BTC 钱包风险检测与恢复评估 #1125

### 1. 一句话结论
这是一枚2012年活跃、此后长期沉寂的BTC Legacy钱包（ID 1125），当前余额17.829 BTC，但**尚未获得明文密码**，且业务标注“余额很小”为**否**，说明该钱包余额在业务阈值之上，具备继续推进的价值。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：ID 1125，币种BTC，主地址 `1LwQU2kqdH6dLSsizstNxrhqk7XhCMLMF3`，格式为 `bitcoin_legacy_bdb`。
- **余额与标注**：余额 `17.82900000` BTC；业务标注“余额很小(≤阈值)”为 **否**，即余额不低。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即目前**没有**强证据表明已拿到明文密码。
- **文件信息**：钱包名 `MEGA-BONUS / WALLET17.82BTC-1LwQU2kqdH6dLSsizstNxrhqk7XhCMLMF3.dat`，大小 73728 字节，路径位于 `fake.czb.com/BTC/real/` 数据集下。
- **录入与更新**：录入时间 2026-06-23 00:40:02，最近更新 2026-08-06 07:02:47，数据标注日期 2026-06-23 00:57:29。
- **链上交易摘要**（依据 `wallet_transactions.direction`）：
- 转出（send）笔数：1
- 转入（receive）笔数：2
- 最后转出：2012-05-03 04:03:13
- 最后转入：2012-05-18 07:26:02
- 交易时间跨度：15 天
- 近30天转出/转入笔数均为 0

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从数据集目录中定位到该钱包文件，首先确认了它的基本属性：这是一份 Bitcoin Legacy 格式的 BDB 钱包，文件名直接标注了“17.82BTC”和主地址，说明它在入库时就被识别为高价值目标。随后我们核对了业务标注字段，确认“余额很小”为否，意味着它没有被业务侧判定为低优先级。

接着我们拉取了链上交易摘要，发现它的活跃期非常短：从 2012-05-03 到 2012-05-18，只有 15 天，期间发生 1 笔转出、2 笔转入，之后 14 年再无动静。这种“短期活跃、长期沉睡”的模式，通常对应早期挖矿、一次性归集或历史遗留资产。

在密码层面，我们检查了已知密码字段，结果为“否”，说明目前没有可用的明文密码或助记词证据。我们也没有发现任何“余额为0”的业务标记，因此该钱包仍处于“待解锁”状态，而非“已清空”。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 2 笔，最后一笔发生在 2012-05-18 07:26:02。近30天转入笔数为 0。
- **转出（send）**：共 1 笔，最后一笔发生在 2012-05-03 04:03:13。近30天转出笔数为 0。
- **说明**：所有交易均发生在 2012 年 5 月，时间跨度 15 天。此后无任何链上活动。当前余额 17.829 BTC 与文件名中的“17.82BTC”吻合，但**无法仅凭现有字段判断**这 17.829 BTC 是转入留存还是转出后剩余，需补充交易明细（金额、对手地址）才能进一步还原。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为0的业务标注**：该钱包**没有**被标记为“余额很小/≤阈值”，即业务侧认为余额不为0且值得处理。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 为“否”，表示目前**尚未获得**明文密码、助记词或私钥。所有关于“已破解”的说法均不成立，当前仍处于“未解锁”状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充完整交易明细**：获取该地址的 2 笔转入、1 笔转出的金额、时间、对手地址，确认 17.829 BTC 的来源与去向。
2. **检查钱包文件内部结构**：确认 BDB 文件中是否包含非空 `mkey` 或加密密钥材料（仅作存在性检查，不涉及破解）。
3. **核对文件名与路径上下文**：路径中 `fake.czb.com` 与 `MEGA-BONUS` 命名可能暗示数据集来源或历史活动背景，建议调取同目录下其他钱包做横向比对。
4. **查询 2012 年 5 月同期链上数据**：该时段为比特币早期，可查区块高度、手续费率，辅助判断是否为矿工收益或交易所提现。
5. **检查是否有历史备份或导出记录**：在数据集中搜索同主地址的其他格式文件（如 JSON、CSV 导出）。
6. **核对录入时间与数据标注时间差**：录入 00:40:02，标注 00:57:29，间隔 17 分钟，确认是否有中间处理步骤记录。
7. **确认“余额很小”阈值的具体数值**：业务标注为“否”，但阈值未给出，需补充阈值定义以判断该余额的相对价值。
8. **检索同批次钱包的共性特征**：若同数据集内存在多个 2012 年 Legacy 钱包，可归纳命名规律（如 `MEGA-BONUS` 前缀），辅助推测生成工具或来源。

### 7. 已尝试方向回顾（避免重复投入）
- **密码字段核查**：已确认 `cracked_password/actual_password` 为否，无需重复检查该字段。
- **业务标注核查**：已确认“余额很小”为否，无需再次评估余额优先级。
- **链上活跃度判断**：已确认近30天无交易，且历史交易集中在 2012 年 5 月，无需重新拉取时间跨度。
- **文件格式识别**：已确认为 `bitcoin_legacy_bdb`，无需重复做格式探测。
- **主地址与文件名一致性**：已核对文件名中的地址与主地址字段一致，无需重复比对。