BTC 钱包风险检测与恢复评估 #1393

### 1. 一句话结论
这是一个BTC旧版钱包（Legacy/BDB格式），当前余额仅0.00169234 BTC，业务上被标记为“小额钱包”；目前**尚未获得明文密码**，所有关于“已破解”的说法均不成立。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1393，主地址 `18jANvQ6AuVGJnea4EhmXiAf6bHR5qKjPB`，文件名为同名 `.dat`，格式为 `bitcoin_legacy_bdb`（BTC旧版钱包）。
- **余额与标注**：余额 0.00169234 BTC，业务标注“余额很小（≤阈值）”，即该钱包在业务上被归为低价值/小额钱包。
- **密码状态**：字段 `cracked_password/actual_password` = **否**，即目前没有强证据表明已拿到明文密码。
- **文件信息**：文件大小 81920 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 下，属于“review（复核）”目录。
- **录入与更新时间**：录入时间 2026-06-23 00:45:50，数据标注日期 2026-06-23 00:57:44，最近一次更新 2026-08-05 23:12:00。
- **交易统计（来自 wallet_transactions.direction）**：
- 转出（send）：1 笔，最后转出时间 2009-02-04 07:04:52。
- 转入（receive）：14 笔，最后转入时间 2026-05-23 06:00:03。
- 近30天转出/转入笔数均为 0。
- 交易时间跨度 6318 天（约17.3年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在2026年6月23日被录入系统，当时我们拿到的是一个约80KB的旧版BDB文件。从文件名和路径看，它被放在“review”复核目录下，说明它一开始就不是主攻目标，而是批量复核中的一员。

我们首先做了静态信息登记：确认了主地址、文件格式、文件大小，并同步了链上交易摘要。链上数据显示，这个地址在2009年2月有过一笔转出，之后长期沉寂，直到2026年5月才出现最后一笔转入。转入14笔、转出仅1笔，且近30天无任何动静——这符合“历史遗留小额地址”的特征。

在密码验证环节，我们尝试了常规的合规验证流程（具体方法不展开），但截至目前，字段 `cracked_password/actual_password` 仍为“否”，说明**没有拿到明文密码**。同时，业务侧根据余额阈值将其标注为“小额钱包”，意味着即使后续打开，其直接价值也有限。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共14笔，最后一笔发生在 2026-05-23 06:00:03。近30天转入笔数为0，说明近期没有新的资金进入。
- **转出（send）**：共1笔，最后一笔发生在 2009-02-04 07:04:52。近30天转出笔数为0，说明近期没有资金转出。
- **整体判断**：该地址在2009年有过一次转出后，长期以接收为主，且最近一笔转入发生在2026年5月。交易时间跨度6318天，属于“超长期持有/休眠”型地址。**注意**：我们只基于 direction 字段统计笔数和时间，不推断具体金额流向或交易对手。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：余额 0.00169234 BTC，被业务侧标记为“余额很小（≤阈值）”。这是基于当前链上余额的客观判断，与密码是否破解无关。
- **密码状态**：字段 `cracked_password/actual_password` = **否**，即**尚未获得明文密码**。所有“已破解/已拿到密码”的说法均无事实依据。当前状态应描述为“仍在测试/未验证成功”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充钱包创建时间或首次交易时间**：用于判断该地址是否属于2009年早期挖矿或测试币地址。
2. **获取该地址的完整交易明细（含金额与对手地址）**：用于判断14笔转入是否来自同一来源，是否存在关联钱包。
3. **核实“review”目录的业务背景**：确认该钱包是主动送审还是被动复核，可能影响优先级。
4. **检查是否存在同名或同路径的其他备份文件**：防止遗漏更完整的钱包副本。
5. **补充钱包文件哈希值**：便于后续与其他样本做碰撞比对，确认是否已有公开样本。
6. **查询该地址在2009年转出时的链上上下文**：判断是否为早期测试交易。
7. **确认业务侧“小额阈值”的具体数值**：用于判断该钱包是否可能因余额过低而被降级处理。
8. **补充钱包持有者/来源的备注信息**：如果录入时有来源标签，将极大帮助判断。

### 7. 已尝试方向回顾（避免重复投入）
- **静态信息登记**：已完成地址、格式、路径、大小、时间戳的提取与归档。
- **链上交易摘要同步**：已获取转入/转出笔数、最后时间、时间跨度等统计字段。
- **常规密码验证流程**：已执行合规验证尝试，但结果字段仍为“否”，未取得明文密码。
- **业务小额标注**：已按阈值规则完成“小额钱包”标记，后续无需重复评估余额大小。
- **未尝试方向**：未进行深度交易图分析、未关联其他钱包、未申请补充外部情报——这些可作为下一步重点。