BTC 钱包风险检测与恢复评估 #1548

### 1. 一句话结论
这是一个余额极低（0.00005927 BTC）、仅有转入记录且从未发生转出的比特币 Legacy 钱包；目前**尚未获得明文密码**，业务标注的“余额很小”与“是否破解成功”是两回事，请勿混淆。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID 1548，主地址 `1KTvsW5tg5gkJf9fyT2xsvjkv7dzuZNTpW`，币种 BTC。
- **格式与路径**：`bitcoin_legacy_bdb` 格式，文件名为 `!1KTvsW5tg5gkJf9fyT2xsvjkv7dzuZNTpW.dat`，大小 57,344 字节，位于 `MEGA-BONUS_!!таблица_9я сотня 58_...` 目录下。
- **余额与标注**：当前余额 0.00005927 BTC，业务系统标注“余额很小（≤阈值）”。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为**否**，即**没有**任何已确认的明文密码。
- **交易统计（来自 `wallet_transactions.direction`）**：
- 转出笔数：**0**；转入笔数：**7**。
- 近30天转出/转入笔数均为 **0**。
- 最后转入时间：2026-05-22 16:04:15；最后转出时间：**未知**。
- 交易时间跨度：2077 天。
- **时间线**：录入时间 2026-06-23 00:52:59，数据标注日期 2026-06-23 00:58:00，最近更新 2026-08-06 01:10:31。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 6 月 23 日进入我们视野的，当时它被归入一个名为“MEGA-BONUS”的批量数据集目录，文件名里带有“9я сотня 58”和主地址，看起来像是某个批量整理任务中的第 58 号条目。我们首先确认了它的格式是比特币早期的 Legacy BDB 文件，这类文件通常对应较老的钱包客户端。

接着我们核对了链上行为：系统记录显示它有 7 笔转入、0 笔转出，最近一笔入账停在 2026 年 5 月 22 日，之后没有任何动静。结合余额只有 0.00005927 BTC，我们判断这是一个“历史收币后长期未动”的地址，而不是活跃交易地址。

在尝试访问钱包内容的过程中，我们始终没有拿到任何可确认的密码证据——字段里没有 `cracked_password`，也没有 `actual_password`。也就是说，我们目前只是“看到了钱包文件的存在和基本统计”，但**没有打开它的钥匙**。余额小的标注只是业务侧根据阈值自动打的标签，并不代表我们已经成功解密。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **7 笔**，最后一笔发生在 2026-05-22 16:04:15。近30天转入笔数为 0，说明近期没有新资金进来。
- **转出（send）**：共 **0 笔**。最后转出时间字段为**未知**（因为根本没有转出记录可统计）。
- **整体画像**：这是一个“只进不出”的地址，且最近一个多月完全静默。交易时间跨度长达 2077 天（约 5.7 年），说明它可能是一个长期持有的冷钱包或遗留地址。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：这是系统根据余额阈值自动生成的标签（`余额很小(≤阈值, 业务标注)=是`），仅代表金额低，**不代表**钱包被成功打开或密码已验证。
- **明文密码状态**：强证据字段明确为“否”。因此，我们**尚未获得任何明文密码、助记词或私钥**，也没有任何“验证成功”的依据。所有关于“已破解”的说法目前都不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充钱包文件的来源背景**：该 `.dat` 文件来自哪个设备、哪个旧系统？是否有对应的备份或导出记录？
2. **查找同目录其他钱包文件**：`MEGA-BONUS_!!таблица_9я сотня 58_...` 目录下是否有同批次的其他钱包？它们之间是否存在命名规律或共用密码的可能（仅作线索，不作假设）。
3. **调取 7 笔转入交易的完整哈希与对手地址**：确认这些资金来自哪些地址，是否与已知交易所、矿池或某个旧钱包关联。
4. **核实钱包文件完整性**：检查 57,344 字节的文件是否完整、有无损坏或截断，必要时与备份副本比对。
5. **寻找钱包创建时间的间接证据**：通过文件元数据（如 inode 时间、备份日志）推测创建时间，缩小密码设置时期范围。
6. **确认该地址是否曾在公开场合（如论坛、签名、水龙头）使用过**：若有，可能留下密码提示或关联信息。
7. **补充钱包所有者的历史操作记录**：如旧邮件、笔记、密码管理器导出（脱敏后）中是否包含该地址或文件名关键词。
8. **明确业务目标**：鉴于余额极低，请确认是否值得继续投入；若仅为取证完整性，可转为归档处理。

### 7. 已尝试方向回顾（避免重复投入）
- **链上行为分析**：已完成，确认 7 入 0 出、最后入账时间、近30天静默。无需重复拉取交易列表。
- **文件格式识别**：已确认为 `bitcoin_legacy_bdb`，无需再次猜测格式。
- **密码证据核查**：已检查强证据字段，确认无 `cracked_password/actual_password`，因此**不要**再假设“密码已存在”而重复尝试。
- **余额标注核实**：已确认“余额很小”仅为业务阈值标签，与破解状态无关，后续报告应避免将两者混为一谈。
- **时间线梳理**：录入、标注、更新三个时间点已记录，无需重新推导。