BTC 钱包风险检测与恢复评估 #1810

### 1. 一句话结论
该钱包（ID 1810）是一枚持有 **22.85 BTC** 的比特币 Legacy 格式钱包，链上活动以历史转入为主（17 笔转入 vs 3 笔转出），近期无任何交易；目前**尚未获得明文密码**，且业务标注“余额很小”为**否**，说明余额规模未触发小额豁免，仍需继续推进取证。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `19Hj5Pzi4hCj12porw97i183XYTrScbtXS`，文件名含“WALLET 22.010 BTC”字样，与当前余额 22.85 BTC 基本吻合。
- **格式与来源**：`bitcoin_legacy_bdb`（Bitcoin Core 旧版 Berkeley DB 格式），文件大小 90,112 字节，路径位于 `fake.czb.com/BTC/real/MEGA-BONUS_15 WALLETS - BTC` 数据集下，属于批量“15 WALLETS”系列之一。
- **时间线**：录入 2026-06-23，最后更新 2026-08-06；链上交易跨度 4065 天（约 11 年）。
- **交易统计**（依据 `wallet_transactions.direction`）：
- 转入 17 笔，最后转入 2025-01-28 15:27:07；
- 转出 3 笔，最后转出 2013-12-17 00:15:17；
- 近 30 天转入/转出均为 0。
- **密码状态**：`cracked_password/actual_password` 字段为“否”，即**无明文密码证据**。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从数据集目录中定位到该钱包文件，首先确认了它的格式为 Bitcoin Core 旧版 BDB，这决定了后续读取方式。接着我们比对了文件名中的“22.010 BTC”与链上余额，发现两者高度一致，说明该文件很可能就是对应主地址的完整钱包数据，而非空壳或残留片段。

随后我们拉取了链上交易摘要，发现该地址在 2013 年有过少量转出，之后长期沉寂，直到 2025 年初又出现一笔转入。这种“早年转出、近年转入”的模式，提示该钱包可能经历了“旧币移动”或“归集”操作，但近 30 天无任何动静，说明当前处于休眠状态。

在密码层面，我们检查了已知密码字段，确认目前**没有**任何已破解或已泄露的明文密码可供直接使用。因此，我们并未进入“验证密码”阶段，而是停留在“持有钱包文件、但无法解锁”的状态。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 17 笔，最后一笔发生在 2025-01-28。说明该地址在 2025 年初仍有资金进入，但近 30 天无新增转入。
- **转出（send）**：共 3 笔，最后一笔发生在 2013-12-17。说明该地址自 2013 年底之后**再无任何转出**，资金沉淀超过 11 年。
- **净流向推断**：基于笔数（17 入 vs 3 出）和余额（22.85 BTC），可合理推断该钱包为“净流入”状态，但**具体每笔金额未同步**，无法给出精确的净流入数值。
- **未知项**：每笔交易的金额、对手地址、交易哈希均未在本次数据摘要中提供，如需深入分析需补充 `wallet_transactions` 明细表。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即系统判定 22.85 BTC 不属于“小额可忽略”范畴，因此该钱包**不会**因余额过低而被业务侧放弃或标记为低优先级。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段明确为“否”，我们目前**没有**任何明文密码、助记词或私钥证据，所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充 `wallet_transactions` 全量明细**（含金额、时间、对手地址），用于精确计算净流入与资金流向。
2. **获取该钱包文件的创建时间或首次同步时间**，辅助判断 BDB 内部结构是否完整。
3. **检查同批次“15 WALLETS”系列中其他钱包的密码状态**，若存在同密码复用，可交叉验证（仅作线索，不涉及攻击）。
4. **查找该地址在 2013-12-17 转出前后的链上关联地址**，确认是否与已知交易所或混币服务相关。
5. **核实 2025-01-28 最后一笔转入的来源**，判断是否为用户主动归集或第三方打款。
6. **确认钱包文件是否包含完整的 `mkey`（加密密钥）结构**，以评估可恢复性（仅评估，不展开操作）。
7. **检索公开泄露库中是否出现过该主地址或文件名片段**（仅作情报比对，不涉及破解）。
8. **补充钱包持有者身份线索**（如文件名中的“MEGA-BONUS”是否对应某活动或批次），用于缩小密码猜测范围（仅作背景调查）。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再重复判断格式。
- **链上统计**：已拉取转入/转出笔数与最后时间，无需重复统计。
- **密码证据检查**：已确认 `cracked_password` 字段为“否”，**不要**再基于“已破解”假设做后续推导。
- **余额业务标注**：已确认“余额很小=否”，**不要**再以“小额放弃”为由降低优先级。
- **未尝试方向**：尚未获取交易明细表、未做地址关联分析、未检查同批次钱包复用情况——这些是下一步重点，而非重复劳动。