BTC 钱包风险检测与恢复评估 #1450

### 1. 一句话结论
该BTC钱包（ID:1450）目前处于“有实体文件、无同步交易、未获明文密码”的早期取证阶段，余额是否为零尚无链上数据支撑，需优先补齐交易同步与来源背景材料。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1450，主地址 `1QJVHNzn291VuSLwDEipB1bYaKEP1ikyKc`，币种 BTC。
- **文件实体**：格式 `bitcoin_legacy_bdb`，文件 `wallet(3).dat`，大小 73,728 字节，路径指向 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_!!таблица_2я сотня 100_wallet(3).dat-c8b92e82a62d/`。
- **命名线索**：钱包名称含“2я сотня 100”（俄语，意为“第二一百/第2批100”），目录含“MEGA-BONUS”与“review”，推测为批量审核样本之一。
- **时间线**：录入与数据标注均为 2026-06-23（约凌晨），最后更新 2026-09-05，说明该档案在近三个月内被触碰过。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即尚无明文密码证据。
- **余额标注**：业务标注“余额很小(≤阈值)”为“否”，即未被标记为小额；但链上交易摘要显示“未发现已同步的交易记录”。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日，系统将该文件纳入审核队列，文件名为俄语表格“第二一百”批次中的第100号钱包，路径带有“MEGA-BONUS”标签，说明它来自一个批量导入的疑似奖励/空投活动数据集。我们首先确认了文件格式为老式Bitcoin Core钱包（BDB），并读取了主地址。随后尝试在链上同步该地址的交易，但页面返回“未发现已同步的交易记录”——这意味着我们目前**看不到任何转入/转出历史**，既不能证明它活跃，也不能证明它是一把“空钱包”。9月5日档案被更新，但更新内容未改变密码状态字段，仍为“否”。整体推进卡在“有文件、无链上数据、无密码”三岔口。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易摘要显示未同步任何交易，无法确认历史收入）。
- **转出记录**：未知（同上，无任何已同步的转出时间或交易哈希）。
- **结论**：当前所有关于“最后转出时间”“余额大小”的猜测均无字段支撑，必须先在页面点击“同步交易”补齐数据。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：字段显示“余额很小(≤阈值)=否”，即业务侧**没有**将其标记为“小额/零钱”钱包。但这只是业务预判，不是链上验证结果。
- **明文密码状态**：`cracked_password/actual_password = 否`，即**尚未获得明文密码**，也未验证任何候选密码。请不要将“余额可能不为零”误解为“密码已破解”——两者完全独立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：在页面点击“同步交易”，拿到该地址的完整转入/转出历史与当前余额。
2. **补充来源背景**：查找“MEGA-BONUS”活动表与“2я сотня 100”批次的说明文档，确认该钱包是用户主动生成还是平台批量创建。
3. **检查同批次相邻文件**：对比同目录下其他 `wallet(*).dat` 的命名规律与时间戳，判断是否存在共用口令或批量生成特征。
4. **调取文件哈希记录**：核对 `c8b92e82a62d` 目录哈希与录入时的原始校验值，确认文件未被篡改。
5. **寻找关联地址线索**：若该地址曾在其他案件或公开标签中出现，可交叉引用。
6. **确认钱包版本细节**：`bitcoin_legacy_bdb` 是否带加密头（若文件头显示加密，则需密码；若未加密则无需破解即可打开）。
7. **补充录入人/来源渠道**：调取该条目的录入操作日志，确认是人工导入还是脚本批量导入。
8. **用户自述或工单记录**：查找是否有用户提交的找回请求或相关客服工单。

### 7. 已尝试方向回顾（避免重复投入）
- **链上查询**：已尝试查看交易摘要，但结果为“未同步”，说明当前数据库内无该地址的索引数据，重复点击同步前需先确认节点/API连接正常。
- **密码状态核验**：已确认 `cracked_password` 字段为“否”，说明此前没有成功记录，无需再重复测试已被否定的候选集。
- **文件格式识别**：已确认是 `bitcoin_legacy_bdb`，下一步应避免在未确认是否加密的情况下盲目投入口令猜测，而应先做文件头结构检查（只读分析，不涉及攻击）。