BTC 钱包风险检测与恢复评估 #1642

### 1. 一句话结论
这是一枚创建于2012年的比特币Legacy钱包（地址 `1MB28oto...`），当前链上余额约 **10.83 BTC**，但截至目前**尚未获得明文密码**，且业务层面**未标记为“余额很小”**，因此仍属于高价值、需继续合规推进取证的目标。

---

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID `1642`，币种 `BTC`，格式 `bitcoin_legacy_bdb`（即Bitcoin Core旧版Berkeley DB钱包）。
- **主地址**：`1MB28otoAQFpP9ywiA8CbYVSKHpSTBH1z6`。
- **余额**：`10.83104194 BTC`（来自余额字段，非业务标注）。
- **业务标注**：`余额很小(≤阈值)` = **否**，说明系统判定该钱包余额具有实际价值。
- **密码状态**：`cracked_password/actual_password` = **否**（强证据字段），即**未拿到明文密码**。
- **文件信息**：钱包文件名含“8 сотня 100”及地址，路径位于 `MEGA-BONUS_!!таблица` 目录下，文件大小 `57344` 字节，录入时间 `2026-06-23`，最近更新 `2026-08-06`。
- **交易统计**（来自 `wallet_transactions.direction`）：
- 转出（send）**1 笔**，最后发生在 `2012-07-21`。
- 转入（receive）**7 笔**，最后一笔发生在 `2026-04-02`。
- 近30天转入/转出均为 **0**。
- 交易时间跨度 **5003 天**（约13.7年）。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 **2012年7月** 有过一次转出记录，之后长时间沉寂。直到 **2026年4月**，链上突然出现一笔转入，随后在 **2026年6月23日** 被系统纳入取证库（录入时间与数据标注时间一致）。我们根据文件路径与命名，推测它来自一个名为“MEGA-BONUS”的批量整理目录，且文件名中的“8 сотня 100”可能是业务侧的分类标签。

在初步检查中，我们确认了钱包格式为 `bitcoin_legacy_bdb`，这是比特币早期客户端常用的存储结构。我们核对了余额字段与业务标注：余额约10.83 BTC，且未被判定为“小额”，因此排除了“因余额过低而放弃”的可能。同时，我们检查了密码状态字段，明确显示**尚未验证成功**——这意味着当前所有工作仍停留在“持有加密文件、但无法解锁”的阶段。

我们并未对链上交易方向做任何猜测，所有转入/转出结论均来自 `direction` 统计字段。目前，该钱包处于“已建档、待解锁”状态。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 **1 笔**，最后一笔在 `2012-07-21 09:10:07`。距今已超过13年，说明该地址在早期有过一次资金移动，之后长期未动用。
- **转入（receive）**：共 **7 笔**，最后一笔在 `2026-04-02 21:19:26`。注意：最后一笔转入发生在数据录入（2026-06-23）之前约两个月，可能是余额从0变为10.83 BTC的直接原因。
- **近30天活动**：转入与转出均为 **0**，即近期无任何主动操作。
- **未同步/未知项**：我们**没有**每笔交易的金额、对手地址、时间戳明细，因此无法判断这7笔转入是否为同一来源、或是否包含“找零”等内部移动。若需进一步解读，需补充 `wallet_transactions` 的完整明细表。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注层面**：该钱包**未被标记为“余额很小/≤阈值”**，即系统认为其10.83 BTC余额具有实际追索价值，不属于“空钱包”或“低价值”放弃对象。
- **明文密码层面**：强证据字段 `cracked_password/actual_password` 明确为 **否**。因此，我们**尚未获得任何明文密码、助记词或私钥**，所有关于“已破解”的说法均不属实。当前仍处于“持有加密文件、尝试合规解锁”的早期阶段。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充 `wallet_transactions` 全量明细**（含每笔金额、时间、对手地址），用于还原2026年4月那笔转入的来源与性质。
2. **查找钱包文件同目录下的其他文件**（如 `MEGA-BONUS_!!таблица` 目录内是否有同名不同后缀的备份或说明文档）。
3. **核对钱包文件名中“8 сотня 100”的业务含义**，可能是批量导入时的批次号或客户编号，有助于定位原始来源。
4. **调取2012年7月那笔转出的链上记录**，确认当时是否属于“主动清空”还是“部分支付”，以判断早期使用习惯。
5. **检查是否有该地址的历史备注或工单记录**（如客服对话、导入申请单），可能包含密码提示或所有权证明。
6. **确认钱包文件是否来自已知的“MEGA-BONUS”活动批次**，若该批次有其他钱包已成功解锁，可参考其共性线索（非攻击细节）。
7. **补充钱包创建时间或首次看到该地址的区块高度**，用于交叉验证文件名中的年份信息。
8. **核实业务侧“余额很小”的判定阈值**，确认10.83 BTC在该规则下属于“高优先级”还是“中等优先级”，以决定资源投入比例。

---

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了其他钱包格式的干扰。
- **余额与业务标注核对**：已确认余额非零且未被标记为“小额”，排除了“因无价值而放弃”的路径。
- **密码状态核查**：已明确 `cracked_password` 为否，因此**不应再假设“密码已拿到”**，后续所有沟通应基于“未解锁”前提。
- **近期交易检查**：已确认近30天无活动，排除了“钱包正在被主动使用”的可能性。
- **未尝试方向**：尚未获取交易明细表、同目录文件列表、历史工单等外部关联数据——这些是下一步的重点，而非重复对同一文件做无新信息的格式猜测。