BTC 钱包风险检测与恢复评估 #1166

### 1. 一句话结论
这是一个持有 **252.2 BTC** 的 Legacy 格式钱包（`bitcoin_legacy_bdb`），目前**尚未获得明文密码**，但链上数据显示其转入活动一直持续到 2026 年 5 月，属于**高价值且近期活跃**的取证目标。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1166，主地址 `1GYLfNfMesF3YrwVU94P5wtcJjhAx9DLYy`，文件名为 `1GYLfNfMesF3YrwVU94P5wtcJjhAx9DLYy.dat`。
- **资产规模**：BTC 余额 **252.20057787**，业务标注为“余额不小”（非小额）。
- **格式与路径**：`bitcoin_legacy_bdb` 格式，文件大小 114,688 字节，存放于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下的 MEGA-BONUS 数据集目录。
- **时间戳**：录入于 2026-06-23，最近更新于 2026-08-06，数据标注日期为 2026-06-23。
- **链上统计**（依据 `wallet_transactions.direction`）：
- 转出（send）2 笔，最后转出时间 **2012-05-12**。
- 转入（receive）22 笔，最后转入时间 **2026-05-22**。
- 近 30 天转入/转出均为 0 笔。
- 交易时间跨度 5126 天（约 14 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从 2026 年 6 月 23 日接手这个钱包。最初确认了它的格式是较老的 `bitcoin_legacy_bdb`，文件体积不大，但余额显示有 252 个 BTC，这让我们立刻意识到它的价值。随后我们核对了链上交易摘要，发现一个有意思的现象：**转出记录停留在 2012 年**，但转入记录却一直延续到 2026 年 5 月。这说明这个地址在 2012 年之后基本只进不出，像是一个长期囤积或接收付款的地址。我们据此判断，钱包主人很可能在 2012 年后就很少动用这笔资金，直到最近（2026 年 5 月）还有一笔转入。目前我们仍在围绕这个钱包文件本身做合规的取证分析，尚未突破密码层。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 2 笔，全部发生在 2012 年 5 月 12 日之前。此后 14 年间**没有任何转出记录**。
- **转入（receive）**：共 22 笔，最后一笔发生在 **2026-05-22**。近 30 天（截至数据更新日 2026-08-06）无新增转入。
- **未知项**：每笔交易的具体金额、对手地址、交易哈希等明细字段**未同步**，目前仅有方向与时间统计。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额 **252.2 BTC**，业务标注为“余额很小（≤阈值）”为 **否**，即明确属于**高价值钱包**，不是空钱包或测试钱包。
- **密码状态**：事实数据中 `cracked_password/actual_password` 为 **否**，即**尚未获得明文密码**，所有关于“已破解”的说法均不成立。当前仍处于密码未知、继续测试的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充 22 笔转入交易的完整明细**（金额、时间、对手地址），用于判断资金是否来自已知交易所或矿池。
2. **获取 2 笔转出的目标地址**，追溯 2012 年资金流向，可能关联到钱包主人的身份线索。
3. **查找钱包文件所在目录的“MEGA-BONUS”数据集来源**，确认是否为批量收集的旧钱包备份。
4. **核对钱包文件创建时间与系统日志**，确认该 `.dat` 文件是否在 2026 年被修改过（更新时间为 2026-08-06）。
5. **收集该地址在 2012-2026 年间的链上标签**（如已知实体标签），辅助判断持有者身份。
6. **检查同一数据集内其他钱包文件**（如 LTC、DOGE），看是否存在共用密码或助记词规律（仅作关联分析，不涉及攻击）。
7. **确认钱包是否使用旧版 BDB 加密格式**，以便评估后续合规解密路径的可行性（仅评估，不展开细节）。
8. **补充钱包持有者的历史操作记录**（如客服工单、导入导出日志），寻找密码提示线索。

### 7. 已尝试方向回顾（避免重复投入）
- **已确认格式与版本**：已核实为 `bitcoin_legacy_bdb`，排除了新格式钱包的兼容性问题。
- **已核对业务标注**：确认非小额钱包，排除了“空钱包误报”的可能。
- **已梳理链上时间线**：明确了“2012 年后只进不出”的特征，排除了近期频繁交易的可能性。
- **未尝试方向**：尚未获取交易明细字段，未进行任何关联地址分析，也未对文件元数据（如修改时间、创建工具）做深入提取。后续应优先补充这些缺失数据，而不是重复验证已有结论。