BTC 钱包风险检测与恢复评估 #1165

### 1. 一句话结论
该BTC钱包（ID 1165）当前链上余额为31.01004429 BTC，但**尚未获得明文密码**，且**未同步到任何链上交易记录**，目前无法确认资金转入/转出历史，也暂不具备解密条件。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：主地址 `1N6CWghN2tySBDsXKjmEHRs8sh8S3vDFSi`，币种BTC，钱包ID 1165。
- **余额数据**：当前显示余额 `31.01004429 BTC`（来自业务系统字段，非链上实时同步）。
- **文件信息**：文件名为 `wallet_31,01.dat`，大小 `110592 字节`，格式标注为 `bitcoin_legacy_bdb`（Bitcoin Core 旧版Berkeley DB格式）。
- **时间线**：录入时间 `2026-06-23 00:40:43`，数据标注日期 `2026-06-23 00:57:31`，最近更新时间 `2026-08-06 10:33:00`。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**，即**无强证据表明已获得明文密码**。
- **业务标注**：`余额很小(≤阈值)` 为 **否**，说明该钱包余额在业务上**不属于“小额忽略”类别**。
- **交易同步**：链上交易摘要显示 **“未发现已同步的交易记录”**，即当前系统内无任何转入/转出流水。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统录入了一个名为“MEGA-BONUS”系列的BTC钱包文件，路径指向 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 下的一个250钱包批次目录。文件本身是标准的Bitcoin Core旧版格式（`bitcoin_legacy_bdb`），大小约108KB，属于典型的含密钥数据的钱包文件。

录入后，系统在当天完成了数据标注（6月23日 00:57），并持续跟踪。到8月6日，该钱包记录被再次更新，但更新内容仅涉及元数据刷新，**并未带来密码验证成功的消息**——因为“已知密码存在”字段至今仍为“否”。

在推进过程中，我们首先确认了钱包文件格式与路径归属，随后检查了业务系统内的余额标注（31.01 BTC），并尝试在页面触发链上交易同步。但截至目前，**同步结果为空**，意味着我们无法从链上确认这笔余额是何时、以何种方式进入该地址的。整个推进过程停留在“文件已就位、余额已标注、但密码未破、交易未同步”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。系统内无任何已同步的 `direction=receive` 交易流水。
- **转出记录**：未知。系统内无任何已同步的 `direction=send` 交易流水。
- **说明**：当前显示的31.01 BTC余额仅来自业务系统字段，**未经链上交易数据交叉验证**。如需确认该地址历史上是否发生过转入/转出，必须先完成交易同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注层面**：该钱包余额为31.01 BTC，**不属于“余额很小（≤阈值）”的类别**，即业务上认为该钱包有继续处理的价值，不应因金额小而放弃。
- **密码获取层面**：字段 `cracked_password/actual_password = 否`，表示**目前没有任何强证据证明已拿到明文密码或助记词**。所有关于“已破解”的说法均不成立，当前仍处于“未获得明文密码”状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先触发链上交易同步**：在钱包详情页点击“同步交易”，获取该地址完整的转入/转出历史，验证31.01 BTC余额的真实来源。
2. **补充钱包文件来源信息**：提供该 `.dat` 文件的上游来源（如导出设备、备份时间、所属用户），有助于缩小密码猜测范围。
3. **收集关联钱包线索**：查找同批次（250钱包目录）中其他钱包是否已有成功解密的案例，若有，可参考其密码构成规律（仅作参考，不涉及具体规则）。
4. **查找钱包创建时的备注或文件名线索**：文件名含“MEGA-BONUS”及“31,01BTC”，可能对应活动名称或金额提示，可作为密码联想素材。
5. **确认该地址是否曾出现在其他案件或交易记录中**：通过地址反查链上公开数据（如区块浏览器），看是否有历史交易关联到已知实体。
6. **补充钱包文件哈希值**：记录文件MD5/SHA256，便于后续与其它副本比对，确认是否为唯一版本。
7. **检查同批次其他钱包的余额与密码状态**：判断该批次是否存在共性（如统一密码策略），但需注意合规边界。
8. **确认业务系统余额字段的统计口径**：明确31.01004429是“钱包内余额”还是“地址余额”，避免与链上实际UTXO混淆。

### 7. 已尝试方向回顾（避免重复投入）
- **文件格式识别**：已确认是 `bitcoin_legacy_bdb` 旧版格式，排除了非标准或混淆格式的可能。
- **业务余额核对**：已读取系统标注余额31.01 BTC，但尚未与链上数据比对。
- **密码状态核查**：已确认“已知密码存在”字段为否，**未进行任何成功的密码验证**。
- **交易同步尝试**：已尝试查看链上交易摘要，结果为“未发现已同步记录”，说明同步动作尚未完成或该地址确实无历史交易。
- **未投入方向**：尚未进行任何涉及密码字典、规则生成或暴力测试的尝试（因无明文密码证据，且受安全规则限制，此类操作不应在无授权情况下展开）。