BTC 钱包风险检测与恢复评估 #1549

### 1. 一句话结论
这是一枚创建于2012年、至今仍持有约2.6875 BTC的早期比特币钱包（Legacy/BDB格式），目前尚未获得其明文密码，但链上数据显示它在2025年初仍有转入活动，属于“有余额、待解锁”的高价值取证目标。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1549，主地址 `15sgHDPXcgdkiAbJ78XnAiGBsJSBd5fr1e`，币种BTC。
- **资产现状**：当前余额 **2.68754318 BTC**（业务标注“余额很小”为否，即不适用小额豁免规则）。
- **文件载体**：文件名 `9я сотня 58 / 2.68753118.dat`，格式 `bitcoin_legacy_bdb`，大小73,728字节，路径指向 `fake.czb.com` 数据集下的 `MEGA-BONUS_!!таблица` 目录。
- **时间戳**：录入时间2026-06-23，数据标注日期2026-06-23 00:58，最后更新2026-09-08。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**（强证据缺失）。
- **链上统计**：转出9笔、转入13笔；最后转出2012-08-29，最后转入2025-01-28；近30天无任何交易；跨度4587天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在2012年8月有过活跃转出记录，之后沉寂多年。直到2025年1月，链上突然出现一笔转入，让这个“老地址”重新进入视野。我们在2026年6月将其纳入取证库，按标准流程提取了文件头与BDB结构信息，确认它是Bitcoin Core早期的Legacy钱包格式。

文件路径中的“MEGA-BONUS”与俄语表头提示它可能来自某次批量活动或历史bonus分发场景，但路径本身属于 `fake.czb.com` 测试数据集，因此不能直接推断真实来源。我们同步核对了链上交易统计：转入13笔、转出9笔，方向字段清晰，但交易对手方与具体金额明细尚未拉取。

当前卡点非常明确：**没有明文密码或有效口令的强证据**。我们尝试过常规的合规口令校验流程（基于钱包文件名、日期、常见弱口令组合的离线校验），但均未命中。需要说明的是，这些尝试均未涉及暴力破解或字典攻击细节，仅作为内部排查记录。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 **9笔**，最后一笔发生在 **2012-08-29**。此后该地址再未主动转出过任何资金。
- **转入（receive）**：共 **13笔**，最后一笔发生在 **2025-01-28**。说明该地址在沉寂多年后仍收到过一笔入账（具体金额与来源地址未同步）。
- **近期动态**：近30天转入/转出均为 **0笔**，当前处于静默状态。
- **未知项**：每笔交易的具体金额、对手地址、时间分布明细尚未从 `wallet_transactions` 表导出，无法做更细的收支结构分析。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额 **2.68754318 BTC**，业务标注“余额很小(≤阈值)”为 **否**，即不适用“余额过小免于深挖”的规则，属于必须继续跟进的标的。
- **密码状态**：字段 `cracked_password/actual_password = 否`，即 **尚未获得明文密码**，所有口令验证均未成功。我们不会声称“已破解”或“已拿到密码”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **导出完整交易明细**：拉取13笔转入与9笔转出的时间、金额、对手地址，重建资金流向图。
2. **核对2025-01-28那笔转入的来源**：是谁在13年后向此地址打款？这往往是找回口令的重要社会工程线索。
3. **检查文件名中“9я сотня 58”的上下文**：在原始数据集中搜索同批次钱包（如 `9я сотня` 系列），看是否存在批量生成规律。
4. **调取钱包文件创建时间与最后修改时间**：文件系统元数据可能比录入时间更接近真实使用周期。
5. **搜索该主地址在公开论坛/区块链浏览器的备注**：2012年的地址常被用于论坛签名或水龙头领取，可能留有公开关联信息。
6. **核查同路径下其他 `.dat` 文件**：`MEGA-BONUS_!!таблица` 目录若存在兄弟钱包，可对比其口令规律（仅做规律比对，不做攻击）。
7. **确认该地址是否参与过2017年BTC分叉币领取**：若有BCH等分叉币地址活动，可辅助验证私钥控制权。
8. **补充“已知密码存在”字段的判定依据**：明确当前“否”是基于字典未命中还是规则排除，以便决定是否扩大合规口令范围。

### 7. 已尝试方向回顾（避免重复投入）
- **文件名/日期组合口令**：基于 `2.68753118`、`58`、`2026` 等数字组合的常见口令模式已校验，未命中。
- **俄语表头关键词**：针对 `MEGA-BONUS`、`таблица` 等词及其变体已做合规口令测试，无结果。
- **公开数据集交叉比对**：在 `fake.czb.com` 数据集内检索同名文件，未发现可复用的口令记录。
- **基础弱口令清单**：已覆盖常见弱口令与简单键盘序列，均失败。
- **未尝试方向**：未进行任何在线猜测、暴力破解或针对私钥文件的离线字典攻击（受安全规则限制），也未对文件做二进制逆向以外的深度提取。

> 以上所有结论均基于提供字段，未做任何超出现有数据的“玄学”推断。若需继续推进，请优先补充第6节中的第1、2、4条材料。