BTC 钱包风险检测与恢复评估 #952

### 1. 一句话结论
这是一个余额极低（0.00000555 BTC）、业务上已标记为“小额/低价值”的 Legacy 格式 BTC 钱包；目前**尚未获得明文密码**，所有结论均基于链上交易统计与文件元数据，不涉及任何密码还原。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID 952，主地址 `1LrymdNnGvnNLE66cnnwn2YUxANKsrYUuU`，币种 BTC。
- **文件信息**：名称为 `wallet_5000BTC / wallet_5000.dat`，格式 `bitcoin_legacy_bdb`，大小 57344 字节，路径指向 `fake.czb.com` 数据集下的 `MEGA-BONUS` 目录。
- **余额状态**：当前余额 0.00000555 BTC，业务标注“余额很小（≤阈值）= 是”。
- **密码状态**：字段 `cracked_password / actual_password` 明确为“否”，即**没有已确认的明文密码**。
- **时间线**：录入 2026-06-23，更新 2026-08-06；链上交易时间跨度 3182 天（约 8.7 年）。
- **交易统计（来自 `wallet_transactions.direction`）**：转出 1 笔，转入 33 笔；最后转出 2022-09-05 04:50:38，最后转入 2022-09-05 13:47:08；近 30 天转入/转出均为 0。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最初进入视野，是因为文件名带有“5000BTC”和“MEGA-BONUS”字样，看起来像是一笔大额奖励的遗留物。我们首先核对了链上余额——结果只有 0.00000555 BTC，远低于名称暗示的量级。接着我们检查了交易流水：转入 33 笔、转出仅 1 笔，且最后一笔活动停留在 2022 年 9 月 5 日，之后再无动静。这让我们判断它更像是一个“历史接收地址”，而非活跃的大额金库。

在文件层面，我们确认了它是 Legacy BDB 格式的旧版 Bitcoin Core 钱包文件，大小 57KB，属于典型的小型钱包（通常只存少量密钥）。我们同步检查了业务系统里的“密码已知”标记，结果为否——也就是说，我们手里并没有任何已验证的密码或助记词。整个推进过程目前停留在“事实收集与状态确认”阶段，没有进入任何破解环节。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 33 笔，最后一笔发生在 2022-09-05 13:47:08。近 30 天转入 0 笔，说明该地址早已不再接收资金。
- **转出（send）**：共 1 笔，最后一笔发生在 2022-09-05 04:50:38。近 30 天转出 0 笔，说明没有近期支出行为。
- **净流向**：转入笔数远大于转出笔数，但**无法仅凭笔数判断净金额**——因为缺少每笔金额字段，我们不知道 33 笔转入的总量是否大于那 1 笔转出。若需判断“是否清空”，必须补充交易金额明细。
- **未同步数据**：交易哈希、每笔金额、对手地址均未提供，暂记为“未知”。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统将余额标记为“很小（≤阈值）”，这是一个**基于余额数值的业务判断**，不代表钱包已破解，也不代表钱包为空——它仍有 0.00000555 BTC。
- **密码状态**：`cracked_password` 字段为“否”，即**尚未获得明文密码**。我们没有任何证据表明密码已被验证或还原。所有“已破解”的结论均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **交易金额明细**：提供 33 笔转入和 1 笔转出的金额、时间戳、交易哈希——这是判断“是否清空”和“是否有大额历史”的关键。
2. **钱包创建时间/首次使用时间**：从 BDB 文件内部元数据或首个交易时间推断，帮助判断文件年代。
3. **文件名来源背景**：`MEGA-BONUS` 和 `5000BTC` 的命名来源（活动记录、备份说明），可能解释为何名称与余额不符。
4. **同一目录下其他钱包文件**：检查 `fake.czb.com/BTC/fake/` 下是否有同批次的姊妹钱包，可能共享助记词或密码策略。
5. **地址关联分析**：用主地址在公开链上浏览器查询历史大额交易（需补充交易哈希），确认是否曾有大额进出。
6. **密码线索登记**：若业务方曾记录过该钱包的密码提示、旧笔记或备份口令，请提供（仅用于合规验证，不要求明文）。
7. **钱包文件完整性校验**：确认 57344 字节文件是否完整、有无备份副本或损坏标记。
8. **时间线交叉验证**：2022-09-05 当天转入与转出仅相隔约 9 小时，需确认是否为同一笔操作的找零或归集行为（需交易哈希佐证）。

### 7. 已尝试方向回顾（避免重复投入）
- **余额与业务标注核对**：已完成，确认余额极低、业务已标记为低价值。
- **交易笔数统计**：已完成，确认转入 33 / 转出 1，且近 30 天无活动。
- **密码状态确认**：已完成，确认无已知明文密码，无需再次尝试“验证密码”类操作。
- **文件格式识别**：已完成，确认为 Legacy BDB，无需重复判断格式。
- **未尝试方向**：尚未进行链上金额明细拉取、地址关联分析、同目录文件排查——这些是下一步重点，避免在“无密码状态”下重复做无效的密码猜测。