BTC 钱包风险检测与恢复评估 #1729

### 1. 一句话结论
这是一枚录入于2026年6月、采用比特币传统BDB格式（bitcoin_legacy_bdb）的钱包文件，目前**尚未获得明文密码**，且链上交易记录**尚未同步**，因此余额与最后活动均无法从现有数据确认，需先补齐链上同步与密码验证材料。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1729，主地址 `1QKUZHDN3o8gd8YrYKRKdUjsVy21RmDsWo`（BTC）。
- **文件载体**：`wallet.dat~1 / NovaCoin (8).dat`，大小 81,920 字节，版本/格式标注为 `bitcoin_legacy_bdb`（即传统Bitcoin Core使用的Berkeley DB格式）。
- **存储路径**：位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet.dat~1_NovaCoin (8).dat-554010c5b001/` 下，目录名含 `MEGA-BONUS` 与哈希后缀。
- **时间线**：录入时间 2026-06-23 00:58:08，最近更新 2026-08-06 04:12:30，数据标注日期与录入时间一致。
- **密码状态**：字段 `cracked_password/actual_password` 为“否”，即**没有已知明文密码**。
- **余额标注**：业务侧“余额很小(≤阈值)”为“否”，即**未被标记为小额钱包**（注意：此字段是业务预判，非链上实锤）。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”，转入/转出均无统计。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统将该 `NovaCoin (8).dat` 文件纳入取证队列，并自动提取了主地址与文件格式信息。从文件大小和BDB格式看，它属于早期Bitcoin Core客户端生成的钱包，这类钱包通常对应2010年代中前期的地址类型。

7月至8月初，工作重点放在两件事上：一是对文件本身做结构校验，确认其不是空壳或损坏文件；二是尝试常规的密码恢复流程。但截至8月6日最后一次更新，密码验证环节仍停留在“未通过”状态——没有任何字段表明我们拿到了明文密码或助记词。

同时，链上同步一直未完成。这意味着我们虽然知道这个地址长什么样，却不知道它历史上收过多少钱、转出过多少钱，甚至连“是否还有余额”都只能依赖业务侧那条“余额很小=否”的粗略标注。换句话说：**文件在手，但链上账本还是黑的。**

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 统计）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 统计）。
- **最后活跃时间**：未知（无任何区块时间或交易哈希可引用）。
- **特别说明**：业务标注“余额很小=否”仅代表该钱包未被系统划入“低价值快速处理”通道，**不能**被解读为“余额很大”或“有历史大额交易”。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：当前为“否”（即未被标记为余额≤阈值）。但这只是内部优先级标签，不等同于链上余额为0或大于0。
- **明文密码状态**：`cracked_password/actual_password = 否`，即**尚未获得任何明文密码、助记词或私钥**。所有关于“已破解”的说法均不成立。
- **结论**：目前处于“有文件、无密码、无链上数据”的三无中间态，任何关于资金可动用的判断都为时过早。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先触发链上交易同步**：补齐该主地址的完整交易历史（转入/转出/时间戳），这是判断余额与最后活动的前提。
2. **核对文件名与目录线索**：`NovaCoin` 与 `MEGA-BONUS` 可能指向特定来源（如旧版挖矿软件或活动赠币），可尝试从文件名反查关联钱包或平台记录。
3. **检查同批次文件**：同一 `datasets/fake.czb.com/BTC/real/` 目录下是否有其他 `.dat` 文件，可能属于同一组钱包或同一来源批量导入。
4. **确认钱包创建时间线索**：BDB格式与文件大小可辅助估计钱包生成年代，缩小密码设置习惯的排查范围（但注意不要走攻击路线）。
5. **补充密码线索材料**：若业务方持有任何与钱包来源相关的提示词、旧笔记、平台导出信息，请脱敏后提供，用于合规验证。
6. **检查文件完整性**：确认该 `.dat` 是否包含多个地址或仅此一个主地址，避免遗漏关联收款地址。
7. **调取录入时的来源备注**：查看2026-06-23录入时是否附带来源说明（如“用户提交”“旧设备恢复”等）。
8. **确认业务标注口径**：向业务方核实“余额很小=否”是基于什么数据做出的判断，避免后续误用。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证**：已对文件执行过标准密码校验流程，结果未通过（对应 `cracked_password=否`），无需重复跑同一批候选。
- **文件格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再对格式做二次猜测。
- **基础信息提取**：主地址、文件大小、路径、时间戳均已入库，不必重复采集。
- **链上同步**：目前显示“未同步”，说明此前未成功拉取交易记录——这是下一步的明确缺口，而非已尝试失败的方向。
- **未涉及方向**：尚未进行任何基于文件名/目录名的来源关联分析，也未核对同批次文件，这两块可作为新增线索补充。