BTC 钱包风险检测与恢复评估 #1651

### 1. 一句话结论
该BTC钱包（ID: 1651）当前链上余额为900.12377474 BTC，但**尚未获得明文密码**，且业务层面**未标记为“余额很小”**；链上活动极少，仅有一笔转入记录，整体处于“待解锁、待验证”状态。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包名 `MEGA-BONUS / wallet_12600.dat`，格式为 `bitcoin_legacy_bdb`，主地址 `1GmceoNoXmVeE2gLE3GN4iV9coW61FaP5J`。
- **余额与标注**：余额 900.12377474 BTC；业务标注“余额很小(≤阈值)”为**否**，说明该钱包在业务上被视为高价值目标。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即目前**没有**任何明文密码或助记词被验证成功。
- **文件信息**：文件大小 663,552 字节，路径位于 `fake.czb.com/BTC/review/` 下的审查目录，录入时间 2026-06-23，最后更新 2026-08-14。
- **链上交易**：转出笔数 0，转入笔数 1；最后转入时间 2023-02-03 07:16:18；近30天转入/转出均为 0；交易时间跨度显示为 0 天（可能因仅一笔交易且时间戳异常导致）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份名为 `wallet_12600.dat` 的旧版Bitcoin Core钱包文件入手。该文件被放置在 `review` 目录下，说明它已经进入人工审查流程。首先我们确认了钱包格式为 `bitcoin_legacy_bdb`，这决定了后续所有处理方式都围绕该旧格式展开。

接着我们核对了链上数据：该地址只有一笔转入，发生在2023年2月，之后再无任何转出或转入。这意味着资金自2023年起一直静置，没有移动迹象。我们同步检查了业务标注，确认该钱包**不属于**“余额很小”的类别，因此它被列为重点排查对象。

在密码验证环节，我们目前**没有**任何成功记录——字段明确显示“已知密码存在=否”。这意味着我们尚未拿到任何可用的明文密码或私钥。整个推进过程目前停留在“已识别、已建档、已确认链上状态”的阶段，尚未进入“已解锁”阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 1 笔，最后一笔发生在 **2023-02-03 07:16:18**。这是该地址唯一的资金进入记录。
- **转出（send）**：**0 笔**。没有任何资金离开该地址。
- **近30天活动**：转入 0 笔，转出 0 笔，完全静默。
- **最后转出时间**：未知（无数据）。
- **交易时间跨度**：字段显示 0 天，推测因只有单笔交易且时间戳计算异常，不代表真实跨度。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包**未被**标记为“余额很小（≤阈值）”，即业务上认为其余额具有实际价值，需要继续跟进。
- **明文密码状态**：**尚未获得**。字段 `cracked_password/actual_password = 否`，因此我们**不能**声称已破解或已拿到密码。所有关于“已解锁”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充钱包创建时间或首次使用时间**：帮助判断该地址是否属于某次历史活动（如空投、挖矿、交易所提现）。
2. **查找该地址在2023-02-03之前的来源交易**：确认转入方地址，可能关联到交易所或已知实体。
3. **获取钱包文件的元数据（如mtime）**：对比文件修改时间与链上交易时间，判断文件是否在转入后被动过。
4. **检查是否有同批次钱包文件**：路径中 `MEGA-BONUS` 可能暗示批量生成，寻找同目录下其他 `.dat` 文件。
5. **收集用户提供的任何密码线索**：如生日、常见短语、历史笔记，但**不**要求猜测，只做验证。
6. **确认该钱包是否曾关联到任何已知服务**：如 `fake.czb.com` 的测试环境，可能存有备份密码库。
7. **调取钱包日志或备份记录**：查看是否有未加密的旧版本备份。
8. **评估是否允许使用合规的恢复服务**：在合法授权前提下，考虑专业数据恢复公司介入。

### 7. 已尝试方向回顾（避免重复投入）
- **链上活动分析**：已完成，确认只有1笔转入、0笔转出，资金静置。无需重复扫描。
- **业务标注核对**：已确认非“余额很小”，无需重新评估优先级。
- **密码状态确认**：已确认无明文密码，**不要**再假设“可能已破解”。
- **文件格式识别**：已确认为 `bitcoin_legacy_bdb`，后续处理应基于该格式，避免走错技术路线。
- **时间线梳理**：已确认最后转入时间，但交易跨度字段异常，建议直接使用原始时间戳，不要依赖该字段。