BTC 钱包风险检测与恢复评估 #1247

### 1. 一句话结论
钱包 1247（BTC，地址 1Nz2n3...P6sZ）目前余额仅 0.00077408 BTC，业务上已标记为“余额很小”，且**尚未获得明文密码**；链上数据显示这是一只长期只进不出的“沉睡钱包”，近 30 天无任何活动。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：ID 1247，币种 BTC，主地址 `1Nz2n3VzaeUxxeToxiBKMQm6ehDfnAP6sZ`，格式为 `bitcoin_legacy_bdb`（老式 Bitcoin Core 钱包）。
- **文件信息**：钱包名 `wallet_875BTC / wallet_875.dat`，文件大小 536,576 字节，路径指向 `MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_875BTC...` 数据集。
- **余额与标注**：当前余额 0.00077408 BTC；业务标注“余额很小（≤阈值）= 是”。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有已知明文密码**。
- **链上交易（依据 wallet_transactions.direction）**：
- 转入笔数：30 笔；转出笔数：0 笔。
- 最后转入时间：2026-05-22 11:00:50；最后转出时间：未知。
- 近 30 天转入/转出笔数均为 0。
- 交易时间跨度：4274 天（约 11.7 年）。
- **时间线**：录入 2026-06-23，更新 2026-08-06，数据标注日期 2026-06-23。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初在 2026 年 6 月 23 日接手这个钱包，它来自一个名为“MEGA-BONUS”的批量钱包数据集。从文件命名看，它被归类为“250 个钱包”之一，且名字里带有“875BTC”，暗示历史上可能有过大额 BTC 的痕迹。

我们首先核对了链上数据，发现一个非常清晰的模式：**30 笔转入、0 笔转出**，跨度长达 4274 天。这意味着这个地址在过去十几年里只收钱、从不花钱，典型的“囤币”或“遗忘”型钱包。最后一次转入发生在 2026 年 5 月 22 日，之后便再无动静。

接着我们检查了钱包文件本身。它是老式 Bitcoin Core 格式（legacy_bdb），文件大小约 524 KB，属于正常范围。我们尝试了常规的合规取证流程（如检查文件完整性、核对地址与交易是否匹配），但**关键缺口在于密码**：目前没有任何字段表明我们已获得明文密码或助记词，因此无法打开钱包查看内部私钥或进行签名操作。

业务侧同时给了我们一个提示：该钱包余额已低于阈值，被标记为“余额很小”。这让我们意识到，即使未来能打开钱包，其直接经济价值也有限，但作为历史交易样本或关联分析节点仍有意义。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 30 笔，最后一笔发生在 2026-05-22 11:00:50。近 30 天转入笔数为 0。
- **转出（send）**：共 0 笔，最后转出时间未知（因为从未转出）。
- **净流向**：纯流入型地址，无任何支出记录。
- **活跃度**：近 30 天完全静默，无任何链上动作。
- **注意**：以上仅基于 `direction` 统计字段，不推断任何具体交易对手或资金性质。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：余额 0.00077408 BTC，低于阈值，业务侧标记为“余额很小（≤阈值）= 是”。这只是一个**经济价值判断**，不代表钱包已清空或已破解。
- **明文密码状态**：字段 `cracked_password/actual_password = 否`，即**我们尚未获得任何明文密码、助记词或私钥**。所有关于“已破解”的说法均不成立，当前仍处于“未解锁”状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **寻找钱包文件来源**：确认 `MEGA-BONUS_BITCOIN CORE WALLETS` 数据集的原始出处、打包时间与关联说明文档，可能包含密码提示或备份信息。
2. **检查同批次其他钱包**：该数据集含 250 个钱包，若其他钱包已被成功解锁，可对比其文件结构或命名规律（仅作合规参考，不涉及攻击）。
3. **核对地址历史大额交易**：虽然当前余额小，但 4274 天跨度内 30 笔转入，需调取完整交易列表，确认是否有早期大额 BTC 转入后转出至其他地址（目前转出为 0，但需排除链上数据同步延迟）。
4. **补充钱包创建时间线索**：从文件元数据（如 `mtime`、BDB 内部时间戳）推断钱包首次生成时间，辅助判断密码设置习惯。
5. **寻找离线备份或纸质记录**：若该钱包来自真实业务，可能存在于旧服务器备份、邮件附件或运维笔记中。
6. **检查钱包是否包含多个地址**：BDB 格式可能包含密钥池，需确认除主地址外是否有其他派生地址及其余额（需解锁后才能查看）。
7. **核对数据标注日期与录入时间差异**：录入 2026-06-23 00:41，标注 00:57，间隔 16 分钟，确认是否有额外人工备注或脚本输出。
8. **确认“余额很小”阈值的具体数值**：了解业务侧判定标准，判断该钱包是否曾被批量筛查过。

### 7. 已尝试方向回顾（避免重复投入）
- **链上数据核对**：已完成，确认 30 转入 / 0 转出，近 30 天无活动。**无需重复拉取**。
- **文件格式识别**：已确认为 `bitcoin_legacy_bdb`，文件大小正常。**无需重新鉴定**。
- **密码状态检查**：已确认无已知密码，且业务标注“余额很小”不代表已破解。**避免误判为已解锁**。
- **交易方向统计**：已基于 `direction` 字段完成，未做任何方向臆断。**后续补充数据时注意保持字段口径一致**。
- **未尝试**：未进行任何可能涉及攻击性操作的尝试（如暴力枚举、字典猜测等），也**不建议**在缺乏合法授权的情况下进行。