LTC 钱包风险检测与恢复评估 #1862

### 1. 一句话结论

钱包 **1862（LTC）** 目前持有 **326.09 LTC**，但**尚未获得明文密码**，且业务上**不认为余额很小**；链上活动显示这是一枚“老地址、新转入”的钱包，最近一次转入发生在 **2025-09-24**，近30天无任何交易。

---

### 2. 我们掌握的事实（证据链）

- **钱包身份**：钱包ID 1862，币种 LTC，主地址 `LX91hxPEM43pfwBpNbtMFEtuSiqMGsxMDP`，钱包名称 `MEGA-BONUS`。
- **文件信息**：格式为 `bitcoin_legacy_bdb`，文件大小 **1,228,800 字节**，路径位于 `fake.czb.com/LTC/unknown/` 目录下。
- **余额与标注**：当前余额 **326.09447731 LTC**；业务标注“余额很小”为 **否**（即不认为这是低价值钱包）。
- **密码状态**：`cracked_password / actual_password` 字段为 **否**，即**没有强证据表明已拿到明文密码**。
- **交易统计（依据 `wallet_transactions.direction`）**：
- 转出（send）：**5 笔**，最后转出 **2017-12-23 16:49:14**。
- 转入（receive）：**22 笔**，最后转入 **2025-09-24 03:01:50**。
- 近30天转出/转入均为 **0**。
- 交易时间跨度 **4496 天**（约 12.3 年）。
- **录入与更新**：录入时间 2026-06-23，最近更新 2026-08-06。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这个钱包最初在 **2026-06-23** 被录入系统，当时我们只拿到一个 `.dat` 文件，格式是比特币系钱包常见的 `bitcoin_legacy_bdb`（即 Berkeley DB 格式）。文件名里的 `MEGA-BONUS` 和路径中的 `unknown` 都提示它可能来自某个批量导入的旧备份目录。

我们首先对文件做了基础体检：确认大小约 1.2 MB，结构完整，能正常解析出主地址和余额。随后我们拉取了链上交易记录，发现一个很有意思的时间线——**转出全部集中在 2017 年底**，而 **转入却一直持续到 2025 年 9 月**。这说明这个地址在 2017 年之后基本处于“只进不出”的状态，直到 2025 年还有一笔入账。

接着我们尝试了常规的密码恢复流程（具体方法不展开），但截至目前，**没有任何强证据表明密码已被还原**——`cracked_password` 字段仍为“否”。我们也没有发现任何业务侧标注“余额为0”或“放弃”的标记，因此这个钱包仍被视为**有效目标**。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转出（send）**：共 **5 笔**，全部发生在 **2017-12-23 之前**（最后一笔转出时间 2017-12-23 16:49:14）。此后 **7 年多没有任何转出**。
- **转入（receive）**：共 **22 笔**，最后一笔发生在 **2025-09-24 03:01:50**。说明该地址在 2025 年仍收到过资金。
- **近30天活动**：转入 **0** 笔，转出 **0** 笔——当前处于静默状态。
- **未同步/未知项**：我们**没有**每笔交易的金额明细和对手地址数据，因此无法判断“大额进出”或“归集行为”，只能确认笔数与时间。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注**：该钱包余额 **326.09 LTC**，业务侧标注“余额很小”为 **否**——即**不认为这是低价值/可放弃钱包**，仍值得继续投入。
- **密码状态**：`cracked_password / actual_password` 为 **否**，即**尚未拿到明文密码**。我们也没有任何“验证成功”的记录。所有关于“已破解”的说法均不成立。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **获取该 `.dat` 文件的来源信息**：它来自哪台机器、哪个备份任务、是否有配套的 `wallet.dat` 同名文件或日志。
2. **补充链上交易明细**（每笔的金额、对手地址、交易哈希），用于判断 2025 年那笔转入的性质（是找零、收款还是测试）。
3. **查找与 `MEGA-BONUS` 相关的历史文档/邮件/备注**，可能是密码提示或旧密码记录。
4. **确认钱包创建时间**（BDB 文件内部时间戳），用于缩小密码设置时间范围。
5. **检查同批次导入的其他钱包**（路径中 `unknown` 目录下是否有兄弟文件），可能共享密码策略。
6. **调取 2017 年 12 月前后的转出交易上下文**，看是否有配套的提现记录或服务商信息。
7. **核对业务侧“余额很小”的判定阈值**，确认 326 LTC 为何被标记为“不小”，可能涉及单价或历史成本。
8. **补充钱包文件哈希与原始备份链**，用于确认文件未被篡改或部分损坏。

---

### 7. 已尝试方向回顾（避免重复投入）

- **基础文件解析**：已确认格式为 `bitcoin_legacy_bdb`，地址与余额可正常读取，文件结构完整。
- **链上统计**：已拉取转入/转出笔数与时间跨度，确认了“老地址、新转入”的特征。
- **密码恢复尝试**：已进行常规流程，但**未取得强证据**（`cracked_password = 否`），未获得明文密码。
- **业务标注核查**：已确认该钱包**未被标记为低价值**，排除“余额为0”的误判。
- **未尝试/不建议重复**：在没有新线索（如密码提示、来源信息）的情况下，重复跑相同字典或规则属于低效投入，应优先补充第 6 节中的外部线索。