BTC 钱包风险检测与恢复评估 #1622

### 1. 一句话结论
这是一枚BTC老式钱包（bitcoin_legacy_bdb），目前链上交易记录尚未同步，**尚未获得明文密码**，且业务标注显示余额并不小，因此当前核心卡点在于“既没有密码、也没有链上活动数据来辅助判断资金去向”。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1622，币种BTC，主地址 `1PR8XSqUvKuXQnGwbtmAgrDfTkYqLJgz13`。
- **文件格式**：`bitcoin_legacy_bdb`，即Bitcoin Core老版Berkeley DB钱包格式，文件名为 `wallet (4) (2).dat`，大小约 **1,007,616 字节**（约0.96 MB）。
- **来源路径**：位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_!!таблица_3я сотня 96_wallet (4) (2).dat-230317a41534/` 目录下，目录名含“MEGA-BONUS”及表格编号“3я сотня 96”，推测来自批量整理的钱包数据集。
- **时间线**：录入时间 2026-06-23 00:55:15，数据标注时间仅比录入晚约3分钟（00:58:03），说明录入后很快做了初步标注；最后更新时间为 2026-08-06 02:23:30，距今约一个多月未再变动。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即目前没有已验证的明文密码。
- **余额状态**：业务标注“余额很小”为 **否**，即该钱包按业务口径并非小额钱包，值得继续投入。
- **链上交易**：**未发现已同步的交易记录**，既无转入也无转出数据。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，这个钱包被录入系统。从文件名看，它属于一批名为“MEGA-BONUS”的表格化整理数据集，编号“3я сотня 96”像是某批次的第96号。录入后3分钟内即完成了数据标注，说明当时只是做了基础登记，并未深入。

文件大小约1 MB，符合老式BDB钱包的特征——这类钱包通常包含大量密钥池和地址历史。我们尝试的方向是先确认格式、再检查是否有已知密码匹配，但截至目前，密码字段仍为“否”，说明尚未有验证成功的口令。

7月到8月初，系统对该钱包做了一次更新（8月6日），但更新内容并未改变密码状态。链上交易一直显示“未同步”，这意味着我们无法从公开账本确认这个地址到底有没有动过——它可能是一枚长期未动的“沉睡钱包”，也可能是同步功能尚未触发。

整体来看，我们目前处于“有明确目标（拿到密码）、但缺少两个关键抓手（密码线索 + 链上活动）”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活动时间**：无法确认。如需精确的“最后转出/转入时间”，必须先点击页面上的“同步交易”按钮拉取链上数据。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：该钱包**并非**“余额很小（≤阈值）”的类型，即业务侧认为里面可能仍有价值资产，不能因“看起来没动静”就放弃。
- **明文密码状态**：**尚未获得**。字段明确显示 `cracked_password/actual_password = 否`，因此任何关于“已破解”的说法都不成立。当前仍处于“未验证成功”阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：点击页面“同步交易”，拿到该地址的完整转入/转出历史，确认最后活动时间与资金规模。
2. **补充钱包来源背景**：查找“MEGA-BONUS”数据集或“3я сотня 96”表格的配套说明，可能包含密码规则提示或来源批次信息。
3. **检查同批次相邻钱包**：若同目录下其他钱包已有成功案例，可对比其文件名规律与密码设置习惯（仅作规律参考，不涉及具体破解步骤）。
4. **核对钱包文件完整性**：确认该 `.dat` 文件是否被截断或损坏，BDB文件若损坏可能导致密码验证逻辑异常。
5. **调取录入时的备注信息**：查看2026-06-23录入时是否附带任何文本备注、标签或来源URL。
6. **检查是否有旧版备份**：在原始目录或备份存储中查找同名文件的早期版本，有时旧备份的密码设置不同。
7. **确认“余额不小”的判断依据**：该标注是基于文件内地址历史估算，还是外部导入数据？明确依据有助于判断投入产出比。
8. **补充时间上下文**：确认该钱包文件创建时间（若文件系统元数据可查），辅助判断其活跃年代，缩小密码设置习惯范围。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了其他钱包格式的干扰。
- **已知密码匹配**：已检查是否存在 `cracked_password/actual_password` 强证据，结果为否，说明此前尝试过的密码组合均未验证成功。
- **基础数据标注**：录入后3分钟内即完成标注，说明已做过初步文件头/基础信息检查，但未深入内容。
- **链上数据拉取**：尚未执行（页面显示未同步），因此**不要重复尝试离线猜测地址余额**，应先完成同步再判断。
- **文件大小检查**：约1 MB，符合正常BDB钱包规模，未发现异常截断迹象（但未做深度完整性校验）。