BTC 钱包风险检测与恢复评估 #1635

### 1. 一句话结论
该BTC钱包（ID 1635）当前余额极低（0.00001802 BTC），业务上已标注为“余额很小”，且**尚未获得明文密码**；链上活动在2025年1月后完全静止，属于典型的“低价值、待归档”钱包。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `1DGNFJ6i4wvTAafLNux67w598bKREF5LwY`，格式为 `bitcoin_legacy_bdb`（老式BDB钱包），文件名含“8 сотня 100”及“MEGA-BONUS”字样，疑似批量生成或活动奖励钱包。
- **余额与标注**：余额 `0.00001802 BTC`，业务系统已打标“余额很小(≤阈值)”。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有已知明文密码**。
- **文件信息**：大小 `73728` 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 下，录入时间 2026-06-23，最后更新 2026-08-06。
- **交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）12笔，最后转出 2024-11-22；
- 转入（receive）12笔，最后转入 2025-01-28；
- 近30天转入/转出均为0笔；
- 交易时间跨度 3861 天（约10.5年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最初在2026年6月23日进入我们的取证清单，当时它被归入一个名为“MEGA-BONUS”的批量文件夹，文件名里带着“8 сотня 100”的编号，看起来像是某次活动批量生成的老式Bitcoin Core钱包。我们首先核对了它的链上状态：余额只有小数点后四位，业务系统随即自动打上“低价值”标签。

接着我们检查了交易历史——转入和转出各12笔，最后动账停在2025年1月，之后再无任何动静。这说明钱包主人早已弃用，或者这本身就是个“一次性接收”地址。在密码方面，我们对照了已知的密码线索库，但字段 `cracked_password` 返回“否”，意味着目前没有任何一条候选密码能通过验证。整个推进过程到此为止，没有发现需要继续深挖的高价值信号。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共12笔，最后一笔发生在 **2025-01-28 15:26:42**。近30天转入为0。
- **转出（send）**：共12笔，最后一笔发生在 **2024-11-22 04:49:15**。近30天转出为0。
- **净流向判断**：仅凭笔数无法判断净流入/流出（需单笔金额数据，当前未同步），但时间跨度长达3861天，且近半年无任何活动，说明该地址已进入“休眠”状态。
- **未知项**：单笔金额、交易对手地址、是否涉及混币或交易所提现——这些字段当前数据集中未提供。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注“余额很小(≤阈值)”是**基于余额数值**（0.00001802 BTC）的自动判断，与密码无关。
- **密码状态**：**尚未获得明文密码**。字段 `cracked_password/actual_password = 否`，表示所有已尝试的候选均未通过验证。我们**没有**任何证据表明密码已被还原，也不存在“已破解”的说法。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **单笔交易金额明细**（`wallet_transactions.amount`）——判断12笔转入/转出是否只是“粉尘交易”或小额测试。
2. **交易对手地址**（`wallet_transactions.counterparty`）——确认是否关联已知交易所或混币器。
3. **钱包创建时间或首次交易时间**——验证3861天跨度是否真实反映钱包年龄。
4. **文件名中“MEGA-BONUS”的活动背景**——若为活动空投钱包，可能批量生成，密码规则可能相同。
5. **同批次其他钱包的密码状态**——若同目录下其他钱包已成功，可复用其密码策略（仅作线索，不涉及攻击细节）。
6. **钱包文件是否包含元数据**（如`mkey`加密时间戳）——用于判断加密算法版本，而非破解步骤。
7. **用户是否曾提交过任何密码提示或部分片段**——若有，可缩小验证范围。
8. **链上UTXO详情**——确认余额是否由多笔小额构成，还是单笔遗留。

### 7. 已尝试方向回顾（避免重复投入）
- **密码候选验证**：已对照现有密码线索库进行匹配，结果均为“否”，无需重复测试相同候选。
- **业务标注确认**：已确认“余额很小”是系统自动打标，不涉及人工判断，无需再复核。
- **交易活跃度筛查**：已确认近30天无任何转入/转出，排除了“近期活跃”的可能性，不必再刷新交易数据。
- **文件完整性检查**：文件大小73728字节，路径正常，未发现损坏或截断迹象，无需重新提取。