LTC 钱包风险检测与恢复评估 #1863

### 1. 一句话结论
这是一个持有约 4 万 LTC 的 Legacy 格式钱包（钱包ID 1863），目前**尚未获得明文密码**，但链上数据显示其存在“长期休眠、近期突然转入”的异常特征，值得继续围绕“资金来源”与“钱包持有人身份”两条线做合规取证。

### 2. 我们掌握的事实（证据链）
- **钱包基本信息**：钱包ID 1863，币种 LTC，主地址 `LSXkcZfGssvsMwHGh8ZPofhmwPpBaJx68A`，余额 **40417.00134717 LTC**。
- **文件属性**：格式为 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包），文件大小约 1.05 MB，路径与名称含 `MEGA-BONUS` 标识，录入时间为 2026-06-23。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**，即目前没有拿到明文密码。
- **业务标注**：字段“余额很小(≤阈值)”为 **否**，说明该钱包在业务上被认定为**高价值目标**，不是低优先级样本。
- **链上交易统计**（来自 `wallet_transactions.direction`）：
- 转出（send）仅 **1 笔**，最后转出时间 **2017-03-24**。
- 转入（receive）共 **26 笔**，最后转入时间 **2026-03-12**。
- 近 30 天转入/转出均为 **0 笔**。
- 交易时间跨度 **3475 天**（约 9.5 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最初在 2026 年 6 月进入我们的取证视野。当时系统根据文件路径和命名（`MEGA-BONUS`）判断它可能来自某个批量导入的旧钱包数据集。我们首先做了静态登记，确认了它的格式是 `bitcoin_legacy_bdb`——这是一种很老的钱包文件结构，通常对应 2015 年前后的客户端。

随后我们拉取了链上交易摘要，发现一个非常有意思的时间差：**这个钱包在 2017 年 3 月转出过一笔（仅 1 笔），之后整整 9 年没有任何动静，却在 2026 年 3 月突然收到一笔转入**。这种“沉睡多年后突然被唤醒”的模式，通常意味着有人重新找回了这个钱包的备份文件，或者该地址被用于新的收款用途。

与此同时，我们尝试对钱包文件本身做格式校验与结构分析，确认文件完整、无损坏。但关于密码，目前所有测试都停留在“未成功”阶段——字段里没有给出任何已知密码的强证据，所以我们不能声称已经打开钱包。当前结论是：**我们掌握了一个高价值但尚未解锁的旧钱包，它的链上行为有故事可挖，但门还没打开。**

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 1 笔，发生在 **2017-03-24**。这是该地址历史上唯一一次主动支出，之后长期未动。
- **转入（receive）**：共 26 笔，最后一笔发生在 **2026-03-12**。注意：虽然最后一笔转入很近，但近 30 天转入笔数为 0，说明那笔转入发生在 30 天之前。
- **近期活跃度**：近 30 天转入/转出均为 0，当前处于静默状态。
- **未知项**：我们**没有**每笔交易的金额、对手地址、时间戳明细，因此无法判断 26 笔转入是“小额累积”还是“大额单笔”，也无法确认 2017 年那笔转出的去向。这部分需要补充 `wallet_transactions` 的完整明细才能进一步解读。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额约 4 万 LTC，业务字段“余额很小”为 **否**，说明它被判定为**高价值、非零余额**目标，不是那种“余额已清空、仅供结构分析”的样本。
- **明文密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**尚未获得明文密码**。所有关于“已破解”的说法均不成立，目前仍处于“持有文件、未解锁”阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充完整交易明细**：拉取该地址 26 笔转入与 1 笔转出的时间戳、金额、对手地址，判断资金是挖矿所得、交易所提现还是个人转账。
2. **核对 2017 年转出对手方**：那唯一一笔转出是主动花费还是清仓？对手地址是否属于已知交易所？
3. **检查 2026-03-12 那笔转入的来源**：谁在 9 年后突然向这个旧地址打钱？这是最关键的“唤醒”线索。
4. **检索文件名 `MEGA-BONUS` 的关联性**：在历史泄露数据库或论坛中搜索该字符串，可能对应某个旧活动或空投项目。
5. **比对钱包文件哈希**：将该 `.dat` 文件哈希与公开泄露的旧钱包数据集做碰撞，确认是否来自同一批次。
6. **分析钱包内部密钥结构**：在不尝试破解的前提下，检查是否包含多个地址或仅单一地址，判断是否为“归集钱包”。
7. **调取录入时间上下文**：2026-06-23 录入时是否有伴随的工单、来源渠道或任务备注。
8. **补充钱包创建时间线索**：若文件元数据或内部结构能推断出首次生成时间，可与 2017 年转出时间做交叉验证。

### 7. 已尝试方向回顾（避免重复投入）
- **静态格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了现代 HD 钱包结构，后续无需再纠结格式判断。
- **链上活跃度初筛**：已确认转出 1 笔、转入 26 笔、近期静默，不需要再重复统计方向笔数。
- **密码状态核查**：已确认 `cracked_password` 为否，说明常规字典/规则测试尚未成功，**不建议立即重复同一套暴力测试**，应先补充更多上下文线索（如文件名、来源渠道）来缩小范围。
- **业务价值判定**：已确认是高价值非零余额钱包，后续资源投入优先级应保持高位，但需等待新线索再决定下一步技术动作。