LTC 钱包风险检测与恢复评估 #1046

### 1. 一句话结论
这是一个LTC（莱特币）钱包的取证复盘：当前链上余额为0，且**未发现任何已同步的交易记录**，钱包文件本身尚未被成功解密（未拿到明文密码），目前处于“有文件、无余额、无交易、未破解”的早期停滞阶段。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1046，主地址 `LfRQj4hYJc6JMgJB3cGnNBFNrJkLGheEAp`，币种为 LTC。
- **文件状态**：钱包文件为 `wallet.dat`，格式标注为 `bitcoin_legacy_bdb`（即老式Berkeley DB格式），文件大小约 999,424 字节（约976KB），路径指向 `MEGA-BONUS_Litecoin_wallet.dat-30934fcb0973` 目录。
- **余额状态**：当前显示余额为 `0.00000000` LTC，且业务系统标注“余额很小（≤阈值）”。
- **破解状态**：关键字段 `cracked_password/actual_password` 明确为“否”，即**尚未获得明文密码或助记词**。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”，意味着转入/转出历史均未拉取。
- **时间线**：钱包于 2026-06-23 录入并完成数据标注，最近一次更新为 2026-08-06，但更新未改变上述核心状态。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日，我们在 `/www/czb-wallet-common/datasets/fake.czb.com/LTC/review/` 路径下发现了一个名为 `MEGA-BONUS_Litecoin_wallet.dat` 的钱包文件。文件命名带有“MEGA-BONUS”营销色彩，推测可能来自某个活动或旧平台遗留。我们将其登记为钱包ID 1046，并确认其属于LTC币种，格式为老式的 `bitcoin_legacy_bdb`（这类文件通常需要特定工具读取）。

录入后，我们首先检查了文件本身的基本属性：大小约976KB，结构完整，并非空文件或损坏文件。随后我们尝试读取钱包内的地址信息，成功提取出主地址 `LfRQj4hYJc6JMgJB3cGnNBFNrJkLGheEAp`，但该地址在链上并未同步到任何交易记录。

与此同时，我们尝试对钱包文件进行解密验证，但截至目前，**没有任何证据表明密码已被攻破**——字段 `cracked_password` 仍为“否”。这意味着我们虽然拥有文件，但无法打开其内部的钱包管理功能（如查看私钥或签名交易）。

8月6日我们做了一次状态刷新，但链上数据依旧空白，余额依旧为0。目前案件卡在“文件在手，但既无交易线索、也无密码突破”的节点上。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：未知。链上交易摘要未同步到任何记录，无法确认该地址历史上是否收到过LTC。
- **转出（send）**：未知。同样因未同步交易，无法确认是否存在转出行为，更无法判断“最后转出时间”。
- **当前余额**：0.00000000 LTC（仅代表当前节点查询结果，不代表历史峰值）。

> 注意：由于交易未同步，任何关于“曾有大额转入”或“已清空资产”的猜测均无数据支撑，需先完成链上同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为0的业务标注**：系统标注“余额很小（≤阈值）”为**业务侧判断**，仅说明当前钱包地址下没有可观的LTC资产，这可能是历史转出所致，也可能是该地址从未收到过资金。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，且无任何强证据表明密码已被验证。因此，我们目前**无法**打开钱包进行内部操作，所有关于“钱包内是否还有其他地址/私钥”的结论均为未知。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先在页面点击“同步交易”，获取该地址完整的转入/转出历史，这是判断资金流向的基础。
2. **检查文件来源上下文**：追查 `MEGA-BONUS_Litecoin_wallet.dat` 文件所在目录的上级路径（`fake.czb.com/LTC/review/`），确认该文件是来自某个营销活动备份、用户提交还是旧系统迁移。
3. **核对文件哈希与元数据**：提取该 `wallet.dat` 的创建时间、修改时间等元数据，与录入时间（2026-06-23）比对，判断文件是否被二次修改。
4. **搜索同目录其他文件**：查看 `review` 目录下是否存在同名或关联的 `.txt`、`.csv`、`.log` 文件，可能包含密码提示或交易备注。
5. **检查钱包内部地址数量**：在未解密状态下，尝试用只读工具（如离线解析BDB结构）统计该文件内包含的地址总数，确认是否只有主地址一个。
6. **调取平台业务记录**：若该钱包来自“MEGA-BONUS”活动，向业务方调取该活动的用户注册信息、充值记录或客服工单。
7. **补充密码线索材料**：若存在可能的密码来源（如用户常用密码库、历史泄露库），请提供相关上下文，但需注意合规授权。
8. **确认钱包版本兼容性**：核实 `bitcoin_legacy_bdb` 格式是否与当前LTC节点版本兼容，排除因格式误判导致的读取失败。

### 7. 已尝试方向回顾（避免重复投入）
- **基础文件检查**：已确认文件存在、大小正常、格式为 `bitcoin_legacy_bdb`，无需重复做完整性校验。
- **地址提取**：已成功提取主地址，但未发现其他地址（受限于未解密，可能不完整）。
- **链上查询**：已尝试查询交易，但结果为“未同步”，需先完成同步动作，不要重复手动搜索区块浏览器（除非同步接口持续失败）。
- **密码破解尝试**：已进行过初步验证，但未成功（`cracked_password=否`）。在获得新的线索（如密码字典、用户习惯）之前，不建议盲目扩大测试范围，以免浪费算力。