BTC 钱包风险检测与恢复评估 #1137

### 1. 一句话结论
该BTC钱包（ID: 1137）当前链上余额为 **122.86898035 BTC**，但**尚未获得明文密码**，且链上交易记录**未同步**，因此无法确认任何转入/转出活动；目前处于“有资产、无密码、无交易流水”的取证停滞阶段。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `1uji9kEepq62j298yRo4zcc1h1HnpmktQ`，币种 BTC，版本格式为 `bitcoin_legacy_bdb`（老版Bitcoin Core钱包）。
- **资产规模**：余额 122.86898035 BTC，业务标注“余额很小（≤阈值）”为 **否**，即该余额**不属于小额忽略范围**。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有强证据表明已拿到明文密码**。
- **文件信息**：钱包文件名为 `wallet_120,36.dat`，大小 102400 字节，存放于 `MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_120,36BTC` 目录下（路径含 `fake.czb.com`，疑似测试/镜像数据集）。
- **录入与更新**：录入时间 2026-06-23 00:40:26，最近更新 2026-08-06 10:04:00，数据标注日期为录入后约17分钟。
- **交易同步**：链上交易摘要显示“未发现已同步的交易记录”。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统录入了一个名为“wallet_120,36”的BTC钱包文件，大小约100KB，属于Bitcoin Core老版BDB格式。我们首先确认了主地址与余额——122.87 BTC，这个数字不小，业务上也没有标记为“可忽略”。

随后我们检查了密码状态：字段明确显示“已知密码存在=否”。这意味着我们手里**没有现成的明文密码或助记词**，所有后续动作都停留在“尝试恢复”阶段，而非“已解锁”。

在尝试过程中，我们同步检查了链上交易。但页面显示“未同步任何交易记录”。也就是说，我们目前**看不到这个地址历史上转过多少笔、最后一笔是什么时候**——这直接导致我们无法判断这笔BTC是长期沉睡，还是近期刚转入的“热资产”。

到8月6日，钱包信息有过一次更新，但更新内容并未改变密码状态与交易同步状态。整体来看，我们卡在“有币、无密码、无流水”的三角缺口上。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易未同步，无任何 `direction=receive` 的统计字段可引用。
- **转出记录**：未知。无任何 `direction=send` 的统计字段可引用。
- **最后活跃时间**：未知。未同步交易，无法给出“最后转出/转入时间”。

> 注意：余额122.87 BTC是当前链上快照，但**不能据此推断**它一定是“净转入”或“净留存”，因为没有历史流水佐证。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该钱包**不满足**“余额≤阈值”的忽略条件，即业务上**不能放弃**，必须继续跟进。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password = 否`，没有强证据表明密码已恢复。所有关于“已破解”的说法均不成立。
- **当前状态**：仍在“尝试恢复密码”阶段，且尚未成功。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，拿到该地址的历史转入/转出流水，判断资金性质与最后活跃时间。
2. **补充钱包来源背景**：确认该文件来自“MEGA-BONUS”目录的哪个批次、是否有配套的说明文档或密码提示文件。
3. **核对文件名语义**：`wallet_120,36` 中的“120,36”是否对应某个金额、日期或编号，可能是线索而非随机数。
4. **检查同批次其他钱包**：该目录下共有250个钱包，查看同批兄弟钱包是否已有成功解锁案例，可复用其密码规律（仅作规律参考，不涉及攻击细节）。
5. **寻找钱包创建时的备份**：老版Bitcoin Core常在本地留有 `wallet.dat` 的自动备份或 `.bak` 文件，检查同路径下是否有历史版本。
6. **确认录入时的来源字段**：查看录入时间2026-06-23前后是否有导入日志、上传者信息或备注。
7. **检查地址是否曾出现在公开交易所有名标签中**：若该地址曾属于某个已知实体，可能关联到公开的找回渠道。
8. **补充内存/日志类证据**：若该文件曾在一台运行过Bitcoin Core的机器上打开，检查该机器是否有钱包口令缓存或调试日志（仅限合规取证环境）。

---

### 7. 已尝试方向回顾（避免重复投入）
- **密码状态核查**：已确认无现成明文密码，**无需再重复检查** `cracked_password` 字段。
- **基础文件解析**：已确认钱包格式为 `bitcoin_legacy_bdb`，文件大小正常（102400字节），**无需重新做格式鉴定**。
- **业务阈值判断**：已确认该余额不属于“小额可忽略”，**不要再走“放弃流程”**。
- **交易同步尝试**：截至更新时点（2026-08-06）仍未同步成功，**建议优先排查同步接口或节点连接问题**，而非反复刷新页面。
- **路径与命名梳理**：已记录完整路径与文件名，**无需再次从压缩包或备份中重新提取同一文件**。