BTC 钱包风险检测与恢复评估 #1205

### 1. 一句话结论
这是一个创建于2011年、最后活动于2026年5月的BTC Legacy钱包（ID 1205），当前链上余额为0，且**尚未获得明文密码**；业务标注的“余额很小”与“是否破解成功”是两回事，目前证据仅指向“钱包文件已被找到并纳入分析”，而非“已解锁”。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：BTC，Legacy/BDB格式，文件`wallet_6.dat`，大小81920字节，路径指向`fake.czb.com`评审数据集，命名含“MEGA-BONUS”与“250_wallet”批量标记。
- **地址与时间**：主地址`189AfNrrK4a25SKtkwjdF2TZfXmnGt4PcZ`；录入2026-06-23，更新2026-08-06；数据标注日期比录入晚约17分钟。
- **余额状态**：当前链上余额`0.00000000` BTC，业务侧标记“余额很小（≤阈值）”。
- **密码状态**：字段`cracked_password/actual_password`为“否”，即**没有强证据表明已拿到明文密码**。
- **交易统计**（来自`wallet_transactions.direction`）：转入4笔，转出3笔；最后转出2026-05-24，最后转入2011-12-20；近30天无任何转入/转出；交易跨度5274天（约14.4年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统在批量评审目录中登记了这个名为“wallet_6BTC”的Legacy钱包文件。文件本身只有80KB，属于早期Bitcoin Core钱包的典型大小。我们首先确认了它的主地址与链上记录，发现它是一枚“高龄”钱包——最早一笔收入发生在2011年12月，而最后一笔支出发生在2026年5月，中间横跨了14年。

随后我们比对了链上摘要：转入4笔、转出3笔，且近30天完全静默。这说明该钱包在2026年5月之后就没有再被操作过。余额字段显示为0，业务系统据此打上了“余额很小”的标签，但这只是对资金规模的判断，并不等于我们解开了钱包。

关于密码，目前所有字段都指向同一个结论：**我们还没有拿到明文密码或助记词**。文件虽然被纳入了分析流程，但“文件在手”和“密码在手”是两件完全不同的事。我们目前处于“已定位目标、已了解链上历史、但尚未突破口令”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共4笔，最后一笔发生在**2011-12-20 08:04:38**。此后约14年没有再收到任何资金。
- **转出（send）**：共3笔，最后一笔发生在**2026-05-24 09:41:27**。这是该地址最后一次链上动作。
- **近30天活动**：转入0笔，转出0笔——钱包当前处于完全休眠状态。
- **资金去向/来源地址**：未同步，暂未知。若需判断资金最终流向，需补充`wallet_transactions`的对方地址与金额字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：这是基于链上余额`0.00000000` BTC的客观判断，仅说明该地址当前没有可动用的BTC，**不代表钱包已解锁**。
- **是否拿到明文密码**：**否**。字段`cracked_password/actual_password`明确为“否”，因此我们**尚未获得密码/助记词/私钥**，也没有任何验证成功的记录。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充该地址的完整交易明细**（对方地址、金额、交易哈希），用于还原2011年转入与2026年转出的资金链路。
2. **查找同批次“MEGA-BONUS”钱包文件**（如`wallet_1BTC`~`wallet_250BTC`），确认是否存在共用口令或批量生成规律（仅作关联分析，不涉及攻击）。
3. **获取钱包文件创建时间与最后修改时间**（文件系统元数据），辅助判断文件是否被复制或篡改过。
4. **确认该钱包是否曾关联已知邮箱/用户名**（如路径中`fake.czb.com`暗示测试环境，需核实是否为真实用户数据）。
5. **查找2011年12月前后的历史服务商记录**，判断该地址是否来自某次公开活动或水龙头分发。
6. **比对2026年5月转出时的网络手续费与交易备注**，可能包含操作者习惯线索。
7. **检查同目录下是否有`.txt`、`.csv`或说明文档**，常伴随批量钱包出现密码提示。
8. **若业务允许，调取录入人员对该文件的初始备注**（如有），可能包含人工判断信息。

### 7. 已尝试方向回顾（避免重复投入）
- **链上余额与活跃度核查**：已完成，确认余额为0、近30天无交易。
- **交易方向统计**：已完成，转入4笔/转出3笔，时间跨度已记录。
- **文件基础信息采集**：已完成，大小、格式、路径、命名规则均已入库。
- **密码状态核验**：已确认当前无任何“已知密码”强证据，后续无需重复检查该字段，而应转向补充外部线索（如批次文件、元数据、关联文档）。
- **未尝试方向**：尚未进行交易对手方分析、同批次文件横向比对、文件系统元数据提取——这些是下一步的优先补充项。