要，结果为空：页面显示“未发现已同步的交易记录”。这意味着我们目前只能看到“文件层面的事实”，看不到“链上资金的事实”。

换句话说，我们停在了一个关键岔路口：文件在手，格式已知，地址可见，但既没有密码验证成功的记录，也没有链上交易流水来佐证资金去向。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易摘要为空，未同步任何 receive 方向交易）。
- **转出记录**：未知（链上交易摘要为空，未同步任何 send 方向交易）。
- **最后活动时间**：未知（没有交易同步数据，无法推断最后转出或转入时间）。
- **说明**：主地址本身是公开可查的，但在本系统内尚未同步任何交易历史。若需判断该地址是否曾有大额进出，必须先完成链上同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：系统标注“余额很小(≤阈值)”为“否”，即该钱包**未被判定为小额/零钱钱包**。但这只是业务侧的一个粗粒度判断，不等同于链上真实余额，也不代表余额一定很大。
- **明文密码状态**：强证据字段明确为“否”，即**尚未获得任何明文密码、助记词或私钥**。所有关于“密码已破解”的猜测均不成立。
- **两者关系**：即使未来链上同步显示余额很大，也不改变当前“密码未知”的事实；反之，即使余额很小，也不能反推密码一定简单。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先在页面点击“同步交易”**，拉取主地址 `1MjF3oSyVBem5LRnZeiYJ2h6QsznFbruZu` 的完整链上流水，这是判断资金规模与方向的前提。
2. **补充钱包文件来源背景**：`MEGA-BONUS` 与 `BitcoinLove` 命名的原始出处、上传者备注、所属案件或任务编号。
3. **确认文件完整性**：核对 6,758,400 字节是否与原始备份一致，排除截断或拼接文件。
4. **检查同目录其他文件**：`/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下是否存在同名系列（如 `BitcoinLove (10).dat`、`(12).dat`），可能属于同一批生成的钱包。
5. **调取该钱包 ID 1683 的历史操作日志**：查看 2026-08-06 那次更新具体改动了哪些字段。
6. **确认“余额很小”业务阈值的具体定义**：该标注为“否”是基于什么标准（如低于 0.001 BTC 才算小），避免误读。
7. **收集密码线索材料**（仅限合规渠道）：如上传者备注、文件名中的暗示词、历史任务中与该钱包关联的文本笔记。
8. **若链上同步后余额显著**，再评估是否申请专业取证工具进行非破坏性密码恢复流程（需另行授权）。

### 7. 已尝试方向回顾（避免重复投入）
- **文件格式识别**：已完成，确认为 `bitcoin_legacy_bdb`，无需重复检测。
- **基础元数据提取**：钱包 ID、主地址、文件名、路径、大小均已记录在案，无需重复采集。
- **链上同步尝试**：当前状态为“未同步”，若页面同步功能已点击但仍无结果，应检查节点连接或地址格式，而非反复刷新。
- **密码验证**：强证据字段为“否”，说明尚未有成功的密码验证记录。**请勿在未获得新线索的情况下，对同一份文件反复投入相同测试**——那只会消耗算力而不产生新信息。
- **业务余额标注**：已确认“余额很小=否”，该字段不会因重复查看而改变，需等待链上数据来修正或确认。