BTC 钱包风险检测与恢复评估 #966

### 1. 一句话结论
钱包 966（BTC 主地址 1F654t1HxrZtg7uhcXyZeFvRsyB8HCnBXJ）当前链上余额为 **1.10382692 BTC**，属于**非零余额**且**尚未获取明文密码**；该钱包在 2013 年有过 1 笔转出，2026 年 3 月有过 1 笔转入，近期（近 30 天）无任何链上活动。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 966，币种 BTC，格式 `bitcoin_legacy_bdb`（旧版 Bitcoin Core 钱包）。
- **余额状态**：链上余额 1.10382692 BTC，业务标注“余额很小”= **否**，即该余额**不视为可忽略的小额**。
- **密码状态**：字段 `cracked_password / actual_password` = **否**，即**没有**任何已确认的明文密码或助记词证据。
- **文件信息**：钱包文件大小 73,728 字节，路径指向 `MEGA-BONUS / 1 BTC - 1F654...dat`，录入时间 2026-06-23，最后更新 2026-08-18。
- **交易统计（来自 `wallet_transactions.direction`）**：
- 转出（send）：1 笔，最后转出时间 **2013-04-25 06:17:40**。
- 转入（receive）：17 笔，最后转入时间 **2026-03-14 02:05:28**。
- 近 30 天转出/转入均为 0 笔。
- 交易时间跨度 4706 天（约 12.9 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026 年 6 月 23 日被录入系统，当时我们拿到的是一个旧版 Bitcoin Core 格式的 `.dat` 文件，文件名带有“MEGA-BONUS / 1 BTC”的营销字样，暗示它可能是一个历史活动或奖励钱包。文件本身只有 73KB，属于典型的轻量级钱包数据库。

我们首先核对了链上数据：发现这个地址在 2013 年 4 月有过一次转出，之后沉寂了很长时间，直到 2026 年 3 月突然有一笔转入。转入后余额变为现在的 1.10382692 BTC，但近 30 天没有任何动静——说明这笔转入可能是“归集”或“测试”操作，而非日常使用。

在密码层面，我们检查了所有已知的密码证据字段，结论是**目前没有任何已确认的明文密码**。也就是说，我们虽然掌握了钱包文件，但还没有打开它的钥匙。所有关于“破解成功”的说法都是不成立的。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 1 笔，发生在 **2013-04-25**。这是该地址最早的活动之一，距今超过 12 年。
- **转入（receive）**：共 17 笔，最后一笔在 **2026-03-14**。这 17 笔转入的具体金额分布未提供，无法判断是否为同一来源。
- **近期动态**：近 30 天转出/转入均为 0，说明当前处于**静默状态**。
- **未知项**：转入/转出的对手地址、每笔金额、交易哈希均未提供，无法进一步分析资金流向。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为 0 的业务标注**：不适用。该钱包余额为 **1.10382692 BTC**，业务标注“余额很小”= 否，因此**不属于**“余额为 0 可放弃”的类型。
- **是否拿到明文密码**：**否**。字段 `cracked_password / actual_password` 明确为“否”，即我们**尚未获得**任何可用的明文密码、助记词或私钥。所有关于“已破解”的说法均无事实依据。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取 2013 年转出交易的完整哈希与对手地址**——这是该地址唯一一次转出，可能关联原始创建者身份。
2. **获取 2026-03-14 转入交易的来源地址与金额**——这笔转入是余额变化的关键，可能来自交易所或关联钱包。
3. **补充钱包文件创建时间或首次使用时间**——用于判断“MEGA-BONUS”活动的时间背景。
4. **查找该地址在 2013 年是否关联任何公开论坛/比特币水龙头活动**——文件名暗示“奖励”属性。
5. **提供该钱包文件是否包含多个地址**——旧版 BDB 格式可能包含密钥池，不止一个地址。
6. **检查是否有同批次录入的其他钱包文件**——如果存在系列钱包，可能共享密码规则。
7. **补充该地址在 2013-2026 年间的完整交易列表**——目前只有汇总统计，缺少中间过程。
8. **确认 2026-03-14 转入后是否有任何离线签名或部分签名交易记录**——判断是否有人正在操作该钱包。

### 7. 已尝试方向回顾（避免重复投入）
- **密码证据核查**：已确认所有 `cracked_password / actual_password` 字段为否，**无需再次检查**该字段。
- **余额业务标注判断**：已确认该钱包不属于“余额为 0 可忽略”类别，**不应**因“余额小”而降低优先级。
- **交易方向统计**：已基于 `direction` 字段完成转入/转出计数，**不应**再手动猜测某笔交易是转入还是转出。
- **文件格式识别**：已确认为 `bitcoin_legacy_bdb`，**无需**重新判断格式类型。
- **近期活跃度排查**：已确认近 30 天无交易，**无需**再次扫描近期链上活动。