BTC 钱包风险检测与恢复评估 #1641

### 1. 一句话结论
该钱包（ID 1641）为2012年8月10日当天创建并完成全部6笔转入与1笔转出的历史BTC钱包，当前链上余额4.381 BTC，**尚未获得明文密码**，且业务标注“余额很小”为否，意味着该余额在业务层面被视为有效资产，值得继续推进。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：BTC Legacy格式（bitcoin_legacy_bdb），文件名为 `8 сотня 100 / 1CQyjZ8Rptd9YnZW7rX87rmni8HAPfwRgh.dat`，主地址 `1CQyjZ8Rptd9YnZW7rX87rmni8HAPfwRgh`。
- **余额与标注**：当前余额 4.381 BTC；业务标注“余额很小(≤阈值)”为 **否**，即该余额未被判定为可忽略的小额。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即目前没有强证据表明已获得明文密码。
- **交易统计**（来自 `wallet_transactions.direction`）：
- 转入 6 笔，最后转入时间 2012-08-10 18:45:58；
- 转出 1 笔，最后转出时间 2012-08-10 23:30:53；
- 交易时间跨度 0 天（全部发生在同一天）；
- 近30天转入/转出均为 0（即近期无任何链上活动）。
- **文件信息**：文件大小 57344 字节，录入时间 2026-06-23，最近更新 2026-08-06。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 6 月 23 日被纳入审查清单的。当时我们看到的是一个典型的“单日活跃”钱包：所有链上动作都集中在 2012 年 8 月 10 日这一天——先收到 6 笔转入，最后在当天深夜转出 1 笔。这种“当天进、当天出”的形态，通常意味着它可能是一个临时归集或中转地址，而非长期存储地址。

我们随后核对了钱包文件本身：格式是 Bitcoin Legacy 的 BDB 数据库，文件名带有俄语片段“8 сотня 100”（意为“8百/100”），这可能是某个批量生成或分片备份的编号。文件大小 57KB，属于早期轻量钱包文件。

关键判断点在于余额：虽然发生过转出，但当前链上仍保留 4.381 BTC，且业务系统明确标注“余额很小”为否——说明这 4.38 个币不是灰尘，而是被认定为有实际价值的资产。因此我们把它列为“值得继续尝试”的对象，而不是直接放弃。

目前我们停留在“已确认资产有效、但尚未拿到密码”的阶段。所有结论都基于上述字段，没有超出数据的推测。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 6 笔，全部发生在 2012-08-10 18:45:58 之前（含该时间点）。说明该地址在当天集中接收了 6 次资金。
- **转出（send）**：共 1 笔，发生在 2012-08-10 23:30:53。即当天接收完成后，向外转出过一次。
- **净变化**：转入 6 笔、转出 1 笔，最终链上余额为 4.381 BTC。由于缺少每笔金额明细，我们无法计算转入总额与转出额的差值，只能确认“最终剩余 4.381 BTC”。
- **近期活动**：近 30 天转入/转出均为 0，即该地址自 2012 年后基本处于休眠状态（至少最近一个月无任何动作）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：该钱包余额 4.381 BTC，业务标注“余额很小(≤阈值)”为 **否**。这意味着在业务规则里，这个余额 **不是** 可忽略的小额，而是需要认真对待的有效资产。
- **明文密码状态**：字段 `cracked_password/actual_password` 为 **否**。因此，**我们尚未获得任何明文密码或助记词**，所有关于“已破解”的说法均不成立。当前仍处于“密码未知、尝试中”的状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取该地址 6 笔转入与 1 笔转出的完整交易哈希及金额明细**，用于核对转入总额与转出额，确认 4.381 BTC 是否为净留存。
2. **查找 2012 年 8 月 10 日前后与该地址有交互的对手地址**，判断资金来源与去向，辅助推断钱包用途（归集/找零/交易平台提现）。
3. **补充钱包文件的创建时间与最后修改时间元数据**，确认文件是否在 2012 年后被重新保存过（可能暗示密码修改）。
4. **检索钱包文件名中的俄语编号“8 сотня 100”**，看是否对应某批次钱包清单或备份目录，可能关联到其他同批钱包。
5. **检查同一目录下是否存在同批次的姊妹钱包文件**，若存在，可对比其结构特征（如是否共用密码规则）。
6. **收集该地址在 2012 年 8 月 10 日当天的区块高度与手续费数据**，辅助判断当时使用的客户端版本。
7. **确认该钱包文件是否包含“已知密码提示”或自定义备注字段**（部分 BDB 钱包会存储用户备注）。
8. **补充钱包持有者的历史工单或备注记录**（如有），看是否有关于此钱包的口头线索。

### 7. 已尝试方向回顾（避免重复投入）
- **密码状态核实**：已确认 `cracked_password` 字段为否，说明此前未成功获取明文密码，无需重复验证该结论。
- **余额有效性判断**：已确认业务标注“余额很小”为否，即该余额被认定为有效，无需再争论是否值得投入。
- **交易活跃度排查**：已确认近 30 天无任何转入/转出，说明该钱包处于休眠状态，近期链上监控优先级可降低。
- **格式识别**：已确认是 Bitcoin Legacy BDB 格式，无需再重复做格式探测。
- **单日交易形态**：已确认所有交易集中在 2012-08-10 一天，后续无需再花时间验证“是否跨多日活跃”。