BTC 钱包风险检测与恢复评估 #1640

### 1. 一句话结论
这是一枚持有 **2.28883133 BTC** 的 Legacy 格式比特币钱包（ID 1640），主地址 `1FcHtQuvWrFLzqRKVgaaGHMEzL1o9bb36U` 在 2014 年有过 31 天的活跃交易后沉寂至今；目前**尚未获得明文密码**，且业务上**不认为余额为 0**，因此仍值得继续推进取证。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：文件名为 `8 сотня 100 / 1FcHtQuvWrFLzqRKVgaaGHMEzL1o9bb36U.dat`，格式为 `bitcoin_legacy_bdb`，大小 73,728 字节，属于早期 Bitcoin Core 钱包。
- **余额状态**：当前余额 **2.28883133 BTC**，业务标注“余额很小(≤阈值)”为 **否**，即该余额**未被判定为可忽略的小额**。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有强证据表明已拿到明文密码**。
- **链上活跃期**：交易时间跨度 **31 天**（约 2014-02 至 2014-03）。
- **转入/转出统计**：转入 **6 笔**，转出 **1 笔**；最后转出时间 `2014-02-13 08:28:52`，最后转入时间 `2014-03-10 13:45:46`。
- **近期动静**：近 30 天转入与转出笔数均为 **0**，说明该地址自 2014 年 3 月后再无链上活动。
- **录入与更新**：钱包于 2026-06-23 录入系统，最近一次信息更新为 2026-08-06。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最初在 2026 年 6 月 23 日进入我们的取证视野。当时系统登记的信息显示，它是一份来自 `MEGA-BONUS_!!таблица_8 сотня 100` 目录下的 Legacy 钱包文件，文件名里的“8 сотня 100”疑似某种批次或分组标记，但该标记的具体含义尚未解码。

我们首先对钱包文件本身做了静态核验：确认它是 Bitcoin 早期的 Berkeley DB 格式，文件大小 73,728 字节，结构完整。随后我们同步了链上数据，发现这个地址在 2014 年 2 月至 3 月间有过 7 笔交易——6 笔转入、1 笔转出。转入的最后一笔发生在 2014 年 3 月 10 日，此后地址再无任何动静，直到今天。

在密码验证层面，我们目前的状态是：**尚未取得明文密码**。系统内没有记录任何“已知密码”的强证据。也就是说，我们手里有一把锁，但还没有配到钥匙。余额方面，业务系统明确标注该余额 **2.28883133 BTC 不属于“可忽略的小额”**，这意味着这枚钱包的解锁优先级不应被下调。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **6 笔**，最后一笔发生在 **2014-03-10 13:45:46**。这说明该地址在 2014 年 3 月 10 日之后没有再收到任何资金。
- **转出（send）**：共 **1 笔**，发生在 **2014-02-13 08:28:52**。这是该地址唯一一次主动支出。
- **时间线推断**：先有 1 笔转出（2 月 13 日），后有 6 笔转入（持续到 3 月 10 日），最终余额停留在 2.28883133 BTC。注意：**我们只陈述笔数与时间，不臆断资金流向意图**。
- **近期活动**：近 30 天转入/转出均为 0，与“2014 年后沉寂”的链上事实一致。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：当前余额 **2.28883133 BTC**，业务标注“余额很小(≤阈值)”为 **否**。即：**该钱包不被视为“零钱/尘埃钱包”**，解锁后具有实际价值。
- **明文密码状态**：字段 `cracked_password/actual_password` 显示为 **否**。即：**我们尚未获得明文密码或助记词/私钥**，所有相关敏感信息均处于“[已脱敏]”状态。任何关于“已破解”的说法均不属实。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **文件名语义解析**：重点调查 `8 сотня 100` 与 `MEGA-BONUS_!!таблица` 是否为某次活动、批次或账户分组的编号，可能对应特定密码规则或生成模板。
2. **2014 年同期钱包备份检索**：查找同一目录或相邻目录下是否存在同批次的其他 `.dat` 文件，比对文件名规律与内部结构。
3. **转入资金来源分析**：调取 6 笔转入交易的对手地址与交易附言（如有），判断资金来源方是否可能持有密码线索。
4. **唯一一笔转出的去向**：分析 2014-02-13 那笔转出的接收方地址，看是否关联到已知交易所或同一控制人地址。
5. **钱包文件元数据检查**：在合规前提下检查 `.dat` 文件内部的时间戳、注释字段或历史修改记录，寻找创建者痕迹。
6. **系统录入来源追溯**：查清该文件由哪个渠道/任务进入 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 路径，上游任务描述可能含线索。
7. **补充密码线索材料**：若存在任何密码提示、旧笔记、邮件记录或历史工单，请补充至证据包。
8. **链上余额再确认**：建议对主地址做一次全节点或第三方浏览器的余额复核，排除孤立/未确认交易导致的余额偏差。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认钱包为 `bitcoin_legacy_bdb`（Berkeley DB 旧版格式），无需再对格式做重复猜测。
- **链上活跃度排查**：已确认该地址自 2014-03-10 后无任何交易，近期动静为 0，无需再查“是否有新转入”。
- **密码状态核验**：已确认系统内无“已知密码”强证据，当前不应假设密码已泄露或已破解。
- **余额业务判定**：已确认该余额 **不属于小额忽略范围**，后续无需再讨论“是否值得投入”的问题，而是聚焦“如何找到线索”。
- **基础文件核验**：文件大小与路径信息已登记，无需重新采集基础属性。