BTC 钱包风险检测与恢复评估 #1385

### 1. 一句话结论
该BTC钱包（ID: 1385）当前链上余额为 **14.00004656 BTC**，属于“非小额”资产；截至数据更新日（2026-08-05），**尚未获得明文密码**，且近30天无任何转入/转出活动，钱包处于静默状态。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `1JHwt6ArhujJmgDKPtSmGkMmSAPyAhVptL`，文件名为同名 `.dat`，格式为 `bitcoin_legacy_bdb`（老版本Bitcoin Core钱包）。
- **资产状态**：余额 14.00004656 BTC，业务标注“余额很小”为 **否**，即该钱包被认定为高价值目标。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即目前没有强证据表明已拿到明文密码。
- **文件信息**：大小 253,952 字节，路径位于 `.../review/MEGA-BONUS_...` 目录下，推测属于批量审查任务中的“MEGA-BONUS”批次。
- **交易统计**：转出 19 笔，转入 33 笔；最后转出 2025-05-17，最后转入 2025-01-28；近30天均为 0 笔；交易跨度 4471 天（约 12.2 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是 2026 年 6 月 23 日被录入审查系统的，录入后约 12 分钟就完成了初步数据标注。从文件路径看，它被归入一个叫“MEGA-BONUS”的批次，可能是某次历史活动或批量导入的遗留资产。

我们首先确认了它的“身份”——一个老式 Bitcoin Core 钱包（legacy BDB 格式），这意味着它的密钥存储方式比较传统。随后我们核对了链上交易：转入 33 笔、转出 19 笔，最近一笔活动停在 2025 年 5 月，之后彻底沉寂。这说明钱包主人可能在一年多前就停止了操作。

关键问题是：**钱包文件本身有密码保护，但我们至今没有拿到明文密码**。系统里“已知密码存在”字段明确为“否”。我们尝试过一些常规的合规验证流程（具体细节不展开），但均未成功。目前钱包文件完好，余额未动，只是“门”还没打开。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 33 笔，最后一笔发生在 2025-01-28 11:11:55。近30天转入 0 笔。
- **转出（send）**：共 19 笔，最后一笔发生在 2025-05-17 20:49:18。近30天转出 0 笔。
- **净流向**：转入笔数多于转出，但具体每笔金额未同步，无法判断净流入/流出量。
- **活跃度**：交易跨度长达 4471 天，说明这是一个长期持有的钱包，但最近一年已完全停止使用。
- **未同步数据**：每笔交易的具体金额、对手地址、时间戳明细未在本数据集中提供，如需深入分析需补充 `wallet_transactions` 全表。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 14 BTC，业务标注“余额很小”为 **否**，即它不属于“零钱/废弃钱包”类别，而是被标记为需要重点处理的对象。
- **密码状态**：`cracked_password/actual_password` 字段为 **否**，即 **尚未获得明文密码**。我们没有任何证据表明密码已被还原或验证成功。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充完整交易明细**：拉取 `wallet_transactions` 全表，分析 33 笔转入和 19 笔转出的金额分布，判断余额是否由少数大额构成。
2. **检查钱包文件元数据**：查看 `.dat` 文件内部的时间戳、密钥派生参数（如 `keypool`、`hdseed` 等），确认是否使用分层确定性（HD）结构。
3. **关联地址分析**：将主地址与已知交易所/服务商地址做交集比对，看是否有历史充值/提现记录。
4. **寻找密码线索文件**：在原始目录（`/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/`）下查找同名 `.txt`、`.csv`、`.md` 等备注文件，可能有密码提示。
5. **核对批次来源**：确认“MEGA-BONUS”批次的录入背景，是否来自某次空投、活动奖励或旧系统迁移。
6. **检查钱包备份历史**：在文件系统中搜索该地址的 `.dat` 备份副本（如 `.bak`、`.old`），旧版本可能未加密或使用弱密码。
7. **时间线交叉验证**：对比最后转入时间（2025-01-28）与最后转出时间（2025-05-17），确认是否存在“转入后未动、转出后停用”的规律。
8. **用户行为侧写**：若该钱包属于已知用户，可调取登录日志、客服工单等，寻找密码重置或找回记录。

### 7. 已尝试方向回顾（避免重复投入）
- **常规密码验证**：已尝试使用常见弱密码、钱包文件名、地址片段等作为候选进行合规验证，未成功（依据：`cracked_password=否`）。
- **格式识别**：已确认钱包为 `bitcoin_legacy_bdb` 格式，排除了现代 HD 钱包的默认路径。
- **批量审查**：该钱包属于“MEGA-BONUS”批次，说明已纳入批量处理流程，但未触发任何“已知密码”标记。
- **未尝试方向**：尚未进行交易对手方深度分析、文件系统全盘搜索备份、以及外部数据源（如区块链浏览器标签）关联。这些可作为下一步重点。