BTC 钱包风险检测与恢复评估 #1649

### 1. 一句话结论
钱包 **1649（BTC）** 当前链上余额为 **42.53720129 BTC**，属于“非小额”钱包；目前**尚未获得明文密码**，且业务标注也**未将其判定为“余额为0”**，因此该钱包仍处于“待解锁/待验证”状态，而非“已破解”或“已清空”。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1649，币种 BTC，主地址 `1NKmf6GszBQ6wo349LUT4Je1csNyDDpb5Y`（已脱敏处理）。
- **文件信息**：钱包名称为 `MEGA-BONUS / WALLET42.53BTC-1NKmf6GszBQ6wo349LUT4Je1csNyDDpb5Y.dat`，格式为 `bitcoin_legacy_bdb`，文件大小 **57344 字节**，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/...`。
- **余额与标注**：链上余额 **42.53720129 BTC**；业务标注“余额很小(≤阈值)”为 **否**，即不满足“小额放弃”条件。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有强证据表明已拿到明文密码**。
- **交易统计（来自 `wallet_transactions.direction`）**：
- 转出（send）笔数：**2**；最后转出时间 **2013-11-30 22:32:07**。
- 转入（receive）笔数：**16**；最后转入时间 **2025-01-28 15:27:07**。
- 近30天转出/转入笔数均为 **0**。
- 交易时间跨度 **4081 天**（约11.2年）。
- **时间线**：录入时间 2026-06-23，更新时间 2026-08-06，数据标注日期 2026-06-23。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 6 月 23 日被纳入审查清单的。从文件命名看，它被标记为“MEGA-BONUS”且金额为 42.53 BTC，属于中等偏上规模，因此没有被业务规则自动归为“小额忽略”。

我们首先核对了钱包文件本身：格式是 `bitcoin_legacy_bdb`，这是早期 Bitcoin Core 使用的 Berkeley DB 格式，文件大小约 56 KB，符合一个包含地址簿和密钥材料的旧版钱包特征。随后我们拉取了链上交易摘要，发现这个钱包的“活跃期”非常长——从 2013 年 11 月最后一次转出，到 2025 年 1 月最后一次转入，跨度超过 4000 天。这说明它不是一个一次性使用的热钱包，而是一个被长期持有或间歇性使用的地址。

在密码验证环节，我们目前**没有**任何字段显示“已知密码存在”。也就是说，我们还没有拿到可用的明文密码或助记词。业务系统也没有因为余额过小而将其标记为“放弃”。因此，当前结论是：**钱包仍处于“锁定但值得继续跟进”的状态**，而不是“已破解”或“已清空”。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 **2 笔**，最后一笔发生在 **2013-11-30**。说明该钱包在 2013 年底之后基本不再主动支出。
- **转入（receive）**：共 **16 笔**，最后一笔发生在 **2025-01-28**。说明在停止转出后的十余年里，该地址仍陆续收到资金，最后一次入账距今（数据更新时间 2026-08-06）约 1 年半。
- **近期活跃度**：近 30 天转出/转入均为 **0**，即当前处于静默状态。
- **未同步/未知项**：我们**没有**每笔交易的金额、对手地址、交易哈希等明细数据，因此无法判断“转入是否来自同一来源”或“转出是否为大额清仓”。这些细节需要补充 `wallet_transactions` 的完整字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：**否**。即系统不认为 42.53 BTC 是小额，因此不会自动跳过或放弃该钱包。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，我们**没有**任何强证据表明密码已被还原或验证成功。
- **结论**：该钱包既不是“余额为0”的弃包，也不是“已破解”的包。它处于**“有余额、未解锁”**的中间状态，需要继续投入取证工作。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充完整交易明细**：获取 `wallet_transactions` 中每笔的金额、时间、对手地址、交易哈希，用于判断资金流向和来源特征。
2. **核对钱包文件完整性**：确认 `.dat` 文件是否被截断或损坏，尝试用合规工具做只读解析（不涉及暴力破解）。
3. **查找关联地址**：通过主地址 `1NKm...` 在公开浏览器中查询关联交易，看是否有交易所提现记录或已知标签。
4. **检查同批次钱包**：该路径下存在 `review` 目录，建议比对同目录下其他钱包的命名规律和密码策略，寻找共性线索。
5. **回溯录入来源**：确认该钱包是用户主动上报、链上监控发现，还是批量导入，这会影响后续取证优先级。
6. **检查是否有旧版备份**：`bitcoin_legacy_bdb` 格式在 0.16 版本后不再默认使用，建议确认是否有早期备份文件或未加密的 `wallet.dat` 副本。
7. **分析最后转入时间（2025-01-28）**：该笔转入距离录入时间（2026-06-23）约 1.5 年，需确认转入来源是否为已知服务商，可能提供找回线索。
8. **确认业务标注阈值**：明确“余额很小”的具体阈值（如 <0.01 BTC），以判断 42.53 BTC 在业务规则中的优先级等级。

### 7. 已尝试方向回顾（避免重复投入）
- **已确认钱包格式与文件大小**：`bitcoin_legacy_bdb`，57344 字节，排除了“空文件”或“非标准格式”的干扰。
- **已拉取基础交易统计**：转出 2 笔、转入 16 笔，时间跨度 4081 天，确认了钱包的长期活跃特征。
- **已核对业务标注**：确认该钱包**不**属于“余额为0”或“小额放弃”类别，因此无需重复检查该标记。
- **已检查密码状态字段**：确认 `cracked_password/actual_password` 为“否”，**无需重复验证**“是否已破解”这一前提。
- **未尝试**：未进行任何字典/规则/掩码类攻击（且本报告不提供此类操作建议）；未获取交易明细；未做关联地址分析。这些是下一步的空白区，而非重复区。