BTC 钱包风险检测与恢复评估 #970

### 1. 一句话结论
这是一枚创建于2012年、当前余额为1.65 BTC的比特币Legacy格式钱包（ID 970），目前**尚未获得明文密码**，但链上历史显示其在2012年4-5月间有活跃的收发记录，之后长期沉寂，取证工作仍处于“已定位、未解锁”阶段。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID 970，主地址 `14gUZaocQWdLakHJ67rYfWHBX3hwihHZvw`，币种BTC。
- **当前余额**：1.65000000 BTC（业务标注“余额很小”为**否**，即该余额未触发小额忽略阈值）。
- **文件信息**：格式为 `bitcoin_legacy_bdb`，文件名 `wallet_1,65BTC / wallet_1,65.dat`，大小131,072字节（128KB），路径指向 `fake.czb.com/BTC/real/MEGA-BONUS_wallet_1,65BTC_...`。
- **时间戳**：录入时间2026-06-23 00:37:16，数据标注时间2026-06-23 00:57:21，最近更新2026-08-06 07:32:00。
- **链上交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）17笔，最后转出2012-04-26 03:39:31。
- 转入（receive）33笔，最后转入2012-05-02 03:28:26。
- 交易时间跨度68天，近30天转入/转出均为0笔。
- **密码状态字段**：`cracked_password/actual_password` = **否**（强证据缺失）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在2026年6月23日被录入系统，当时我们根据文件名中的“MEGA-BONUS”和“1,65BTC”初步判断它可能关联某次历史活动或奖励发放。数据标注在录入后20分钟内完成，说明初始采集顺利。

随后我们核对了链上交易摘要：发现它是一枚“老钱包”——活跃期集中在2012年4月至5月，共发生33笔转入和17笔转出，最后动账距今已超过14年。这种“早年活跃、随后沉睡”的模式，通常意味着钱包可能被遗忘，或私钥/密码保管方式较原始（如本地文件备份）。

我们检查了文件本身：128KB的BDB格式钱包文件结构完整，路径位于“real”目录下，说明它并非测试或伪造数据。但关键卡点在于**密码字段至今仍为“否”**——即我们尚未获得任何能直接解锁该钱包的明文密码或已恢复的密钥材料。所有工作目前停留在“确认资产存在、文件有效、历史交易清晰”的阶段，尚未跨过解锁门槛。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共33笔，最后一笔发生在2012-05-02 03:28:26。结合文件名“MEGA-BONUS”推测，这些转入可能包含奖励或充值，但**具体来源地址与金额明细未在本次数据中提供**，暂无法判断是否全部为外部转入。
- **转出（send）**：共17笔，最后一笔发生在2012-04-26 03:39:31（早于最后一笔转入约6天）。说明在2012年4月底至5月初，该地址曾同时存在收支行为，但**转出对象与找零去向未知**。
- **近期动态**：近30天转入/转出均为0笔，与“2012年后沉睡”的判断一致。
- **未知项**：当前余额1.65 BTC是否等于“历史总转入-总转出”的净值，因缺少逐笔金额字段，**无法验证**。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注“余额很小(≤阈值)”为**否**，即1.65 BTC在业务上**不被视为可忽略的小额资产**，具有继续跟进的必要。
- **明文密码状态**：字段 `cracked_password/actual_password` = **否**，表示**尚未获得明文密码或验证成功**。我们目前没有可用的密码、助记词或私钥片段，所有关于“已破解”的说法均不属实。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取该钱包文件创建时的关联日志**（如服务器历史命令、备份记录），确认是否有密码提示或备注文件。
2. **调取2012年4-5月该地址的完整交易明细**（含金额、对手地址、交易哈希），用于交叉验证余额构成。
3. **检索同一路径下是否有其他同名或同批次的“MEGA-BONUS”钱包文件**，可能共享密码策略。
4. **查找该钱包录入前的来源说明**（如“fake.czb.com”数据集的上游提供方是否附带说明文档）。
5. **核对钱包文件修改时间与录入时间差**（文件本身时间戳未提供），判断是否在2026年前被外部访问过。
6. **检查是否有对应的旧版Bitcoin Core日志或配置文件**（如wallet.dat同目录下的备份文件）。
7. **在合规前提下，询问数据提供方是否持有该钱包的历史密码片段或部分密钥分片**。
8. **确认该地址在2012年之后是否有任何“仅观察”性质的关联地址**（如找零地址），以判断资产是否被移动过。

### 7. 已尝试方向回顾（避免重复投入）
- **文件完整性检查**：已确认BDB格式文件大小正常（128KB），未发现截断或损坏迹象。
- **链上活跃度分析**：已确认交易时间跨度68天、收发笔数及最后动账时间，排除了“近期活跃”的可能。
- **密码状态核实**：已确认当前无任何明文密码或验证成功记录，后续无需重复检查该字段。
- **业务阈值判断**：已确认1.65 BTC不属于“小额忽略”范畴，无需再讨论是否放弃。
- **未尝试方向**：尚未进行任何涉及密码猜测、字典或规则推导的工作（且此类操作需严格遵守安全边界），也未获取到任何可用的密码提示材料。