LTC 钱包风险检测与恢复评估 #1386

### 1. 一句话结论
这是一份针对 LTC 钱包（ID: 1386）的阶段性取证复盘：我们目前**尚未获得明文密码**，链上交易记录**未同步**，因此转入/转出与最后活动时间均无法确认；当前最有价值的线索集中在钱包文件的命名与路径结构上。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1386，币种 LTC，主地址 `LhQ94k9P2dFChNU9pi3bGpBQZpmwhjo7pP`。
- **文件格式**：`bitcoin_legacy_bdb`，即 Bitcoin Core 旧版钱包（BDB 数据库格式），文件扩展名为 `.dat`。
- **文件大小**：46,112,768 字节（约 44 MB），属于体积较大的钱包文件，可能包含较多历史密钥或地址记录。
- **钱包名称**：`DOGE +LTE+VACIA / LhQ94k9P2dFChNU9pi3bGpBQZpmwhjo7pP.dat`，名称中混有“DOGE”“LTE”“VACIA”等字样，与当前 LTC 币种不一致。
- **路径信息**：位于 `/www/czb-wallet-common/datasets/fake.czb.com/LTC/real/MEGA-BONUS_DOGE +LTE+VACIA_...`，目录名含 `MEGA-BONUS` 与 `fake.czb.com`，提示该文件可能来自某个活动或测试环境。
- **密码状态**：`cracked_password/actual_password` 字段明确为“否”，即**没有已知明文密码**。
- **余额标注**：业务标注“余额很小(≤阈值)”为“否”，说明**未被标记为小额钱包**，但该标注与链上实际余额是两回事。
- **录入/更新时间**：录入于 2026-06-23 00:45:33，数据标注于同日 00:58:27，最后更新于 2026-09-03 01:40:50，说明该钱包在 6 月录入后，至少被复查过一次（9 月）。
- **链上交易**：未发现已同步的交易记录。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一个名为“DOGE +LTE+VACIA”的 LTC 钱包文件，主地址为 `LhQ94...`。从路径看，它被归类在 `fake.czb.com` 下的 `LTC/real` 目录，且带有 `MEGA-BONUS` 前缀——这让我们推测它可能来自某个“大转盘/赠金”活动，但该推测目前**没有链上数据支撑**。

文件本身是 Bitcoin Core 旧版 BDB 格式，大小约 44 MB，说明不是空壳钱包。我们随即检查了“是否已有已知密码”这一关键字段，结果为“否”。这意味着我们手头并没有可直接解锁的凭据。

9 月 3 日，该钱包记录被更新过一次，但更新内容并未改变密码状态，也未补充交易同步信息。因此，我们目前停留在“文件在手、密码未明、链上未知”的阶段。所有后续推断都必须围绕文件名、路径、格式这三个事实展开，不能凭空猜测。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要显示“未发现已同步的交易记录”，因此无法确认该地址是否收到过 LTC。
- **转出记录**：未知。同样因未同步，无法确认任何转出行为或“最后转出时间”。
- **补充说明**：若要获得精确的转入/转出统计，需要先在页面点击“同步交易”，否则本小节只能维持“未知”状态。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为“否”，即系统**没有**将钱包标记为“小额/接近清零”。但这只是业务侧的一个阈值标记，**不能**替代链上真实余额查询。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段明确为“否”，因此我们**尚未获得**任何可用的明文密码、助记词或私钥。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，这是判断钱包是否仍有价值的基础。
2. **核对钱包名称中的“DOGE +LTE+VACIA”**：确认该文件是否曾被用于其他币种（如 DOGE）或活动，可能对应不同的密码设置习惯。
3. **查找同目录下的其他文件**：路径中 `MEGA-BONUS_DOGE +LTE+VACIA_...` 可能是一个系列，检查是否有同批次的兄弟钱包文件，便于横向比对。
4. **确认 `fake.czb.com` 环境属性**：该路径含 `fake`，需明确这是测试网、模拟数据还是正式环境误归档，这直接影响后续投入优先级。
5. **检查钱包文件内部地址数量**：通过合规工具（如离线解析 BDB 结构）统计该钱包包含多少个地址/密钥，判断 44 MB 是否对应大量历史地址。
6. **调取录入时的原始来源日志**：查看 2026-06-23 00:45 前后该文件的上传/导入记录，确认来源渠道。
7. **复查 9 月 3 日更新时的操作记录**：该次更新是否有人工介入？更新了哪些字段？可能隐藏了未写入摘要的线索。
8. **评估“余额很小”标注的判定时间**：该标注若基于历史快照，需确认快照时间点，避免因时间差误判。

### 7. 已尝试方向回顾（避免重复投入）
- **密码状态核查**：已确认 `cracked_password` 为“否”，无需再次猜测是否已有现成密码。
- **链上交易查询**：已尝试查看交易摘要，结果为“未同步”，说明当前数据源未接入链上信息，重复刷新本地摘要无意义，应优先做“同步”操作而非反复查看。
- **文件格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了现代描述符钱包格式，后续无需在格式判断上再花时间。
- **余额标注解读**：已明确“余额很小=否”是业务标注，不代表链上真实余额，避免再次混淆这两个概念。