BTC 钱包风险检测与恢复评估 #1586

### 1. 一句话结论
这是一个**尚未解锁**的 Legacy 格式 BTC 钱包（ID 1586），当前链上余额约 **56.73 BTC**，但**没有**任何“已拿到明文密码”的证据；目前我们只完成了钱包文件的静态取证与基础属性确认，尚未进入资金动账阶段。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID `1586`，币种 `BTC`，主地址 `1KkMajnByoiS4SqMjACe2Y2ZfS3WzXF43i`（Legacy P2PKH 地址，与 `bitcoin_legacy_bdb` 格式一致）。
- **余额状态**：当前余额 `56.73007378 BTC`，业务标注“余额很小”为 **否**，即该余额**不视为小额/低价值**。
- **文件属性**：文件名 `5я сотня 100 / 109.00000000.dat`，路径位于 `.../MEGA-BONUS_!!таблица_5я сотня 100_109.00000000.dat-80e5512e2daa/109.00000000.dat`，文件大小 `86016` 字节（约 84 KB，符合 BDB 格式钱包典型大小）。
- **时间线**：录入时间 `2026-06-23 00:54:26`，数据标注日期 `2026-06-23 00:58:02`，最近更新 `2026-08-06 01:43:00`。
- **破解状态字段**：`已知密码存在(强证据)` = **否**（即 `cracked_password/actual_password` 未确认）。
- **链上同步**：**未发现已同步的交易记录**，因此无法从链上数据验证转入/转出历史。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们在 6 月 23 日凌晨接手了这个名为“5я сотня 100”的钱包文件。第一步是确认文件身份：通过文件头与格式识别，确认它是 Bitcoin Core 的 Legacy BDB 钱包（`bitcoin_legacy_bdb`），而非较新的 descriptor 钱包。接着我们核对了主地址与文件名中的编号（109），确认文件与地址对应关系一致。

随后我们检查了业务系统里的“余额阈值”标记，发现该钱包余额 **56.73 BTC** 远高于“小额忽略”线，因此判定为**高优先级目标**。但关键字段 `已知密码存在` 显示为 **否**，意味着我们**从未拿到过任何明文密码或助记词**，也没有任何“验证成功”的记录。

最后我们尝试在页面触发“同步交易”，但系统返回**未发现已同步的交易记录**。这意味着我们目前只有钱包文件的静态快照，没有任何链上动账数据可供分析。整个推进过程停留在“文件已识别、余额已确认、密码未突破、交易未同步”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：**未知**（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：**未知**（链上交易未同步，无 `direction=send` 数据）。
- **说明**：当前所有关于“最后转出时间”“历史转入来源”的猜测均无依据。必须先在页面完成交易同步，才能基于 `direction` 字段做统计。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为 0 的业务标注**：**不适用**。该钱包余额为 `56.73 BTC`，业务标注“余额很小”为 **否**，即它**不是**被业务规则标记为“零价值/可忽略”的钱包。
- **是否拿到明文密码**：**否**。字段 `已知密码存在(强证据)` 为 **否**，即没有 `cracked_password` 或 `actual_password` 被确认。我们**尚未获得任何明文密码、助记词或私钥**，所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，这是所有后续分析的基础。
2. **补充钱包文件来源信息**：该 `.dat` 文件来自哪台设备、哪个备份目录、是否有配套的 `.conf` 或日志文件。
3. **核查文件名中的“109.00000000”**：确认是否为钱包内某个账户/脚本编号，可能对应特定业务用途。
4. **检查同目录其他 `.dat` 文件**：路径中 `MEGA-BONUS_!!таблица` 暗示可能存在同批次多个钱包，对比文件大小与命名规律。
5. **寻找密码提示线索**：文件名中的“5я сотня 100”（俄语“第5个一百”）可能是业务编号，不代表密码；但可排查业务文档中是否有对应记录。
6. **确认钱包是否曾被打开过**：检查文件修改时间（`2026-08-06`）与录入时间（`2026-06-23`）的差异，判断是否有外部程序触碰过该文件。
7. **补充“已知密码存在”字段的判定依据**：确认该字段为“否”是因为从未尝试，还是尝试后失败——这决定后续投入方向。
8. **获取该地址的公开标签**：通过区块链浏览器查询 `1KkMajn...` 是否关联已知交易所或服务商标签。

### 7. 已尝试方向回顾（避免重复投入）
- **静态格式识别**：已完成，确认为 `bitcoin_legacy_bdb`，无需重复检测文件类型。
- **余额阈值判断**：已完成，确认该钱包为高优先级，无需再次评估业务价值。
- **链上同步尝试**：已触发一次，但返回“未发现已同步交易”，**不要重复点击同步**，应先检查节点连接或数据源配置。
- **密码状态核查**：已确认 `已知密码存在=否`，**不要假设“可能已经破解”**，所有后续工作应基于“未破解”前提。
- **文件大小与路径核对**：已完成，`86016` 字节与 BDB 格式匹配，无需重新校验文件完整性。