LTC 钱包风险检测与恢复评估 #1521

### 1. 一句话结论
该LTC钱包（ID 1521）目前处于“有实体文件、无同步交易、未破解”状态：我们已定位到一份1523KB的Bitcoin Legacy BDB格式钱包文件，但链上交易记录尚未同步，且目前没有任何强证据表明已获得明文密码或助记词。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID 1521，币种LTC，主地址 `LSXGTYMjyWkvspV1QbKNzqZHLnf6niErmP`。
- **文件实体**：钱包文件名为 `DOGE +LTE+VACIA / LSXGTYMjyWkvspV1QbKNzqZHLnf6niErmP.dat`，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/LTC/real/` 下，文件大小 **1,523,712 字节**（约1.45MB）。
- **格式判定**：钱包版本/格式标注为 `bitcoin_legacy_bdb`，即Bitcoin Core传统的Berkeley DB格式（LTC早期版本沿用此结构）。
- **时间线**：录入时间 2026-06-23 00:50:55，数据标注日期 2026-06-23 00:58:28，最近一次更新 2026-09-07 18:40:20（更新发生在录入后约2.5个月）。
- **破解状态字段**：`cracked_password/actual_password` 明确为 **否**——即不存在“已知密码”的强证据。
- **余额标注**：业务标注“余额很小(≤阈值)”为 **否**——即系统并未认定该钱包余额低于小额阈值（注意：这不代表余额很大，仅代表未触发小额标记）。
- **链上交易**：未发现已同步的交易记录，页面提示需手动点击“同步交易”才能获取更精确的转出/转入时间。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统在 `fake.czb.com` 的LTC真实数据集目录下，登记了一个名为“MEGA-BONUS_DOGE +LTE+VACIA”的钱包文件。文件名里混着DOGE、LTE、VACIA等字样，但目录明确归类为LTC，且主地址前缀为 `LSXGT...`（LTC地址特征），因此我们确认这是一份LTC钱包文件，而非文件名暗示的其他币种。

文件本身是Bitcoin Legacy BDB格式，大小约1.45MB，说明内部可能包含较多密钥记录或历史地址。我们将其主地址、路径、格式、大小等元数据全部固化存档，作为后续取证的基准。

录入后约2.5个月（9月7日），系统对该记录做了一次更新，但更新内容并未改变“未破解”状态——`cracked_password` 字段仍为否。同时，链上交易摘要始终为空，说明我们尚未成功拉取该地址在LTC链上的收发记录。目前整个案件停留在“已建档、未深挖”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要未同步任何交易，无法确认该地址是否收到过LTC。
- **转出记录**：未知。同样因未同步交易，无法确认最后转出时间或转出金额。
- **补充说明**：当前所有交易相关结论均为“未同步/未知”，不基于任何推测。若需判断资金活跃度，必须先完成链上同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：系统标注“余额很小(≤阈值)”为 **否**。这仅代表该钱包未被业务规则判定为“小额钱包”，**不等于**余额为零，也不等于余额很大——该字段只是业务筛选标记，不是链上余额证明。
- **明文密码状态**：`cracked_password/actual_password` 为 **否**，即目前**没有**任何强证据表明已拿到密码、助记词或私钥。所有关于“已破解”的说法均不成立，当前仍处于“未获得明文密码”阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **执行链上交易同步**：优先在页面点击“同步交易”，获取该地址的完整转入/转出历史，这是判断资金规模和活跃度的前提。
2. **核对钱包文件完整性**：确认该 `.dat` 文件是否被加密（BDB格式可能未加密或仅钱包级加密），可通过文件头部结构做只读检测（不涉及破解）。
3. **检索文件名关联线索**：文件名中的“MEGA-BONUS”“DOGE +LTE+VACIA”可能是历史活动标签，排查这些关键词是否关联其他已知钱包或交易平台导出记录。
4. **比对同目录其他钱包**：`/LTC/real/` 下若存在同批次钱包，可横向比对文件大小、地址前缀、录入时间，判断是否为批量生成或同一来源导入。
5. **收集地址标签情报**：将主地址 `LSXGT...` 放入公开链上浏览器或标签库，查看是否有交易所、矿池或已知实体的标注。
6. **调取录入时的来源日志**：查2026-06-23 00:50前后的系统日志，确认该文件是通过上传、导入还是扫描发现，有助于还原来源场景。
7. **检查更新时间变更内容**：9月7日的更新具体改动了哪些字段？若仅刷新时间戳，说明无实质进展；若改动过路径或标注，则需追溯原因。
8. **补充“余额很小”判定的依据**：向业务方索要该字段的判定规则（是链上查询还是本地估算），以明确当前余额的真实量级。

### 7. 已尝试方向回顾（避免重复投入）
- **元数据建档**：已完成钱包ID、地址、路径、格式、文件大小的登记，这部分无需重复。
- **破解状态确认**：已核实 `cracked_password` 为否，说明此前未产生有效密码结果，后续不必在“已破解”前提下设计流程。
- **链上同步**：尚未执行成功（交易摘要为空），这是当前最大缺口，应作为首要动作而非重复尝试其他方向。
- **格式识别**：已明确为 `bitcoin_legacy_bdb`，无需再对格式做二次猜测，后续若涉及解析应直接基于BDB结构处理。
- **未尝试方向**：尚未做链上同步、来源日志调取、同目录比对——这些是空白区，值得优先投入。