BTC 钱包风险检测与恢复评估 #944

### 1. 一句话结论
这是一枚创建于2012年、至今仍持有约28.33 BTC的比特币Legacy格式钱包（ID 944），近期有转入记录但近30天无动静；目前**尚未获得明文密码**，破解工作仍处于“未验证成功”阶段，且该钱包**不属于“余额为0”的业务标注情形**。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 944，币种BTC，主地址 `16FceSzNZTnkivdX24J3C3Qt4XhnMtEt8n`。
- **余额状态**：当前余额 **28.33198236 BTC**，业务标注“余额很小(≤阈值)”为**否**，即余额并不小。
- **文件信息**：格式为 `bitcoin_legacy_bdb`，文件名 `wallet_28,33.dat`，大小 110,592 字节，路径指向 `MEGA-BONUS_wallet_28,33` 数据集。
- **录入与更新**：录入时间 2026-06-23 00:37:01，最近更新 2026-08-06 07:12:30。
- **链上交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）3 笔，最后转出时间 **2012-12-27**；
- 转入（receive）12 笔，最后转入时间 **2026-05-23**；
- 近30天转出/转入均为 0 笔；
- 交易时间跨度 4897 天。
- **密码状态**：字段 `cracked_password / actual_password` 为**否**，即没有强证据表明已拿到明文密码。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最初在 2026 年 6 月 23 日被录入系统，当时它带着一个醒目的名字 `MEGA-BONUS_wallet_28,33`，文件格式是典型的比特币早期 Legacy 钱包（BDB 数据库）。我们首先确认了它的“身份”——主地址、文件路径、文件大小都被完整记录，说明它来自某个批量备份数据集，而非孤立样本。

随后我们拉取了链上交易摘要，发现一个有意思的时间结构：这个钱包在 2012 年底有过 3 笔转出，之后长达数年没有转出动作；但转入记录一直延续到 2026 年 5 月，最近一笔转入距离数据标注日仅约一个月。这说明该地址在“沉睡”多年后，近期仍有外部资金进入，并非完全废弃。

在密码层面，我们核对了强证据字段——目前 `cracked_password` 为否，意味着我们手里**没有**可验证的明文密码或助记词。我们也没有看到任何“余额为0”的业务标注，因此不能把它归类为“空钱包放弃”场景。整个推进过程目前停留在“资料齐全、密码未破”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 3 笔，全部发生在 2012 年 12 月 27 日之前（最后转出 2012-12-27 18:38:07）。此后无任何转出记录。
- **转入（receive）**：共 12 笔，最近一笔发生在 2026-05-23 06:00:03。近30天转入笔数为 0。
- **近期活跃度**：近30天转出 0 笔、转入 0 笔，说明当前处于静默状态。
- **未同步/未知项**：我们没有看到每笔交易的金额明细与对手地址，因此无法判断 2026 年那笔转入是“小额测试”还是“大额归集”，此部分标注为**未知**。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 28.33 BTC，业务标注“余额很小”为**否**，即它不属于“余额为0/可放弃”的类别。
- **明文密码状态**：强证据字段显示 `cracked_password/actual_password = 否`，因此我们**尚未获得明文密码**，也没有任何验证成功的记录。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 获取该钱包文件对应的**原始备份来源**（如服务器目录、压缩包注释），确认是否存在配套的密码提示文本。
2. 调取 2026-05-23 那笔转入的**交易对手地址与金额**，判断是否来自交易所热钱包或已知托管方。
3. 查找 2012 年 12 月转出交易的**找零地址**，看是否与当前主地址存在地址复用关系。
4. 核对钱包文件名 `wallet_28,33` 中的 `28,33` 是否对应某个业务编号或金额（如 28.33 BTC），可能是命名线索。
5. 检索同一数据集 `MEGA-BONUS` 下其他钱包文件，看是否存在相同密码策略的兄弟钱包（仅作关联分析，不涉及攻击）。
6. 补充该地址在 2012-2013 年间的**完整交易列表**（含金额），重建历史资金流向。
7. 确认该钱包是否曾导入过其他设备或客户端，查找日志中的“导入时间戳”与IP记录。
8. 若存在托管方或平台关联，尝试通过**合规渠道**联系原始平台核实身份材料。

### 7. 已尝试方向回顾（避免重复投入）
- **密码强证据核验**：已确认 `cracked_password` 字段为否，说明此前没有成功拿到明文密码，无需再重复检查该字段。
- **余额归类判断**：已排除“余额为0”的业务标注，不再按空钱包流程处理。
- **交易方向统计**：已基于 `direction` 字段完成转入/转出笔数与时间统计，无需重新拉取同一摘要。
- **文件基础信息**：文件格式、大小、路径均已记录在案，不需要重复采集。
- **近期活跃度检查**：近30天交易为 0，已确认当前无新动作，后续可降低高频监控频率，改为事件驱动触发。