BTC 钱包风险检测与恢复评估 #955

### 1. 一句话结论
钱包 955（BTC，legacy BDB 格式）链上记录显示有 16 笔转入、0 笔转出，余额 25.05900595 BTC；但“已知密码存在”字段为“否”，目前尚未获得明文密码，仍处于测试/待补充线索阶段。

### 2. 我们掌握的事实（证据链）
- 钱包 ID 955，币种 BTC，余额 25.05900595，非“余额很小”业务标注。
- 主地址：14TgNnoenwGd81r1yRhX3tHQcQMJ5r3QaL。
- 钱包版本/格式：bitcoin_legacy_bdb；文件名 wallet_75,25.dat，大小 94208 字节。
- 已知密码存在（cracked_password/actual_password）：否。
- 录入时间 2026-06-23 00:37:07，更新时间 2026-09-12 03:29:04，数据标注日期 2026-06-23 00:57:20。
- 链上摘要：转入 16 笔、转出 0 笔；最后转入 2026-05-23 06:00:03；最后转出未知；近 30 天转入/转出均为 0；交易时间跨度 2441 天。
- 钱包路径位于 /www/czb-wallet-common/datasets/fake.czb.com/BTC/real/ 下的一个长目录中。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026-06-23 被录入系统，当时同步了基础信息：BTC、legacy BDB 格式、主地址和约 25.06 BTC 的余额。随后在 2026-09-12 有一次更新，说明系统持续在跟踪它。链上部分显示它有过 16 次转入，时间跨度长达 2441 天，最近一次转入发生在 2026-05-23，但转出记录为 0。也就是说，从数据看，这个地址更像是一个“只进不出”的沉淀钱包。密码侧，系统标注“已知密码存在=否”，意味着我们并没有拿到可用的明文密码，也没有验证成功的记录。整个过程目前停留在“确认钱包存在、确认余额与交易轮廓、但尚未打开密码锁”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- 转入：16 笔，方向字段为 receive；最后转入时间 2026-05-23 06:00:03。
- 转出：0 笔，方向字段为 send；最后转出时间未知。
- 近 30 天：转入 0 笔、转出 0 笔。
- 交易时间跨度：2441 天。
- 结论：基于现有 direction 统计，只有转入记录，没有转出记录；未同步或未知的部分不臆断方向。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- 余额业务标注：该钱包“余额很小（≤阈值）”为“否”，即余额不属于小额标记，余额为 25.05900595 BTC。
- 密码状态：cracked_password/actual_password 为“否”，因此不能写“已拿到密码/验证成功”；当前应表述为“尚未获得明文密码，仍在测试或待补充线索”。
- 两者不能混为一谈：余额不为 0 不代表密码已破解；密码未破解也不代表余额不存在。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 补充该钱包的完整交易列表（txid、时间、金额、direction），用于核对 16 笔转入的真实性。
2. 补充钱包文件来源与归属信息，确认 /www/czb-wallet-common/datasets/... 路径下的采集背景。
3. 补充是否有同目录、同批次的其他钱包文件，用于判断是否为批量数据集。
4. 补充该地址当前链上余额与历史余额快照，验证 25.05900595 是否仍准确。
5. 补充钱包创建时间、最后备份时间等元数据，缩小密码可能的时间范围。
6. 补充是否有密码提示、备注、关联邮箱或旧设备信息（仅作合规线索，不涉及明文密码）。
7. 补充该钱包是否曾出现在其他案件/数据集中，避免重复分析。
8. 补充数据标注日期 2026-06-23 00:57:20 与录入时间的关系，确认标注来源。

### 7. 已尝试方向回顾（避免重复投入）
- 已确认钱包格式为 bitcoin_legacy_bdb，并记录了文件大小与路径，无需重复做基础识别。
- 已统计转入 16 笔、转出 0 笔，近 30 天无活动，无需重复拉取同一时间窗口的 direction 统计。
- 已确认“已知密码存在=否”，在无新证据前，不应反复宣称“已破解”或“已拿到密码”。
- 已确认余额非小额业务标注，后续应把重点放在密码状态与链上交易补充，而不是重复确认余额阈值。