BTC 钱包风险检测与恢复评估 #992

### 1. 一句话结论
该钱包（ID 992）为一枚BTC余额约4.8558枚的Legacy格式钱包文件，目前尚未获得明文密码，链上交易记录也未同步，整体处于“有币但未解锁、无交易流水”的待取证状态。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID 992，名称“MEGA-BONUS / wallet_4,85.dat”，主地址 `1Q3VM5DFvkmn67hH522xMBM3tU2UM8EyMf`。
- **资产规模**：BTC 余额 4.85583200，业务标注“余额很小”为**否**，说明该余额在业务上被视为有意义的资产量。
- **文件信息**：路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/...`，文件大小 90,112 字节，格式为 `bitcoin_legacy_bdb`（即传统Bitcoin Core钱包数据库格式）。
- **时间线**：录入时间 2026-06-23 00:37:46，数据标注日期 2026-06-23 00:57:23，最近一次更新 2026-08-06 07:44:30。
- **密码状态**：字段 `cracked_password/actual_password` 为“否”，即**没有**强证据表明已拿到明文密码。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统收录了这枚名为“MEGA-BONUS”的 Legacy 钱包文件。从文件命名和路径看，它来自一个批量审查目录，属于“review”队列中的待检样本。我们首先确认了它的基本盘：格式是较早期的 `bitcoin_legacy_bdb`，文件不足 100KB，属于典型的轻量级钱包数据。

随后我们核对了链上状态，发现该地址的交易记录尚未同步到本地。这意味着我们目前只能看到“链上余额”这一个静态数字，却无法还原这笔 BTC 是什么时候进来、是否曾转出。没有交易流水，就无法判断资金活跃规律，也无法交叉验证钱包文件里的地址是否与主地址完全一致。

在密码层面，我们检查了已知的强证据字段，结论是“尚未拿到明文密码”。也就是说，目前这枚钱包仍处于锁定状态，我们只能基于文件结构做非破坏性的格式确认，不能读取内部私钥或进行签名操作。8月6日有一次系统更新记录，但更新内容未改变密码状态与交易同步状态，说明那次动作大概率只是元数据刷新或队列状态变更。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要显示“未发现已同步的交易记录”，因此无法确认该地址历史上是否收到过 BTC。
- **转出记录**：未知。同样因未同步交易，无法确认是否存在转出行为，也无法提供“最后转出时间”。
- **当前余额**：4.85583200 BTC 为链上可见的静态余额，但该数字不等同于“可用余额”——在未解锁钱包前，我们无法通过钱包文件验证该地址是否持有对应私钥控制权。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：该钱包余额 4.85583200 BTC，业务标注“余额很小”为**否**，说明在业务规则中这不算低价值钱包，值得继续投入取证资源。
- **明文密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**尚未获得明文密码**。请注意：余额不为 0 与是否已破解是两回事——前者是链上事实，后者是本地解锁进度。目前我们只确认了“有币”，未确认“能花”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先在页面点击“同步交易”，获取该地址完整历史流水，确认资金进出时间与对手方。
2. **核对钱包文件内部地址**：在合规环境下，比对文件内管理的地址列表是否包含主地址 `1Q3...EyMf`，以确认文件与余额的归属关系。
3. **检查同批次钱包**：该文件位于 `review` 目录且命名含“MEGA-BONUS”，建议排查同目录下是否有同系列钱包文件，可能存在共用口令规律（仅作线索，不展开攻击细节）。
4. **补充文件来源信息**：调取该文件的上传/收录日志，确认提供方与业务背景，判断是否为已知活动（如空投、奖励发放）遗留。
5. **查找历史备注**：检索系统内是否有关联该钱包ID的工单、备注或客服记录，可能有口令提示或用途说明。
6. **验证地址归属**：通过只读方式（如公钥派生检查）确认该文件是否能派生主地址，若不能则需警惕文件与余额不匹配。
7. **检查更新时间差异**：录入时间与数据标注时间相隔约20分钟，可调取该窗口内的操作日志，确认是否有额外处理动作。
8. **补充密码线索材料**：若业务方存有口令提示、历史密码片段或常用口令库，可提供用于合规验证（需走正式流程）。

### 7. 已尝试方向回顾（避免重复投入）
- **静态格式识别**：已确认钱包为 `bitcoin_legacy_bdb`，无需再对文件格式做重复猜测。
- **强证据密码检查**：已核查 `cracked_password/actual_password` 字段，结论为“否”，说明此前未通过任何途径拿到明文密码，不必再翻查旧结论。
- **链上同步尝试**：当前交易摘要为空，说明此前未完成同步或同步失败，下一步应直接处理同步问题，而非重复查看旧摘要。
- **余额业务标注**：已确认该余额在业务上“非小额”，因此无需再讨论是否放弃该钱包。