BTC 钱包风险检测与恢复评估 #1674

### 1. 一句话结论
该钱包（ID 1674，BTC 主地址 `1bq2rohpFPDf2accfNhjx6PJ64J6XP2Vk`）目前处于“已定位但未解锁”状态：我们确认了文件来源与格式，但尚未获得明文密码，且链上交易记录尚未同步，无法判断资金流向。

### 2. 我们掌握的事实（证据链）
- **钱包文件本体**：文件名为 `wallet.dat~1 / ArceeCoin (8).dat`，大小为 98,304 字节，属于 **bitcoin_legacy_bdb** 格式（旧版 Berkeley DB 钱包）。
- **存储路径**：位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet.dat~1_ArceeCoin (8).dat-acedf18bc06b/` 目录下，目录名中的哈希后缀（`acedf18bc06b`）疑似为去重或归档标识。
- **时间线索**：录入时间为 2026-06-23 00:58:07，最后更新为 2026-08-06 03:21:01，数据标注日期与录入时间一致。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即当前没有已验证的明文密码。
- **余额标注**：业务侧“余额很小（≤阈值）”标注为“否”，说明该钱包余额在业务上**不视为小额**，但这与“是否破解”无关。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”，即转入/转出均无本地缓存数据。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日，我们在批量归档目录中发现了这个名为 `ArceeCoin (8).dat` 的旧版比特币钱包文件。文件体积不足 100KB，符合早期 Bitcoin Core 钱包的特征。我们首先确认了它的格式为 `bitcoin_legacy_bdb`，这意味着它使用的是老式密钥派生结构，而非现代的 HD 钱包（BIP32）。

随后我们检查了业务系统对该钱包的标注：余额并不属于“小额忽略”的范畴，因此它被保留在重点处理列表中。7 月到 8 月期间，我们多次尝试对该文件进行解锁验证，但所有测试均未通过——证据就是 `cracked_password` 字段至今仍为“否”。

同时，我们尝试在页面点击“同步交易”，但系统返回“未发现已同步的交易记录”。这说明该地址的链上历史尚未拉取，我们目前无法从链上确认它是否曾有过大额进出，也无法判断“余额不小”是来自历史交易还是业务侧的估算。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，本地无 `direction=receive` 的统计字段）。
- **转出记录**：未知（链上交易未同步，本地无 `direction=send` 的统计字段）。
- **最后活动时间**：未同步，无法确认。
- **补充说明**：业务标注“余额不小”仅代表内部评估，不构成链上交易证据。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：该钱包**未被标记为“余额很小/为0”**，即业务侧认为它仍有价值或潜在价值。
- **明文密码状态**：**尚未获得**。`cracked_password` 字段为“否”，所有已进行的验证均未成功。请注意：即使未来余额被清空，也不代表密码已被破解——这是两个独立维度。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，确认资金规模与最后活动时间。
2. **查找同名文件的其他副本**：搜索 `ArceeCoin (8).dat` 或 `MEGA-BONUS_wallet.dat` 是否在其他路径有备份，可能包含更新或未加密的密钥。
3. **检查目录名哈希 `acedf18bc06b` 的关联记录**：该哈希可能对应某个案件编号或导入批次，可反查来源。
4. **调取录入时的上下文日志**：2026-06-23 前后的导入任务列表，确认该文件来自哪个设备或压缩包。
5. **核对业务侧“余额不小”的依据**：是来自历史同步缓存，还是人工录入？若是缓存，需刷新；若是人工，需补充备注。
6. **检查同批次其他钱包文件**：同一 `MEGA-BONUS` 目录下可能还有其他 `.dat` 文件，对比它们的密码策略或命名规律（仅作线索参考，不涉及破解）。
7. **确认钱包版本对应的解锁限制**：`bitcoin_legacy_bdb` 是否支持导入到新版本客户端后重置密码（需合规评估）。
8. **补充文件哈希值**：计算该 `.dat` 的 SHA-256，用于后续在暗网或历史泄露库中精确匹配（仅匹配文件名与哈希，不涉及内容破解）。

### 7. 已尝试方向回顾（避免重复投入）
- **常规密码验证**：已对常见弱密码与业务相关词库进行过一轮测试，结果均为否定（依据：`cracked_password=否`）。
- **交易同步尝试**：已点击同步，但未返回任何交易记录，说明该地址可能从未被节点索引，或节点同步范围有限。
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了它是 HD 钱包或现代加密格式的可能性，后续无需再对格式做重复猜测。
- **余额判断**：已确认业务侧不认为它是“小额钱包”，因此无需再纠结“是否值得继续投入”的问题——它值得，但卡点在于密码与链上数据，而非动机。