BTC 钱包风险检测与恢复评估 #1501

### 1. 一句话结论
这是一个余额极小的比特币 Legacy 格式钱包（ID 1501），目前仅有 0.00113256 BTC 的链上资产，**尚未获得明文密码**，且业务层面已将其标注为“低价值/小额”钱包，建议控制后续投入成本。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `12ie6iDXeyBcyjSgdrs8Jo5eUbHg4r2N7Q`，文件名与地址一致，格式为 `bitcoin_legacy_bdb`（Berkley DB 旧版格式）。
- **资产规模**：余额 `0.00113256 BTC`，业务系统已打标“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即目前没有强证据表明已拿到明文密码。
- **文件信息**：大小 81920 字节，路径位于 `fake.czb.com/BTC/review/MEGA-BONUS_!!таблица_7я сотня 92...`，命名含“MEGA-BONUS”与俄语表格字样，疑似批量导入的 review 数据集。
- **时间线**：录入时间 2026-06-23，最后更新 2026-08-06，数据标注日期为录入后约 8 分钟。
- **交易统计**：转入 7 笔，转出 0 笔；最后转入时间 2025-01-27；近 30 天无任何转入/转出；交易时间跨度 1802 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最初在 2026 年 6 月 23 日被录入系统，当时数据快照显示它来自一个名为“MEGA-BONUS”的批量 review 目录，文件命名带有俄语“7я сотня 92”（意为“第 7 百号 92”），推测是某次批量导入的样本之一。

我们首先确认了它的格式是 `bitcoin_legacy_bdb`，这是比特币早期客户端常用的数据库格式。文件大小 81920 字节，属于较小的钱包文件，通常意味着历史交易不多。随后我们核对了链上交易：该地址一共收到过 7 笔转入，从未转出过，最后活动停留在 2025 年 1 月，之后便沉寂了。

在尝试恢复访问的过程中，我们重点排查了密码相关字段。截至目前，系统记录显示 `cracked_password` 为否，意味着**尚未验证出可用的明文密码**。同时，业务侧根据余额阈值将其标记为“小额钱包”，这直接影响了后续投入的资源优先级——我们不会为 0.001 BTC 级别的资产无限投入算力。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 7 笔，最后一笔发生在 2025-01-27 13:46:27。近 30 天转入 0 笔。
- **转出（send）**：共 0 笔，近 30 天转出 0 笔。**从未发生任何转出行为**。
- **最后转出时间**：未知（因为转出笔数为 0，不存在该时间点）。
- **解读**：该地址是一个典型的“只进不出”的收藏/沉睡地址，资金进入后从未移动。交易时间跨度 1802 天（约 4.9 年），说明它经历过较长的持有周期，但近期已完全停止活动。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注“余额很小（≤阈值）”，这是基于当前余额 `0.00113256 BTC` 做出的**经济价值判断**，与密码是否破解无关。
- **密码状态**：字段 `cracked_password/actual_password = 否`，即**尚未获得明文密码**。我们没有任何证据表明密码已被验证成功。所有关于“已破解”的说法均不成立。
- **结论**：即使余额很小，也不代表密码已拿到；反之，密码未拿到也不影响余额的客观存在。两者是独立维度。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充钱包来源背景**：查找 `MEGA-BONUS_!!таблица_7я сотня 92` 这批文件的导入批次说明，确认是否为已知泄露样本集。
2. **核对 7 笔转入的交易对手方**：通过链上分析，确认这些 BTC 来自交易所、矿池还是个人地址，有助于判断钱包持有者身份。
3. **检查同批次其他钱包**：路径中“7я сотня 92”暗示存在同批次的“第 7 百号”系列，对比同批钱包是否已有成功破解案例，可复用其字典策略（仅做内部参考，不公开细节）。
4. **确认钱包文件完整性**：验证 `.dat` 文件是否被截断或损坏，BDB 格式文件若头部损坏会导致密码验证误判。
5. **寻找历史备份或导出记录**：在原始数据源中搜索该地址是否曾出现在其他导出文件（如 CSV、TXT）中，可能附带明文密钥。
6. **检查系统日志中的尝试记录**：调取 2026-06-23 至 08-06 期间对该钱包的访问日志，确认是否已有过测试动作及结果。
7. **评估时间跨度价值**：1802 天的跨度意味着 2020 年附近可能有活跃记录，可尝试从该时间段的公开数据泄露库中匹配（仅限合规渠道）。
8. **业务决策确认**：鉴于余额极小，建议与需求方确认是否继续投入，或直接归档为“低优先级”状态。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了 SegWit 或 Descriptor 钱包的干扰。
- **密码状态核验**：已检查 `cracked_password` 字段，确认为否，说明此前未产生有效结果。
- **交易活跃度分析**：已确认近 30 天无活动，排除了“热钱包”可能性，降低了紧急度。
- **余额阈值评估**：业务侧已打标“小额”，意味着资源分配已降级。
- **未尝试方向**：尚未进行同批次钱包横向对比，也未深入链上交易对手分析——这两项是下一步的增量信息，而非重复劳动。