BTC 钱包风险检测与恢复评估 #980

### 1. 一句话结论
这是一枚持有约 **28.33 BTC** 的 Legacy 格式比特币钱包（钱包ID 980），当前**尚未获得明文密码**，且业务层面**未被标记为“余额为0”**；链上活动显示它在 2013 年有过一次转出，并在 2026 年 5 月有过最后一笔转入，整体处于“有余额、待解锁”状态。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 980，主地址 `1JkkeWgk21bcsgE5CrYN4mFrbkRYhxZxib`，币种 BTC。
- **余额与标注**：余额 **28.32845894 BTC**；业务标注“余额很小(≤阈值)”为**否**，即余额不小。
- **格式与文件**：`bitcoin_legacy_bdb` 格式，文件 `wallet_28,32.dat`，大小 90,112 字节，路径指向 `fake.czb.com/BTC/review/MEGA-BONUS_28,32BTC...`。
- **时间线**：录入 2026-06-23，更新 2026-08-06，数据标注 2026-06-23。
- **链上统计（依据 wallet_transactions.direction）**：
- 转出（send）1 笔，最后转出 **2013-01-20**。
- 转入（receive）14 笔，最后转入 **2026-05-23**。
- 近 30 天转出/转入均为 0 笔。
- 交易时间跨度 4,874 天。
- **密码状态**：`cracked_password/actual_password` 字段为**否**，即目前没有强证据表明已拿到明文密码。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份名为 `MEGA-BONUS_28,32BTC_wallet_28,32.dat` 的文件入手。文件路径显示它被归入“review”目录，说明它最初是作为待复核对象进入流程的。文件大小约 88 KB，符合早期 Bitcoin Core（Legacy/BDB）钱包的典型体积，因此我们按 Legacy 格式的取证路径推进。

在数据层，我们同步了链上交易摘要。结果显示：该地址在 2013 年有过一次支出，之后长期沉寂，直到 2026 年 5 月出现一笔转入。这一“老地址 + 新转入”的组合，提示它可能是一个被重新启用的历史钱包，或是一笔测试性转入。

在密码层面，我们检查了“已知密码存在”这一强证据字段，当前值为“否”。这意味着我们尚未验证任何候选密码，也没有拿到明文。我们也没有看到“余额为0”的业务标注，因此不能以“空钱包”为由关闭此案。

目前，我们停留在“已确认资产存在、格式明确、但密码未解锁”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 1 笔，发生在 **2013-01-20 01:48:34**。这是该地址唯一一次支出行为，距今已超过 12 年。
- **转入（receive）**：共 14 笔，最后一笔在 **2026-05-23 06:00:03**。最近 30 天无任何转入或转出。
- **近期活跃度**：近 30 天转出 0 笔、转入 0 笔，说明当前处于静默状态。
- **未知项**：我们**没有**单笔金额、对手地址、交易哈希等明细数据，因此无法判断 2013 年那笔转出的具体去向，也无法确认 2026 年转入的资金来源性质。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包**未被标记为“余额为0”**（即“余额很小”= 否）。因此，从业务角度看，它仍被视为有实质资产的钱包，值得继续处理。
- **密码状态**：`cracked_password/actual_password` = **否**。我们**尚未获得明文密码**，也没有任何“验证成功”的记录。所有关于密码的结论都只能表述为“仍在测试中”或“未解锁”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取该钱包的完整交易明细**（含单笔金额、对手地址、交易哈希），用于验证 2013 年转出与 2026 年转入的资金性质。
2. **补充钱包创建时间或首次使用时间**，帮助判断 2013 年之前是否有更早的活动。
3. **查找与文件名 `MEGA-BONUS` 相关的来源记录**（如活动名称、批次说明），这可能是密码提示或助记词线索的来源。
4. **确认该钱包是否曾关联其他地址或账户**（如同一文件内是否包含多个密钥）。
5. **收集该钱包持有人的身份线索**（如录入时的备注、工单号、关联邮箱），用于合规的找回流程。
6. **检查 2026-05-23 转入交易的来源地址**，若为交易所地址，可尝试通过合规渠道联系。
7. **核对文件哈希与备份记录**，确认是否存在其他副本或历史版本。
8. **补充“密码提示”或“部分密码片段”**（如有），以便进行定向验证。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再对格式做重复猜测。
- **链上统计**：已拉取方向、笔数、时间跨度，但**未拉取明细**，因此不要再做“只看方向”的重复分析，应直接进入明细层。
- **密码验证**：已检查强证据字段，结果为“否”。在没有新线索（如密码提示、部分片段）之前，**不建议盲目扩大测试范围**，以免重复无效投入。
- **余额判断**：已确认业务标注为“非空钱包”，因此**不需要再讨论“是否值得继续”**，重点应转向“如何合法获取密码或找回路径”。