BTC 钱包风险检测与恢复评估 #1354

### 1. 一句话结论
这是一个仍持有约 0.19 BTC 的比特币 Legacy 格式钱包（BDB），目前**尚未获得明文密码**，但通过链上数据已能还原其“早年活跃、长期沉寂、近期有单笔转入”的生命周期轮廓，下一步最有价值的线索集中在 2012 年转出高峰期的地址关联与文件来源背景。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：钱包 ID 1354，币种 BTC，格式为 `bitcoin_legacy_bdb`，文件名为 `12NVQvAUaPargkJ5T3H33kJX37j1Kwzp9j.dat`，大小 106,496 字节，路径指向 `fake.czb.com/BTC/real/MEGA-BONUS_...` 数据集目录。
- **余额与标注**：当前余额 0.19016250 BTC；业务标注“余额很小(≤阈值)”为**否**，说明该余额在业务上不被视为可忽略的小额。
- **密码状态**：字段 `cracked_password/actual_password` 明确为**否**，即目前没有强证据表明已拿到明文密码。
- **主地址**：`12NVQvAUaPargkJ5T3H33kJX37j1Kwzp9j`，录入时间 2026-06-23，最近一次更新 2026-09-02。
- **链上交易统计**（来自 `wallet_transactions.direction`）：
- 转出 6 笔，最后转出 2012-04-13；
- 转入 26 笔，最后转入 2025-02-24；
- 近 30 天转入/转出均为 0；
- 交易时间跨度 4708 天（约 12.9 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最初进入视野，是因为它在数据集目录中被标记为 `MEGA-BONUS`，文件名与主地址完全一致，属于典型的“一地址一文件”的 Legacy BDB 结构。我们首先确认了它的基本盘：余额不为零、业务上不算“小额忽略”，因此有继续跟进的必要。

接着我们拉取了链上交易摘要，发现一个非常清晰的时间分层：**2012 年 4 月之前**，这个地址有过 6 次转出和大量转入，说明它早年曾被实际使用；**2012 年 4 月 13 日之后**，转出行为彻底停止，转入也几乎绝迹——直到 **2025 年 2 月 24 日**突然出现一笔转入，把余额从接近零拉到了现在的 0.19 BTC。

这个“沉睡 13 年后被唤醒”的模式，让我们把注意力从“暴力破解”转向了“来源分析”：这笔 2025 年的转入是谁发的？是不是原主人想起了旧钱包？还是某个交易所的自动归集？目前这些问题的答案都还没有落进数据字段里，属于下一步要补的线索。

在密码层面，我们检查了已知密码标记，结果为否——也就是说，我们还没有任何一把“被验证正确”的钥匙。当前所有工作都停留在“持有钱包文件 + 链上行为分析”的阶段，尚未跨过“解锁”的门槛。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 6 笔，全部发生在 2012 年，最后一笔为 2012-04-13 16:21:56。近 30 天转出 0 笔。
- **转入（receive）**：共 26 笔，时间跨度很长，最后一笔为 2025-02-24 08:03:14。近 30 天转入 0 笔。
- **解读**：该地址在 2012 年前后是一个“进出频繁”的活跃地址；2012 年中之后进入长达约 13 年的静默期；2025 年 2 月出现一笔孤立的转入，使余额变为当前值。至于这笔转入的具体对手方地址、金额大小、交易哈希，**当前数据未同步，暂属未知**。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注层面**：该钱包余额为 0.19016250 BTC，业务标注“余额很小(≤阈值)”为**否**——意思是它**不**属于“余额为零或小到可以放弃”的类别，业务上仍值得处理。
- **密码层面**：`cracked_password/actual_password` 字段为**否**，即**尚未获得明文密码**，也没有任何“验证成功”的记录。请勿将“余额不为零”误读为“已破解”——这是两件独立的事。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **2025-02-24 那笔转入的完整交易记录**（对手地址、金额、交易哈希），判断资金来源是个人钱包还是交易所冷热钱包。
2. **2012 年 6 笔转出的对手地址簇**，看是否与已知交易所或早期矿池地址重合。
3. **钱包文件来源背景**：`MEGA-BONUS` 目录名的业务含义、该数据集的上传者/归属方说明。
4. **文件创建时间与修改时间元数据**（若有），对比录入时间 2026-06-23 与链上最后活跃时间。
5. **同一数据集目录下其他钱包文件**，看是否存在同一批导入的“兄弟钱包”，可做横向关联。
6. **该地址在 2012 年之前的首次转入时间与金额**，判断是挖矿所得还是购买所得。
7. **钱包文件内部是否包含地址标签或备注字段**（BDB 结构内可能存有自定义注释）。
8. **是否有任何与 12NVQv... 相关的历史服务工单或邮件记录**（如交易所提现记录、钱包恢复请求）。

### 7. 已尝试方向回顾（避免重复投入）
- **链上行为时间线分析**：已完成，确认了“2012 活跃 → 长期沉寂 → 2025 单笔转入”的轮廓，无需重做。
- **余额与业务标注核对**：已完成，确认余额非零且业务上不视为小额。
- **密码状态核查**：已确认无已知明文密码，当前不应再假设“可能已经破解”而重复投入验证资源。
- **未尝试方向**：尚未对 2025 年转入资金来源做链上溯源，也尚未对 2012 年转出对手方做地址聚类——这两块是空白，值得优先补。