LTC 钱包风险检测与恢复评估 #1864

### 1. 一句话结论

截至数据标注日（2026-06-23），钱包ID 1864（LTC）链上余额为0，且**尚未获得明文密码**；当前所有结论均基于“文件已入库、余额为空、无同步交易”这三项事实，破解与资金流向均无定论。

### 2. 我们掌握的事实（证据链）

- **钱包身份**：钱包ID 1864，币种LTC，主地址 `LbDMm4jjRRbJUiqhgptrEqkg4SZgH23csW`（字段：主地址）。
- **文件来源**：路径为 `/www/czb-wallet-common/datasets/fake.czb.com/LTC/review/MEGA-BONUS_ltc wallet.dat_wallet.dat-3f6ccc17d9d3/wallet.dat`，文件名 `wallet.dat`，格式标注 `bitcoin_legacy_bdb`（字段：钱包路径/名称/格式）。
- **文件体量**：大小 1,810,432 字节（约1.73MB），属于非空文件，说明内部至少包含地址簿或密钥历史数据（字段：文件大小）。
- **余额状态**：链上余额 `0.00000000` LTC，且业务标注“余额很小(≤阈值)=是”（字段：余额、余额很小）。
- **密码状态**：`cracked_password/actual_password = 否`，即**没有强证据表明已拿到明文密码**（字段：已知密码存在）。
- **交易同步**：链上交易摘要显示“未发现已同步的交易记录”（字段：链上交易摘要）。
- **时间线**：录入 2026-06-23 00:58:22，最后更新 2026-08-06 06:10:01，数据标注日期与录入时间相同（字段：录入/更新时间）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

6月23日，这份名为 `MEGA-BONUS_ltc wallet.dat` 的文件被录入系统，我们给它编了号1864。从文件大小看，它不像一个空壳——1.8MB的 `wallet.dat` 通常意味着里面存有不少历史密钥或地址记录，于是我们把它列入待检队列。

随后我们做了两件基础动作：第一，检查链上余额，发现主地址余额为0；第二，检查密码状态，结论是“尚未验证成功”。这两步做完，我们意识到一个关键矛盾：**文件有内容，但链上无币、密码未破**——这意味着它可能是一个“历史遗留钱包”，即币早已转走，只剩密钥文件本身。

8月6日，系统对这份记录做了一次更新，但更新内容并未改变余额和密码状态。目前我们手里能确认的只有“文件存在、余额为零、密码未知”这三件事，至于币是什么时候转走的、转去哪里，因为交易记录未同步，我们暂时无法回答。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入记录**：未知。链上交易摘要显示“未发现已同步的交易记录”，因此无法确认该地址历史上是否收到过LTC。
- **转出记录**：未知。同理，没有同步数据，无法判断是否存在转出行为，也无法给出“最后转出时间”。
- **当前余额**：0.00000000 LTC（字段：余额）。该数值仅代表当前链上状态，不代表历史流水。

> 注意：若需要精确的转入/转出历史，必须先点击页面“同步交易”按钮，拉取该地址的完整链上流水。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **余额为0的业务标注**：系统标注“余额很小(≤阈值)=是”，这是基于当前链上余额0 LTC做出的**业务判断**，意思是“这个钱包不值得继续投入高成本破解”。它只说明“没钱”，**不说明“密码已破”**。
- **是否拿到明文密码**：字段 `cracked_password/actual_password = 否`，即**尚未获得明文密码**。当前没有任何强证据（如已知密码、验证成功的哈希匹配）表明密码已被还原。所有关于“密码已拿到”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **同步链上交易记录**：优先点击“同步交易”，获取该地址完整历史流水，确认是否存在大额转入后转出的轨迹。
2. **检查文件内地址簿**：从 `wallet.dat` 中提取该钱包曾生成过的所有地址（非攻击步骤，仅静态读取），与链上数据比对，看是否有其他关联地址存有余额。
3. **核对文件来源上下文**：路径中含 `MEGA-BONUS` 与 `fake.czb.com`，建议回溯该文件的上传来源、关联案件或活动名称，判断是否属于已知“空投/活动”钱包。
4. **确认文件是否加密**：检查 `wallet.dat` 头部结构，确认是否使用了加密（若未加密，则无需破解即可读取密钥；若加密，再评估字典方向）。
5. **寻找同批次钱包**：检索系统中是否存在与1864同路径、同命名规则的其他钱包ID，批量比对余额与密码状态，寻找共性规律。
6. **补充“最后活跃时间”**：通过外部区块链浏览器（如LTC区块浏览器）手动查询该地址最后交易时间，弥补内部同步缺失。
7. **确认业务标注阈值**：向业务方核实“余额很小”的具体阈值定义（如<0.01 LTC），避免因阈值误判而提前放弃。
8. **保留文件原始哈希**：记录当前文件的SHA-256哈希值，防止后续分析过程中文件被意外修改，确保证据链完整。

### 7. 已尝试方向回顾（避免重复投入）

- **链上余额检查**：已完成，结论为0 LTC，无需重复查询。
- **密码状态核验**：已确认 `cracked_password = 否`，当前不应再投入资源进行大规模口令测试，除非出现新的线索（如文件来源暗示特定口令规则）。
- **交易同步尝试**：系统内未同步成功，但**外部区块浏览器查询尚未尝试**，可作为下一步补充。
- **文件静态分析**：仅确认了格式与大小，尚未提取地址簿或检查加密标志——这部分是**未完成**而非“已失败”，值得继续。