BTC 钱包风险检测与恢复评估 #1268

### 1. 一句话结论
钱包 1268（BTC，legacy BDB 格式）在链上最后活动停留在 2011 年 5 月，余额记录为 14.6 BTC，但**尚未获得明文密码**（cracked_password/actual_password=否），且该余额不属于“余额很小”的业务标注；当前证据只能确认“钱包文件与历史交易事实”，不能确认“已破解”或“可动用”。

### 2. 我们掌握的事实（证据链）
- 钱包 ID 1268，币种 BTC，余额 14.60000000，业务标注“余额很小”= 否。
- 已知密码存在（强证据 cracked_password/actual_password）= 否，即**没有拿到明文密码**。
- 主地址：15LhbzoCjr9icNTsabMVBKCgTZYqPHgcaf。
- 钱包版本/格式：bitcoin_legacy_bdb；钱包名称 wallet_14,6BTC / wallet_14,6.dat。
- 钱包路径位于 /www/czb-wallet-common/datasets/fake.czb.com/BTC/review/... 下，文件大小 57344 字节。
- 录入时间 2026-06-23 00:42:01，更新时间 2026-08-11 15:30:25，数据标注日期 2026-06-23 00:57:34。
- 链上摘要：转出 2 笔、转入 3 笔；最后转出 2011-05-25 14:05:45，最后转入 2011-05-30 04:26:17；交易跨度 12 天；近 30 天转出/转入均为 0。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早进入视野，是因为它被录入到站内数据集：录入时间 2026-06-23，路径落在 review 目录下，文件名直接写着 wallet_14,6BTC，和余额字段 14.6 BTC 对得上。随后我们核对了它的格式——bitcoin_legacy_bdb，说明它是早期 Bitcoin Core 的 Berkeley DB 钱包，文件大小 57344 字节，属于典型的老钱包文件体量。

接着我们把注意力放到链上活动：direction 统计显示它有 2 笔转出、3 笔转入，最后转出在 2011-05-25，最后转入在 2011-05-30，整个活动跨度只有 12 天。也就是说，这个钱包的链上生命非常短，之后近 30 天转出/转入都是 0，说明它早已不再活跃。

在破解状态上，我们始终没有拿到强证据：cracked_password/actual_password 字段为“否”。因此到目前为止，我们推进到的是“钱包文件已归档、链上历史已梳理、余额记录已确认”，但**没有推进到“已获得明文密码”**。更新时间 2026-08-11 说明数据仍在维护，但维护不等于破解成功。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- 转入（receive）：共 3 笔，最后转入时间 2011-05-30 04:26:17；近 30 天转入 0 笔。
- 转出（send）：共 2 笔，最后转出时间 2011-05-25 14:05:45；近 30 天转出 0 笔。
- 交易时间跨度 12 天，说明活动集中在 2011 年 5 月。
- 除上述统计外，具体每笔交易的金额、对手方、手续费等明细：未同步/未知。
- 严禁推断交易方向：以上方向仅来自 wallet_transactions.direction 的 receive/send 统计字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- 余额为 0 的业务标注：本钱包“余额很小（≤阈值）”= 否，余额字段为 14.60000000，因此**不属于余额为 0 或余额很小的标注情形**。
- 是否拿到明文密码：cracked_password/actual_password = 否，因此**尚未获得明文密码，仍在测试/未验证成功**。
- 需要强调：余额存在不等于可动用；在未拿到明文密码前，不能写“已破解”或“验证成功”。
- 任何明文密码、助记词、私钥在本总结中一律不出现，也不做猜测或还原。

### 6. 下一步最值得补充的线索（最多 8 条）
1. 补充该钱包的完整交易明细（每笔 txid、金额、方向），用于核对 2 笔转出与 3 笔转入的具体流向。
2. 补充钱包文件的元数据（创建时间、最后修改时间、BDB 版本），用于判断钱包生成环境。
3. 补充该主地址的链上当前余额与历史余额快照，确认 14.6 BTC 是否仍在地址上。
4. 补充同目录下其他钱包的命名与路径规律，判断是否为批量归档数据集。
5. 补充数据标注日期 2026-06-23 与录入时间的关系，确认标注来源。
6. 补充更新时间 2026-08-11 对应的变更内容（是余额刷新还是状态刷新）。
7. 补充该钱包是否有关联的密码提示文件、README 或来源说明（不含明文密码）。
8. 补充业务侧“余额很小”阈值的定义，用于解释为何 14.6 BTC 被标为“否”。

### 7. 已尝试方向回顾（避免重复投入）
- 已确认钱包格式为 bitcoin_legacy_bdb，文件大小 57344 字节，路径与命名已归档，无需重复做基础识别。
- 已确认链上方向统计：转出 2 笔、转入 3 笔，最后活动在 2011 年 5 月，近 30 天无活动，无需重复拉取方向统计。
- 已确认 cracked_password/actual_password = 否，说明当前没有明文密码强证据，不应重复宣称“已破解”。
- 已确认余额标注“余额很小”= 否，不应把它当作零余额钱包处理。
- 尚未尝试或尚未补齐的是：完整交易明细、钱包元数据、同目录关联文件、更新时间变更内容，这些应优先补充而不是重复已有结论。