BTC 钱包风险检测与恢复评估 #1074

### 1. 一句话结论
该BTC钱包（ID:1074）当前链上余额为 **17.82021765 BTC**，但**尚未获得明文密码**，且**未同步到任何链上交易记录**，目前处于“有币但无法打开、交易历史未知”的取证停滞阶段。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：主地址 `1PCLJ9snXauRbqmx2FxfbTqpPiYCTvcJDL`，币种 BTC。
- **余额状态**：当前显示余额 **17.82021765 BTC**，业务标注“余额很小(≤阈值)”为 **否**，即该余额不属于小额钱包。
- **密码状态**：字段 `cracked_password/actual_password` = **否**，即**没有强证据表明已拿到明文密码**。
- **文件信息**：钱包名 `MEGA-BONUS / wallet_17,82-2.dat`，格式 `bitcoin_legacy_bdb`（老式Bitcoin Core钱包），文件大小 **73728 字节**，路径指向 `fake.czb.com` 数据集下的 `real` 目录。
- **时间线**：录入时间 2026-06-23 00:39:11，数据标注 2026-06-23 00:57:27，最后更新 2026-08-07 11:08:37（约1个半月未变动）。
- **链上数据**：**未发现已同步的交易记录**，因此无法从现有数据判断最后转出/转入时间。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统收录了这个名为“MEGA-BONUS”的比特币钱包文件。从文件格式（`bitcoin_legacy_bdb`）和大小（73728字节）看，这是一个典型的早期Bitcoin Core钱包，内部包含密钥数据库。当时录入的余额为17.82 BTC，业务方标注它“不算小额”，意味着值得投入资源处理。

我们首先检查了密码状态——结论是**没有已知密码**。这意味着钱包文件虽然躺在服务器上，但里面的币目前是“看得见、摸不着”的。随后我们尝试在页面触发“同步交易”，希望从链上拉取这个地址的收支历史，以便至少确认它最后一次活跃是什么时候。但截至8月7日最后一次更新，**同步结果仍然为空**，没有返回任何交易记录。

换句话说，现在的局面是：我们手里有一个带币的钱包文件，但既没有钥匙（密码），也没有账本（交易历史）。整个推进过程卡在了“数据不全”这一步，而不是“技术攻破”那一步。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：**未知**。链上交易摘要未同步到任何 `direction=receive` 的记录。
- **转出记录**：**未知**。链上交易摘要未同步到任何 `direction=send` 的记录。
- **补充说明**：当前显示的 17.82 BTC 余额来自钱包文件的本地记录，并非链上同步验证后的结果。如需确认该余额是否真实可动，必须先完成交易同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即业务方不认为这是需要放弃的小额钱包，余额 17.82 BTC 具有实际价值。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，不存在任何强证据表明密码已被还原或验证成功。所有关于“已破解”的说法均不成立。
- **重要区分**：钱包“有余额”和“能打开”是两回事。当前仅确认前者，后者仍处于未完成状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址完整的 `direction=receive/send` 历史，确认余额真实性与最后活跃时间。
2. **补充钱包来源背景**：查找 `MEGA-BONUS` 名称对应的业务活动、活动页面或客服记录，推测密码设置习惯（如活动奖励钱包常用简单口令）。
3. **检查同批次钱包文件**：路径中 `fake.czb.com/BTC/real/` 下是否存在其他类似命名的钱包（如 `wallet_XX,XX.dat`），若有已破解案例，可参考其密码规律（仅作内部参考，不公开细节）。
4. **调取录入时的备注信息**：2026-06-23 录入前后是否有工单、邮件或聊天记录提及该钱包的密码线索。
5. **核对文件哈希与来源路径**：确认该 `.dat` 文件是否从某台旧服务器/备份盘迁移而来，迁移记录可能附带密码提示。
6. **检查钱包文件修改时间**：文件系统元数据（如 mtime）可辅助判断该钱包最后被本地客户端打开的时间，间接推测密码设置时期。
7. **尝试离线只读解析**：在不尝试破解的前提下，用合规工具读取钱包内的非加密元数据（如地址标签、备注），看是否有用户留下的提示。
8. **补充“已知密码存在”的证据**：若未来有新的情报源（如用户主动提交、其他案件关联）指向密码，请更新 `cracked_password` 字段后再继续。

### 7. 已尝试方向回顾（避免重复投入）
- **密码破解尝试**：已确认当前无任何已知密码，且未达到“验证成功”状态。**不建议**在无新线索的情况下重复跑相同字典或规则。
- **链上同步尝试**：已尝试同步交易但返回为空。**不建议**反复点击同步，应先排查节点连接或地址索引是否正常。
- **余额核对**：已确认业务方不认为该钱包为“小额放弃”类型。**无需**再次评估是否值得投入。
- **文件格式分析**：已确认是 `bitcoin_legacy_bdb` 老格式，无需重新做格式鉴定。下一步应聚焦于“新线索收集”，而非“旧路重走”。