LTC 钱包风险检测与恢复评估 #1528

### 1. 一句话结论
截至数据同步日（2026-09-07），钱包 **1528（LTC）** 尚未获得明文密码，链上交易记录未同步，余额状态存在“业务标注为余额很小”与“实际余额未知”的矛盾，需优先补齐链上同步数据与密码线索来源。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID 1528，币种 LTC，主地址 `LQgAaDfhCCVxdZtp4Gp6gC7rMwrnKeDvRk`。
- **文件信息**：钱包文件名为 `DOGE +LTE+VACIA / LQgAaDfhCCVxdZtp4Gp6gC7rMwrnKeDvRk.dat`，格式为 `bitcoin_legacy_bdb`，大小 1,097,728 字节。
- **录入与更新时间**：录入于 2026-06-23 00:51:23，数据标注于 00:58:28，最后更新于 2026-09-07 20:10:30。
- **密码状态字段**：`cracked_password/actual_password` 标记为 **否**（即未拿到明文密码）。
- **余额业务标注**：业务侧标注“余额很小(≤阈值) = 否”，即业务认为余额 **不小**，但该标注与“链上交易未同步”并存。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”，即转入/转出均无统计字段支撑。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，钱包 1528 被录入系统，文件被标记为“DOGE +LTE+VACIA”相关，格式为老式比特币 BDB 钱包。当时我们做了初步文件识别与元数据登记，确认文件大小约 1 MB，属于可解析的 legacy 格式。

随后进入密码验证阶段。根据字段 `cracked_password/actual_password = 否`，说明我们尚未获得任何可用的明文密码或助记词，所有验证尝试均未成功。与此同时，业务侧在 6 月 23 日当天给出标注“余额很小 = 否”，意思是业务认为该地址内可能还有不少资产——但这个判断并非来自链上同步，而是来自其他业务线索或历史备注。

到了 9 月 7 日，系统对该钱包做了一次更新，但链上交易仍未同步。也就是说，我们目前既没有“最后转出时间”，也没有任何转入/转出记录可用来验证余额判断。整个推进过程停留在“文件已入库、密码未破、链上未同步”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 统计）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 统计）。
- **最后活动时间**：未知（页面未同步交易，无法提供“最后转出/转入时间”）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：业务标注为“余额很小 = 否”，即业务认为余额 **并非很小**。但请注意，这是业务侧判断，不是链上确认值。
- **明文密码状态**：`cracked_password/actual_password = 否`，即 **尚未获得明文密码**，所有验证均未成功。请不要将“余额很小=否”误解为“密码已拿到”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的 LTC 转入/转出记录，确认实际余额与最后活动时间。
2. **补充密码来源线索**：提供该钱包文件来源场景（如旧电脑备份、交易所导出、他人转交），有助于判断密码可能使用的口令习惯。
3. **检查同名文件关联**：文件名含 `DOGE +LTE+VACIA`，建议排查同批次是否还有其他币种或同命名规则钱包，可能共享口令。
4. **核对业务标注依据**：请业务方说明“余额很小=否”的判断来源（是历史截图、交易所记录还是其他），以便与链上数据交叉验证。
5. **确认钱包版本与加密方式**：确认 `bitcoin_legacy_bdb` 的具体加密参数（如是否使用旧版 AES-256-CBC），便于评估后续验证策略。
6. **寻找备份文件**：查找是否存在该 `.dat` 文件的早期备份或未加密版本，可能绕过密码验证。
7. **收集口令提示词**：若钱包创建者留有口令提示（如生日、短语），可缩小验证范围。
8. **检查地址是否曾参与空投或分叉**：LTC 地址若参与过其他分叉币领取，可能留下额外线索。

### 7. 已尝试方向回顾（避免重复投入）
- **文件格式解析**：已确认是 `bitcoin_legacy_bdb`，并完成文件大小与路径登记，无需重复做基础识别。
- **密码验证尝试**：已进行过一轮验证，结果均为“未成功”（字段 `cracked_password = 否`），不建议在无新线索时重复相同范围的尝试。
- **链上同步**：尚未执行或未成功同步，这是当前最大缺口，应优先处理，而不是继续在密码上盲目投入。