BTC 钱包风险检测与恢复评估 #1262

### 1. 一句话结论
这是一个持有约 **28.12 BTC** 的比特币 Legacy 格式钱包（ID 1262），当前**尚未获得明文密码**，但链上数据显示其历史上曾有过活跃转入与一次转出，最近一次转入发生在 2026 年 5 月，目前仍处于密码验证与线索补全阶段。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1262，主地址 `1ELCrM2FMXePtsGLRbcqAdhj61EUGmUtK9`，币种 BTC。
- **余额**：28.12067444 BTC（业务标注“余额很小”为**否**，即余额不低）。
- **文件信息**：`wallet_28,12.dat`，格式 `bitcoin_legacy_bdb`，大小 57,344 字节，路径指向 `fake.czb.com` 的 review 数据集。
- **密码状态**：`cracked_password/actual_password` 字段为**否**，即目前没有强证据表明已拿到明文密码。
- **链上统计**（依据 `wallet_transactions.direction`）：
- 转入 10 笔，最后转入时间 2026-05-23 06:00:03；
- 转出 1 笔，最后转出时间 2012-10-30 11:22:16；
- 近 30 天转入/转出均为 0；
- 交易时间跨度 4953 天（约 13.5 年）。
- **录入与更新**：录入于 2026-06-23，数据标注同日，最近更新 2026-08-07。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份名为 `MEGA-BONUS_BITCOIN CORE WALLETS` 的批量数据集里定位到这个钱包。它属于 `bitcoin_legacy_bdb` 格式，文件体积不大，但余额并不小，因此被列入重点观察名单。

首先，我们核对了钱包文件的基本属性（路径、大小、版本），确认它是一份可解析的 Bitcoin Core 旧版数据文件。随后，我们同步了链上交易摘要，发现这个地址在 2012 年有过一笔转出，之后长期沉寂，直到 2026 年 5 月又出现了一笔转入。这说明该地址在近期仍被使用或有人向其中充值，并非完全废弃。

在密码层面，我们目前只确认“尚未获得明文密码”。我们检查了业务标注中的“余额很小”字段，结果为否，说明这不是一个被业务方判定为“低价值/可放弃”的钱包，值得继续投入。整个推进过程目前停留在“资料齐全、密码未破、链上活跃度有限”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 10 笔，最后一笔发生在 2026-05-23。近 30 天无新增转入。
- **转出（send）**：共 1 笔，发生在 2012-10-30。近 30 天无转出。
- **解读**：该地址早期（2012 年）有过一次支出，之后长期作为收款地址使用；2026 年 5 月仍有一笔入账，说明地址并未完全休眠。但近一个月内无任何链上活动。
- **未知项**：每笔交易的具体金额、对手方地址、交易哈希等明细未在本次数据中提供，暂无法进一步分析资金流向。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为**否**，即业务方不认为此钱包余额低到可以忽略，仍具有较高处理优先级。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段未标记为“是”，因此我们**尚未获得明文密码**，也没有任何强证据表明密码已被验证成功。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 获取该钱包的完整交易明细（交易哈希、金额、对手地址），用于交叉验证资金来源与去向。
2. 查找同批次 `MEGA-BONUS` 数据集内其他钱包文件，看是否存在相同密码或助记词复用（仅作关联分析，不涉及破解）。
3. 补充钱包创建时间或首次使用时间（如从 `wallet.dat` 内部元数据提取）。
4. 确认 2026-05-23 那笔转入的来源地址，判断是否为已知交易所或托管方。
5. 检查该地址是否出现在公开的比特币地址标签库（如钱包归属、交易所冷热钱包标记）。
6. 调取 2012 年转出交易的找零地址，判断是否与当前主地址存在关联。
7. 核实业务方是否持有该钱包的备份文件或历史密码提示（如旧笔记、邮件记录）。
8. 若允许，尝试与录入人（2026-06-23 录入）沟通，确认数据来源与原始获取渠道。

### 7. 已尝试方向回顾（避免重复投入）
- 已确认钱包文件格式与版本（`bitcoin_legacy_bdb`），并完成基础解析。
- 已同步链上交易摘要，确认转入/转出笔数与时间跨度。
- 已核对业务标注“余额很小”字段，排除低价值放弃项。
- 已确认密码状态为“未获得明文密码”，**未进行任何成功破解**，后续无需再重复验证“是否已破解”这一前提。
- 尚未尝试的方向：交易明细级分析、地址标签关联、同批次文件横向比对——这些是下一步重点，而非重复解析文件本身。