BTC 钱包风险检测与恢复评估 #969

### 1. 一句话结论
这是一个余额为 0 的 BTC 遗留钱包（钱包ID: 969），目前**尚未获得明文密码**，链上活动已停滞多年，取证价值主要在于其历史交易记录与文件来源背景，而非可用资金。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：BTC 主地址 `1Ea2zY7BZtLKmcT83QXscXcBudWATcSf7v`，钱包ID 969。
- **文件信息**：格式为 `bitcoin_legacy_bdb`，文件名 `1Ea2zY7BZtLKmcT83QXscXcBudWATcSf7v.dat`，大小 73728 字节，路径指向 `MEGA-BONUS_57 файлов BTC LTC DOGE` 数据集（来源标注为 `fake.czb.com` 测试集）。
- **余额状态**：当前余额 `0.00000000` BTC，业务标注为“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即没有强证据表明已拿到明文密码。
- **链上交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）2 笔，最后转出时间 `2023-01-20 04:52:05`；
- 转入（receive）2 笔，最后转入时间 `2014-09-23 05:05:38`；
- 近 30 天转入/转出均为 0 笔；
- 交易时间跨度 3271 天（约 8.96 年）。
- **录入与更新时间**：录入 `2026-06-23 00:37:15`，数据标注 `2026-06-23 00:58:22`，最近更新 `2026-08-06 07:11:00`。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最初是在一批名为“MEGA-BONUS_57 文件”的批量数据集中被发现的，路径显示它来自一个测试域（`fake.czb.com`），因此我们一开始就把它当作**历史遗留样本**而非高价值目标来处理。

录入时（2026-06-23），系统先抓取了钱包文件的基本属性：格式是比特币老式 BDB 钱包，文件大小 73KB，属于小型钱包。随后我们同步了链上交易摘要，发现它的活跃期集中在 2014 年（转入）和 2023 年初（转出），之后彻底沉寂。

在尝试访问钱包内容的过程中，我们始终遵循“先验证、后结论”的原则。目前所有证据都指向同一个状态：**钱包内没有可用余额，且我们尚未获得任何明文密码或私钥**。所谓“余额为 0”是业务系统基于阈值给出的标注，而“未破解”则是基于密码字段缺失得出的独立结论——两者不能混为一谈。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 2 笔，最后一笔发生在 **2014-09-23**。说明该地址在 2014 年曾接收过资金，但具体金额与对手方地址未在本次摘要中提供。
- **转出（send）**：共 2 笔，最后一笔发生在 **2023-01-20**。说明在 2023 年初有一次或多次支出操作，此后无任何活动。
- **近期动态**：近 30 天转入、转出均为 0，当前无在途交易迹象。
- **未知项**：每笔交易的具体金额、手续费、对手地址、交易哈希等明细字段**未同步**，因此无法判断转出后是否清零，也无法还原资金流向。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为 0 的业务标注**：这是系统根据余额阈值（≤阈值）自动打上的标签，仅表示“当前钱包地址下 BTC 余额为 0”，属于**链上事实**。
- **是否拿到明文密码**：字段 `cracked_password/actual_password = 否`，即**没有强证据表明密码已被获取**。我们目前**尚未获得明文密码、助记词或私钥**，所有关于“已破解”的说法均不成立。
- 结论：即使余额为 0，也不代表密码已解开；两者是独立维度。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充交易明细**：拉取该地址完整的链上交易列表（含金额、时间、对手地址、交易哈希），确认 2023 年转出后余额是否确实归零。
2. **核对文件来源**：确认 `MEGA-BONUS_57 файлов` 数据集的原始出处与用途（是否公开测试集、是否含配套密码表）。
3. **检查同批次钱包**：对比同一路径下其他 `.dat` 文件，看是否存在相同密码或关联地址。
4. **检索公开泄露库**：在合规授权范围内，查询该地址或文件名是否出现在公开的密码泄露/样本库中。
5. **分析 BDB 文件内部结构**：在不触碰密码的前提下，检查钱包内是否存有元数据（如创建时间、密钥类型、是否加密）。
6. **确认业务标注阈值**：明确“余额很小”的具体阈值定义，避免误判。
7. **查找历史备份**：搜索 2014 年与 2023 年两个活跃时间点附近的备份文件或日志。
8. **评估取证必要性**：鉴于余额为 0 且无近期活动，建议先确认该钱包是否仍有法律或业务上的取证价值，再决定是否继续投入。

### 7. 已尝试方向回顾（避免重复投入）
- **基础属性采集**：已完成钱包格式、文件大小、路径、录入时间等静态信息提取。
- **链上摘要同步**：已获取转入/转出笔数与最后时间，但未拉取明细。
- **密码状态核验**：已确认 `cracked_password/actual_password = 否`，即当前没有可用的明文密码证据。
- **余额判定**：已确认链上余额为 0，并打上“余额很小”业务标签。
- **未尝试方向**：未进行交易明细深挖、未做同批次文件横向比对、未检索公开泄露库——这些可作为下一步优先项，避免重复做已完成的静态采集工作。