BTC 钱包风险检测与恢复评估 #1083

### 1. 一句话结论
该BTC钱包（ID 1083）当前链上余额为 **6512.07105924 BTC**，但**尚未获得明文密码**，且业务标注“余额很小”为**否**，即余额并非业务层面的“0值/小额”标记；目前处于“有余额、无密码”的待破解状态。

---

### 2. 我们掌握的事实（证据链）
- **钱包标识**：主地址 `1AYLzYN7SGu5FQLBTADBzqKm4b6Udt6Bw6`，钱包名称为 `Wallet_Electrum_6511_AND_0_1_BTC_1AYLzYN7SGu5FQLBTADBzqKm4b6Udt6Bw6`，并存在一个 `.backup` 备份文件（关联地址 `1FpqQnKQCgDkJFMC94JL8FpRyHTZ3uRVZ1`）。
- **文件信息**：钱包文件大小 1,042,440 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/unknown/MEGA-BONUS_...` 目录下，录入时间为 2026-06-23，最近更新时间为 2026-08-06。
- **余额与密码状态**：链上余额 6512.07105924 BTC；`cracked_password/actual_password` 字段明确为 **否**，即**没有已知明文密码**。
- **交易统计**（依据 `wallet_transactions.direction` 字段）：
- 转出（send）仅 **1 笔**，最后转出时间 **2017-02-24**；
- 转入（receive）共 **60 笔**，最后转入时间 **2026-05-22**；
- 近30天转出/转入均为 **0 笔**；
- 交易时间跨度 **5507 天**（约 15 年）。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026 年 6 月 23 日被录入系统，当时它带着一个非常显眼的名字——“6511 BTC 和 0.1 BTC”，以及一个 `.backup` 后缀，这让我们怀疑它可能包含两个不同额度的地址或账户信息。文件路径里带有 `MEGA-BONUS` 和 `unknown` 标记，说明它来自一个“未知归属”的批量导入批次。

我们首先核对了链上数据：余额确实有 6512 个 BTC 左右，不是空钱包。但关键问题是——**我们手里没有密码**。`cracked_password` 字段明确为“否”，意味着到目前为止，所有尝试都还没有拿到可用的明文密码或助记词。

从交易流水看，这个钱包在 2017 年 2 月 24 日有过一次转出，之后长达 9 年没有再动过“出账”；但转入一直在持续，直到 2026 年 5 月 22 日还有最后一笔入账。这说明它可能是一个“长期收藏型”地址，或者是一个被遗忘的存储钱包。近 30 天没有任何动静，也排除了近期活跃操作的可能。

目前我们停留在“确认有币、但打不开门”的阶段。所有后续工作都围绕“如何合法合规地找回或验证所有权”展开，而不是盲目猜测密码。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 1 笔，发生在 **2017-02-24 13:26:20**。这是该钱包唯一一次主动支出记录。
- **转入（receive）**：共 60 笔，最后一笔发生在 **2026-05-22 10:38:22**。转入频率较高，但近 30 天为 0。
- **近期动态**：近 30 天转出 0 笔、转入 0 笔，钱包处于“静默”状态。
- **未同步/未知**：除上述统计外，没有更细粒度的单笔金额、对手地址或交易哈希数据，因此无法判断每笔转入的具体来源或意图。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即系统并未将本钱包标记为“余额为0或极小”的无效钱包。相反，它有 6512 BTC 的链上余额，属于高价值目标。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段为“否”，表示**尚未获得任何明文密码、助记词或私钥**。所有关于“已破解”的说法均不成立，目前仍处于“有币无钥”的状态。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取该钱包的完整交易哈希列表**（60笔转入+1笔转出的txid），用于链上溯源和地址聚类分析。
2. **补充钱包文件头信息**（如Electrum版本号、加密算法标识），用于判断加密方式（但不得尝试还原密码）。
3. **查找同名/同路径下的其他钱包文件**，路径中 `MEGA-BONUS` 可能暗示同一批次存在多个钱包，可能共享某些元数据。
4. **核对 `.backup` 文件与主文件是否内容一致**，排除备份文件损坏或包含额外密钥分片（仅做文件比对，不做暴力破解）。
5. **查询该地址在2017年转出前的历史余额**，判断是否曾有大额转出或归集行为。
6. **检查是否有配套的“提示词”或“备注”文件**（如txt、pdf、截图）存放在同一目录下。
7. **确认该钱包是否来自某个已知的“丢失钱包”数据库或公开数据集**（路径含 `fake.czb.com`，可能为测试数据，需核实来源）。
8. **补充“录入人/来源批次”字段**，了解是谁、在什么场景下导入该钱包，有助于判断是否属于“有主待认领”资产。

---

### 7. 已尝试方向回顾（避免重复投入）
- **密码状态核实**：已确认 `cracked_password` 为“否”，说明此前未成功获取明文密码，后续不应再重复“猜测密码是否已知”这一环节。
- **余额有效性确认**：已确认余额非“0值”业务标注，排除了“空钱包误报”的可能，无需再重复核对余额是否有效。
- **交易活跃度排查**：已确认近30天无任何转入/转出，说明该钱包当前不活跃，无需再重复检查“近期是否有新交易”来寻找线索。
- **文件基础信息采集**：已记录文件大小、路径、名称、备份文件关联地址，下一步应转向“外部线索补充”，而非再次扫描同一文件的基础属性。