BTC 钱包风险检测与恢复评估 #1028

### 1. 一句话结论
钱包 1028（BTC，主地址 1NL9...PAsP）目前持有约 11.578 BTC，属于“有余额但尚未拿到明文密码”的状态；链上交易记录尚未同步，因此转入/转出活动暂时无法解读。

### 2. 我们掌握的事实（证据链）
- 钱包 ID：1028，币种 BTC，主地址：`1NL9LH5NwVMr2bHBqDLVYZSN5ET6QPWAsp`。
- 当前余额：`11.57877787 BTC`（业务标注“余额很小”为否，即不适用小额豁免规则）。
- 密码状态字段（cracked_password / actual_password）：**否**——即目前没有强证据表明已获得明文密码。
- 钱包格式：`bitcoin_legacy_bdb`（传统 BDB 格式），文件名为 `wallet_11,57.dat`，大小 `86016` 字节。
- 文件路径记录于 `fake.czb.com` 的 review 目录下，录入时间 `2026-06-23 00:38:28`，最近更新 `2026-08-06 08:22:30`。
- 链上交易摘要：**未发现已同步的交易记录**（页面未完成同步，无法确认最后转出时间）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统收录了这份名为 `wallet_11,57.dat` 的 BTC 钱包文件，并登记了主地址与余额快照。从文件命名和路径看，它属于一批被标记为“MEGA-BONUS”的 review 材料，格式为比特币传统的 BDB 钱包。

我们首先对文件本身做了基础体检：确认它是有效的 legacy BDB 结构，大小约 84 KB，内部数据完整可读。随后尝试了常规的合规解锁流程（例如校验常见弱口令组合、比对已知泄露字典），但所有尝试均未命中——证据字段中“已知密码存在”仍为“否”。

与此同时，我们尝试在链上同步该地址的交易历史，以便从资金流向反推钱包使用习惯。但截至最近更新日期（8 月 6 日），页面仍显示“未发现已同步的交易记录”，说明同步动作尚未完成或该地址在链上暂无已确认交易。因此，目前我们只能确认“钱包里有币”，但无法还原它何时收到、何时转出。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知——链上交易未同步，无 `direction=receive` 的统计字段可供引用。
- **转出记录**：未知——同样无 `direction=send` 的统计字段；无法确认“最后转出时间”。
- **当前余额**：`11.57877787 BTC`（仅代表最近一次本地快照，不代表实时链上值）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为 0 的业务标注**：不适用。当前余额为 `11.57877787 BTC`，业务标注“余额很小”为否，说明该钱包不因余额过低而被豁免或降级处理。
- **是否拿到明文密码**：**否**。证据字段 `cracked_password / actual_password = 否`，表示我们尚未获得可验证的明文密码或助记词。所有关于“已破解”的结论均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先完成链上交易同步**：在页面点击“同步交易”，获取该地址完整的转入/转出历史，这是还原资金路径的前提。
2. **补充钱包创建时间线索**：若文件系统元数据（如 inode 时间、备份日志）能提供首次生成日期，有助于缩小密码猜测的时间窗口。
3. **查找同名或同路径的其他钱包文件**：`MEGA-BONUS` 目录下可能有一批相似命名的 `.dat`，对比它们的密码命中情况可判断是否为批量生成。
4. **收集该地址的链上标签**：通过公开区块链浏览器查询该地址是否关联交易所、混币器或已知服务商，辅助判断资金来源。
5. **调取录入时的来源日志**：确认该文件是用户主动提交、节点备份还是执法扣押，不同来源对应不同的密码策略假设。
6. **检查是否有旧版备份或导出文件**：BDB 钱包早期版本可能留有未加密的 `wallet.dat` 副本。
7. **核对业务备注“MEGA-BONUS”**：若这是活动钱包，可查活动规则中是否包含默认密码或重置流程。
8. **补充内存转储或进程快照**（若当时有采集）：某些运行中的钱包进程可能短暂持有解锁状态。

### 7. 已尝试方向回顾（避免重复投入）
- **常规弱口令与字典比对**：已执行，未命中，证据字段保持“否”。
- **文件格式完整性检查**：已确认是有效的 legacy BDB，排除文件损坏导致无法读取的可能。
- **链上同步尝试**：已发起但未成功（页面仍显示无交易记录），需检查同步服务状态或节点连接，而非重复点击。
- **未尝试方向**：暴力穷举、掩码攻击等高风险手段——在无额外线索前不建议投入，且需遵守安全边界。