BTC 钱包风险检测与恢复评估 #972

### 1. 一句话结论
这是一个持有约 3.02 BTC 的 Legacy 格式比特币钱包（钱包ID 972），目前我们**尚未获得其明文密码**，但已通过链上数据确认其存在长期、低频的转入记录，且最后一次转入发生在 2024 年，属于“有持续活跃但近期静默”的待验证资产。

---

### 2. 我们掌握的事实（证据链）
- **钱包基础信息**：BTC 币种，主地址 `1N41CdxSdAuKjt3n3QBTX6WGC5F3UXgzT9`，余额 **3.02001000 BTC**（非业务标注的“小额”）。
- **文件格式**：`bitcoin_legacy_bdb`，文件名 `wallet_3,02.dat`，大小 57,344 字节，录入于 2026-06-23，最后更新于 2026-08-06。
- **链上交易统计**（依据 `wallet_transactions.direction` 字段）：
- 转入 **10 笔**，转出 **1 笔**。
- 最后转出：**2012-02-12**；最后转入：**2024-03-01**。
- 近 30 天转入/转出均为 **0**。
- 交易时间跨度：**4435 天**（约 12 年）。
- **破解状态字段**：`cracked_password/actual_password` 标记为 **否**，即当前无明文密码证据。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026 年 6 月 23 日被纳入取证视野。我们首先确认了它的“身份”——一个 Legacy 格式的 Bitcoin Core 钱包文件，文件名里的 `3,02` 与余额 3.02 BTC 吻合，推测是业务方按余额做的命名。

随后我们拉取了链上交易流水。时间线很有意思：它在 2012 年有过一次转出，之后长达 12 年里只进不出，直到 2024 年 3 月还有一笔转入。这说明这个地址并没有被彻底遗忘，而是被当作一个“存储型”地址在使用。

在尝试访问钱包内容时，我们遇到了口令验证环节。截至目前，所有测试均未通过，系统字段也明确记录“已知密码存在=否”。因此，我们暂停了直接破解路径，转而把重心放在**链上行为分析**和**文件元数据梳理**上，试图通过外围线索缩小密码猜测范围。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **10 笔**，最后一笔发生在 **2024-03-01**。近 30 天无新增转入。
- **转出（send）**：共 **1 笔**，发生在 **2012-02-12**。近 30 天无转出。
- **净流向**：长期净流入，且转出活动几乎可以忽略（仅 1 笔早期交易）。
- **未同步/未知**：我们**没有**每一笔的具体金额与对手地址明细，因此无法判断单笔大小或对手方特征。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 **3.02 BTC**，业务系统标注为“**非小额**”（即未触发 ≤ 阈值的低价值标记）。这表示业务上认为它值得继续投入资源。
- **明文密码状态**：**尚未获得**。字段 `cracked_password/actual_password = 否`，所有测试均未成功。我们不会声称“已破解”或“已拿到密码”。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取 10 笔转入的完整交易明细**（金额、时间、对手地址），用于判断资金来源是否单一（如矿池、交易所、个人钱包）。
2. **调取 2012 年那笔转出的目标地址**，看是否与某个已知交易所或早期钱包有关联。
3. **检查钱包文件创建时间与系统日志**，确认 `wallet_3,02.dat` 是否由某台特定机器生成（可能包含用户名线索）。
4. **寻找业务方的备注信息**：文件名中的 `MEGA-BONUS` 前缀可能对应某个活动或批次，建议向业务方核实。
5. **比对同一路径下其他钱包文件**（`/www/czb-wallet-common/datasets/...`），看是否存在命名规律或共享口令。
6. **检查 2024-03-01 最后一笔转入的触发背景**（如是否对应某次充值活动）。
7. **尝试从备份介质或历史工单中查找该地址的创建记录**。
8. **若允许，可尝试基于常见弱口令的合规性验证**（需在授权范围内，且仅作为最后手段）。

---

### 7. 已尝试方向回顾（避免重复投入）
- **直接口令测试**：已进行多轮，均未命中，且系统字段确认“无已知密码”，不建议继续盲目尝试。
- **文件格式解析**：已确认是 `bitcoin_legacy_bdb`，未发现明显的文件损坏或加密异常。
- **链上活跃度分析**：已完成基础统计（转入/转出笔数、时间跨度），但**未深入分析单笔交易对手方**。
- **业务标注核对**：已确认余额非小额，业务上仍标记为“值得跟进”。

> 下一步应优先补充**交易明细数据**和**业务侧备注信息**，避免在无新线索的情况下重复进行口令猜测。