BTC 钱包风险检测与恢复评估 #1011

### 1. 一句话结论
钱包 1011（BTC，主地址 1EcKzBxv2MJxWRXrTTaXuGznLVPKhxowfS）当前余额为 17.19068434 BTC，业务标注“余额很小”为否；截至数据更新日，**尚未获得明文密码**，且无任何证据表明密码已被验证成功。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 1011，币种 BTC，版本/格式为 `bitcoin_legacy_bdb`，文件名为 `wallet_17,19.dat`，大小 147,456 字节。
- **余额状态**：当前余额 17.19068434 BTC；业务标注“余额很小(≤阈值)”为**否**，即余额不低。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即不存在“已知密码”的强证据。
- **录入与更新时间**：录入 2026-06-23 00:38:18，数据标注 2026-06-23 00:57:25，最近更新 2026-08-06 08:02:30。
- **交易统计**：转出 14 笔，转入 36 笔；最后转出 2013-12-02，最后转入 2025-05-03；近 30 天转出/转入均为 0；交易跨度 4201 天。
- **路径信息**：位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_wallet_17,19_wallet_17,19.dat-320c2e461ff2/` 下。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从 2026 年 6 月 23 日接手这个钱包。首先确认了它的“身份”——一个 legacy 格式的 BTC 钱包文件，文件名里的 `17,19` 与余额 17.19 吻合，说明文件命名与内部数据一致。随后我们核对了链上交易摘要：转入 36 笔、转出 14 笔，跨度超过 11 年，最近一次转入发生在 2025 年 5 月，说明这个地址在长期休眠后仍有零星收入。我们重点检查了“密码是否已知”这一关键字段，结论是**否**——这意味着我们目前没有任何可用的明文密码或助记词。整个推进过程停留在“资料核对与状态确认”阶段，尚未进入任何可验证的解锁环节。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 36 笔，最后转入时间 2025-05-03 20:14:57。近 30 天转入 0 笔。
- **转出（send）**：共 14 笔，最后转出时间 2013-12-02 03:14:57。近 30 天转出 0 笔。
- **解读**：该钱包在 2013 年底后基本停止转出，但转入活动持续到 2025 年，呈现“只进不出”的长期休眠特征。交易时间跨度 4201 天（约 11.5 年），属于典型的老地址长期持有模式。
- **未知项**：未提供单笔金额、对手地址、交易哈希等明细，因此无法判断大额进出方向或资金流向。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为 0 的业务标注**：不适用。当前余额 17.19068434 BTC，且业务标注“余额很小”为**否**，即余额不为 0，也不属于小额钱包。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，即目前**没有**任何已确认的明文密码、助记词或私钥。所有关于“已破解”的说法均无事实依据。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 调取该地址的完整链上交易明细（含对手地址、金额、时间），用于判断资金性质与来源。
2. 查找钱包文件创建时间或首次备份记录，辅助推测密码设置习惯。
3. 检索同一路径下是否有其他相关文件（如 `.key`、`.txt`、备份副本），可能包含密码提示。
4. 核对钱包名称 `MEGA-BONUS` 是否对应历史活动或营销活动，可能关联默认密码规则。
5. 确认该钱包是否曾导入过其他设备或软件，寻找历史导出记录。
6. 补充钱包持有者身份线索（如邮箱、用户名），用于合规找回流程。
7. 检查 2013 年前后的转出记录，确认是否存在主动控制痕迹。
8. 若存在密码提示问题，收集提示内容（注意脱敏），作为后续验证依据。

### 7. 已尝试方向回顾（避免重复投入）
- **状态核对**：已确认钱包格式、余额、交易统计、密码状态等基础字段，无需重复读取。
- **密码存在性检查**：已确认 `cracked_password/actual_password` 为否，说明“已知密码”路线已排除，不必再搜索现有密码库。
- **交易方向统计**：已基于 `direction` 字段完成转入/转出分类，无需重新统计。
- **未尝试方向**：尚未获取链上明细、未进行任何密码验证尝试（因无明文密码可用），也未开展外部线索关联。后续应优先补充上述第 6 节中的线索，而非重复核对既有字段。