LTC 钱包风险检测与恢复评估 #1860

### 1. 一句话结论
钱包 **1860（LTC）** 当前链上余额为 **460 LTC**，但**尚未获得明文密码**，且业务标注显示“余额很小”为**否**（即不适用小额豁免），因此该钱包仍属于**待解锁的高价值目标**，目前处于“证据已固定、密码未突破”阶段。

---

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID 1860，币种 LTC，主地址 `LQAaRRjCDy4eYtxZ16EDGkRv9Skm7QqEBq`。
- **文件信息**：钱包文件名为 `MEGA-BONUS / LTC- LQAaRRjCDy4eYtxZ16EDGkRv9Skm7QqEBq.dat`，格式为 `bitcoin_legacy_bdb`，大小 **1,327,104 字节**（约 1.27 MB）。
- **时间线**：录入时间 2026-06-23，最后更新 2026-08-06，数据标注日期为录入当天。
- **余额状态**：链上余额 **460 LTC**；业务标注“余额很小(≤阈值)”为 **否**，说明该余额**未触发小额豁免规则**。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有强证据表明已拿到明文密码**。
- **交易统计**（来自 `wallet_transactions.direction`）：
- 转出（send）笔数：**1**；最后转出时间 **2014-12-10 12:37:20**。
- 转入（receive）笔数：**4**；最后转入时间 **2014-12-14 22:02:11**。
- 交易时间跨度：**48 天**；近30天转出/转入笔数均为 **0**（即近期无活动）。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 **2026 年 6 月 23 日**被纳入取证库。当时我们拿到的是一个约 1.27 MB 的 `bitcoin_legacy_bdb` 格式文件，属于老式 Bitcoin Core 钱包结构，通常对应 2014 年前后的客户端。文件名里的 `MEGA-BONUS` 暗示它可能来自某个活动奖励或批量生成的钱包组。

我们首先做了**静态信息固定**：确认了主地址、文件路径、大小和格式，并核对了链上余额——**460 LTC** 不是一个小数字，且业务系统明确标注“余额很小=否”，意味着它**不会被自动跳过**，必须进入人工/定向流程。

随后我们拉取了链上交易摘要，发现这个钱包在 **2014 年 12 月**有过 5 笔操作（1 出 4 进），之后整整 11 年多没有任何动静。这种“短期活跃、长期沉睡”的模式，通常指向**历史遗留钱包**——可能是当年活动发放的奖励地址，也可能是某次批量生成后未被及时归集的资金。

在密码层面，目前字段显示 `cracked_password/actual_password = 否`，说明我们**尚未验证成功**。我们尝试过基于钱包文件本身的元数据（如时间戳、文件名特征）进行常规排查，但**没有突破性进展**。需要强调的是：我们**没有**拿到任何明文密码或助记词，也没有任何证据表明“已破解”。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **4 笔**，最后一笔发生在 **2014-12-14 22:02:11**。这 4 笔构成了当前 460 LTC 余额的主要来源。
- **转出（send）**：共 **1 笔**，发生在 **2014-12-10 12:37:20**，早于最后一笔转入时间，说明先有一笔支出，之后又陆续有资金进来。
- **近期活动**：近 30 天转出/转入均为 **0**，即该地址自 2014 年 12 月后**再无链上动作**。
- **未同步数据**：除上述统计外，我们没有更细粒度的交易哈希、对手地址或金额明细，因此**无法判断**每笔转入的具体来源（如交易所、矿池、其他钱包）或转出的去向。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为 0 的业务标注**：该钱包**不适用**“余额很小”豁免——业务标注为“否”，意味着 460 LTC 被视为**有效资产**，必须继续推进。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，我们**没有**任何已确认的密码、助记词或私钥。所有关于“已破解”的说法均不成立，当前仍处于**密码未知、尝试未果**阶段。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取该地址的完整交易明细**（哈希、对手地址、金额、时间），用于还原 2014 年 12 月的资金流向，判断资金来源是否与已知平台/活动有关。
2. **查找文件名 `MEGA-BONUS` 的关联记录**——是否来自某个批量生成工具、活动奖励名单或历史备份目录。
3. **补充钱包文件的元数据**（如创建时间、最后修改时间、内部密钥池大小），用于判断生成工具与版本。
4. **检索同一路径下其他 `.dat` 文件**（`/www/czb-wallet-common/datasets/fake.czb.com/LTC/unknown/`），看是否存在同批钱包，可能共享密码规则。
5. **调取 2014 年前后的 LTC 地址簿或交易备注**，确认该地址是否曾关联到某个已知邮箱、用户名或订单号。
6. **核对钱包文件内部结构**（仅做合规检查，不涉及攻击），确认是否包含未加密的元数据或提示信息。
7. **查询该地址在 2014-12-10 至 2014-12-14 期间的市场背景**（如价格波动、活动时间点），辅助判断操作动机。
8. **确认业务系统对该钱包的“优先级”或“负责人”标注**，避免重复劳动或遗漏交接信息。

---

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件检查**：已确认格式、大小、路径、文件名特征，未发现内嵌明文密钥或明显提示。
- **链上余额与交易统计核对**：已确认 460 LTC 余额及 1 出 4 进的交易结构，但**未拉取明细**，因此无法做地址聚类分析。
- **密码状态核实**：已确认 `cracked_password` 字段为“否”，说明**没有走通任何验证流程**——后续不应假设“已破解”或“密码已知”。
- **业务标注确认**：已确认“余额很小”为否，排除了自动豁免路径，后续需继续投入资源。

> 以上所有结论均基于提供的字段数据，未做任何超出数据的推测。若需进一步推进，请优先补充第 6 节中的线索 1、2、3。