BTC 钱包风险检测与恢复评估 #1576

### 1. 一句话结论
钱包 1576 是一个 BTC 遗留格式（bitcoin_legacy_bdb）钱包，链上记录显示有 10 笔转出与 12 笔转入，当前余额 16.13643422 BTC；但“已知密码存在”字段为“否”，因此目前尚未获得明文密码，仍处于测试/待补充线索阶段。

### 2. 我们掌握的事实（证据链）
- 钱包 ID：1576；币种：BTC；版本/格式：bitcoin_legacy_bdb。
- 主地址：18QfqCQNnsvxvi7DTEMi2DTcgY93RqGTgY。
- 余额：16.13643422 BTC；业务标注“余额很小”为“否”。
- 已知密码存在（cracked_password/actual_password）：否。
- 钱包名称：6я сотня 120 / 16.13643422-2.dat；文件大小：69632 字节。
- 钱包路径：/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_!!таблица_6я сотня 120_16.13643422-2.dat-7875f72166d8/16.13643422-2.dat。
- 录入时间：2026-06-23 00:53:59；更新时间：2026-09-12 06:10:22；数据标注日期：2026-06-23 00:58:01。
- 链上交易摘要：最后转出时间 2014-01-21 00:47:03；最后转入时间 2021-09-16 09:08:01；转出 10 笔、转入 12 笔；近 30 天转出 0 笔、转入 0 笔；交易时间跨度 2977 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026-06-23 被录入系统，当时标注了余额 16.13643422 BTC，并记录了主地址和文件路径。从路径看，它来自一个名为 fake.czb.com 的数据集目录，文件名里带有“MEGA-BONUS”“6я сотня 120”等俄语/编号式标记，说明它可能是批量归档中的一个样本。之后到 2026-09-12 有了一次更新时间，但“已知密码存在”字段始终为“否”，意味着我们没有拿到可验证的明文密码。链上部分，系统记录了 10 笔转出和 12 笔转入，最后转出停在 2014-01-21，最后转入停在 2021-09-16，近 30 天没有任何新交易。整体推进到现在的状态是：钱包文件在库、地址和余额明确、交易方向有统计，但密码验证环节没有突破。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- 转入（receive）：共 12 笔，最后转入时间 2021-09-16 09:08:01；近 30 天转入 0 笔。
- 转出（send）：共 10 笔，最后转出时间 2014-01-21 00:47:03；近 30 天转出 0 笔。
- 交易时间跨度：2977 天，说明这个地址的活动周期很长，从 2014 年前后一直延续到 2021 年。
- 当前余额 16.13643422 BTC 与上述转入/转出统计并不直接构成“余额=转入-转出”的简单等式，因为链上统计可能只覆盖部分交易或存在未同步数据；具体资金流向的逐笔明细未同步/未知。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- 余额为 0 的业务标注：本钱包“余额很小（≤阈值）”标注为“否”，且余额字段为 16.13643422 BTC，因此不属于“余额为 0”或“余额很小”的业务标注情形。
- 是否拿到明文密码：已知密码存在（cracked_password/actual_password）字段为“否”，所以目前尚未获得明文密码，也没有验证成功的记录；不能推断为“已破解”或“已拿到密码”。
- 结论：钱包有余额、有链上活动，但密码验证状态仍为未成功，需继续补充线索。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 补充该钱包的完整交易明细（逐笔 txid、时间、金额、direction），用于核对 10 笔转出与 12 笔转入的完整链路。
2. 补充钱包文件的来源背景：fake.czb.com 数据集的采集说明、归档规则、是否来自同一批次的其他钱包。
3. 补充钱包名称中“6я сотня 120”“MEGA-BONUS”等标记的业务含义，确认是否为分组编号或活动标签。
4. 补充该地址 18QfqCQNnsvxvi7DTEMi2DTcgY93RqGTgY 的链上完整历史，确认最后转入后是否还有未同步的转出。
5. 补充钱包文件的元数据：创建时间、最后修改时间、是否伴随其他同目录文件。
6. 补充是否有同批次钱包的密码验证记录，用于判断该批次是否使用过统一规则（仅作合规比对，不涉及攻击细节）。
7. 补充该钱包在系统中的状态变更日志，尤其是 2026-09-12 更新时发生了什么。
8. 补充业务侧对“已知密码存在=否”的判定依据，确认是未测试还是测试后未通过。

### 7. 已尝试方向回顾（避免重复投入）
- 已确认钱包格式为 bitcoin_legacy_bdb，并记录了文件大小与路径，但未获得明文密码。
- 已统计转出 10 笔、转入 12 笔，并记录最后转出/转入时间，但逐笔明细未同步。
- 已确认“已知密码存在”为“否”，因此不应重复假设“已经破解成功”。
- 已确认余额不为 0、也不属于“余额很小”的业务标注，因此不应按“空钱包”方向处理。
- 近 30 天无转入/转出，说明短期链上活动不是当前重点，应优先补充历史明细与来源背景。