BTC 钱包风险检测与恢复评估 #1723

### 1. 一句话结论
该BTC钱包（ID:1723）目前**尚未获得明文密码**，链上交易记录**未同步**，且业务标注显示**余额不为零**，但实际资金动向与破解进展均需补充数据后才能进一步判断。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID 1723，主地址 `1ZjRqMMa6giKYfCPv3bPLAdx4TMyAvjyR`，币种BTC。
- **文件信息**：格式为 `bitcoin_legacy_bdb`，文件名 `wallet.dat~1 / Quasar (9).dat`，大小 **98,304 字节**（约96KB），存储于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet.dat~1_Quasar (9).dat-bab2e99a4fce/` 目录下。
- **时间戳**：录入时间 `2026-06-23 00:58:08`，最后更新时间 `2026-08-06 04:04:30`，数据标注日期与录入时间一致。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**，即当前**没有**任何已确认的明文密码或验证成功的证据。
- **余额标注**：业务字段显示“余额很小(≤阈值)”为 **否**，即系统认为该地址**余额不为零**（但此标注仅代表业务侧判断，非链上实时数据）。
- **交易记录**：链上交易摘要显示 **“未发现已同步的交易记录”**，页面提示需手动点击“同步交易”才能获取更精确的转入/转出历史。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份名为 `Quasar (9).dat` 的遗留钱包文件入手。该文件属于经典的 Bitcoin Core 旧版BDB格式，大小约96KB，符合一个包含若干地址和密钥材料的常规钱包体积。录入时我们记录了它的主地址和文件路径，并打上了“余额不为零”的业务标签——这个标签通常来自业务方的初步判断，而非链上验证。

随后在6月23日完成数据标注后，我们进入密码验证阶段。但截至目前（8月6日最后一次更新），**所有测试均未返回“已知密码存在”的正向结果**，即 `cracked_password` 字段仍为“否”。同时，我们尝试在站内同步该地址的链上交易，但系统返回“未发现已同步记录”，说明该钱包的链上活动尚未被拉取到本地数据库，无法据此判断资金流向或最后活跃时间。

简单说：我们目前停在“有文件、有地址、无密码、无链上数据”的阶段，所有结论都只能基于文件元数据和业务标注，无法延伸到资金实况。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要未同步任何交易，无法确认该地址是否曾收到BTC。
- **转出记录**：未知。同样因未同步交易，无法确认是否有转出行为或最后转出时间。
- **补充说明**：业务标注“余额不为零”仅代表录入方的判断，不能替代链上数据。如需明确转入/转出方向，必须先完成“同步交易”操作。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：当前标注为“余额很小(≤阈值)=否”，即业务侧认为该地址**并非小额或空余额**。但请注意，这是录入时的静态判断，未与链上实时余额核对。
- **明文密码状态**：**尚未获得**。字段 `cracked_password/actual_password` 为“否”，意味着没有任何已验证的密码或助记词。所有关于“已破解”的猜测均无事实依据。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **执行“同步交易”**：优先在页面点击同步，拉取该地址完整链上转入/转出记录，确认实际余额与最后活跃时间。
2. **核对业务余额标注来源**：联系录入方，确认“余额不为零”的判断依据（是链上查询还是历史记录），避免误标。
3. **检查文件完整性**：确认 `Quasar (9).dat` 是否被截断或损坏，可尝试用合规工具校验文件哈希与BDB结构。
4. **查找同名关联文件**：搜索 `MEGA-BONUS_wallet.dat~1` 及 `Quasar (9).dat` 的备份或同批次文件，可能包含更完整的密钥材料。
5. **补充钱包创建时间线索**：若文件元数据中有创建时间或修改日志，可辅助判断钱包使用周期。
6. **收集地址关联信息**：若该主地址曾出现在其他案件或公开记录中，可提供额外背景。
7. **确认“余额很小”阈值定义**：明确业务侧“≤阈值”的具体数值，判断该标注是否可能因阈值设置不当而失真。
8. **重新评估密码测试范围**：在获得更多线索（如用户习惯、文件名含义）后，再决定是否扩大合规测试范围。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证**：已对现有材料进行过一轮测试，结果均为“未命中”，且未产生任何“已知密码存在”的正向证据。**不建议**在无新线索时重复相同范围的测试。
- **链上同步尝试**：已尝试同步交易，但返回“未发现记录”，说明同步动作可能未成功或该地址确实无历史交易。**下一步应检查同步接口或节点状态**，而非反复点击。
- **文件格式分析**：已确认是 `bitcoin_legacy_bdb` 格式，但未发现异常或额外嵌入数据。**无需**再次进行底层格式扫描，除非文件被重新替换或更新。