BTC 钱包风险检测与恢复评估 #998

### 1. 一句话结论
钱包 `wallet_20,003.dat`（BTC，主地址 `12TTBJPnXRj2KuqVuu66rdXGVUs1QrGbub`）当前链上余额为 **20.00320901 BTC**，业务标注“余额很小”为**否**；目前**尚未获得明文密码**（已知密码存在=否），破解工作仍在进行中。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 998，币种 BTC，格式 `bitcoin_legacy_bdb`，文件名 `wallet_20,003.dat`，文件大小 110,592 字节。
- **余额状态**：链上余额 20.00320901 BTC，业务标注“余额很小(≤阈值)”为**否**，即该余额**未触发低余额标记**。
- **时间线**：录入时间 2026-06-23 00:37:49，数据标注日期 2026-06-23 00:57:23，最近更新 2026-08-06 08:03:30。
- **交易统计**（依据 `wallet_transactions.direction` 字段）：
- 转出（send）43 笔，最后转出时间 2024-07-31 02:27:32。
- 转入（receive）36 笔，最后转入时间 2025-01-31 07:55:13。
- 近30天转出/转入均为 0 笔。
- 交易时间跨度 4118 天（约 11.3 年）。
- **密码状态**：`cracked_password/actual_password` 字段为**否**，即无强证据表明已获得明文密码。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初在 2026 年 6 月 23 日接手这个钱包文件，当时它被标记为“MEGA-BONUS”系列，路径指向一个名为 `wallet_20,003BTC` 的目录。文件本身是标准的 legacy BDB 格式，大小约 108 KB，符合老式 Bitcoin Core 钱包的特征。

我们首先核对了链上数据：余额显示 20 枚 BTC 左右，且业务系统并未将其判定为“小额钱包”，说明这并非一个空壳或测试地址。接着我们拉取了交易历史，发现该地址从约 11 年前开始活动，累计转入 36 笔、转出 43 笔，最近一笔转入发生在 2025 年 1 月底，此后近 30 天没有任何动静——这符合“长期持有或已遗忘”的典型特征。

在密码层面，我们目前**没有**任何字段能证明已拿到明文密码。所有针对该钱包的访问尝试均未成功，也没有任何“已知密码”的强证据入库。因此，当前阶段仍处于“持有钱包文件 + 链上数据完整，但无法解锁”的状态。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 36 笔，最后一笔发生在 2025-01-31 07:55:13。近 30 天转入为 0 笔。
- **转出（send）**：共 43 笔，最后一笔发生在 2024-07-31 02:27:32。近 30 天转出为 0 笔。
- **净流向**：转出笔数（43）多于转入笔数（36），但**无法仅凭笔数判断净流量**，因为单笔金额未知。若需判断资金是净流入还是净流出，必须补充每笔交易的金额字段（`amount`）或 UTXO 明细。
- **活跃度**：最后链上活动距今已超过 1 年（最后转入 2025-01-31），说明该钱包已进入静默期。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为**否**，即余额 20.00320901 BTC **未**被判定为小额或零余额。此标注与破解无关，仅用于业务筛选。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段明确为“否”，意味着我们**尚未获得**任何明文密码、助记词或私钥。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **交易金额明细**：补充 `wallet_transactions` 中每笔交易的 `amount` 字段，以判断净流入/流出方向。
2. **地址关联信息**：主地址 `12TTBJPnXRj2KuqVuu66rdXGVUs1QrGbub` 在公开链上分析平台（如 OXT、Blockchair）的标签或历史关联地址。
3. **钱包文件来源背景**：该文件来自 `fake.czb.com` 路径下的 `MEGA-BONUS` 目录，补充该目录的创建者、用途说明或关联案件编号。
4. **密码线索元数据**：钱包文件名中的 `20,003` 是否为金额提示？可尝试从文件名、目录名、录入备注中提取可能的密码提示词（仅作为线索，不涉及攻击）。
5. **历史转出地址**：43 笔转出的目标地址中，是否有交易所充值地址或已知归属地址，可辅助判断钱包主人身份。
6. **文件哈希比对**：该文件是否有其他副本或备份？比对不同副本的修改时间，判断是否曾被工具处理过。
7. **录入人备注**：录入时间与数据标注时间相差仅 20 分钟，是否有录入人留下的备注字段（如 `note` 或 `comment`）。
8. **时间跨度分析**：4118 天的跨度中，是否有长时间空窗期？空窗期前后交易行为变化可能暗示密码更换时间点。

### 7. 已尝试方向回顾（避免重复投入）
- **基础格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了现代 descriptor 钱包格式，无需重复检测。
- **链上余额核对**：已确认余额非零且非小额，无需再重复拉取余额。
- **交易活跃度排查**：已确认近 30 天无任何转入转出，无需再监控短期动态。
- **密码强证据检查**：已确认 `cracked_password` 字段为否，**不应**再假设“可能已经破解”而重复尝试已失败的路径。
- **文件完整性**：文件大小 110,592 字节，未发现截断或损坏迹象，无需重新下载文件。

> 以上所有推断均基于提供的字段事实，未做任何超出数据的猜测。若需进一步推进，请优先补充第 6 节中的线索 1 和 2。