BTC 钱包风险检测与恢复评估 #1572

### 1. 一句话结论
这是一个持有约 **0.95 BTC** 的 Legacy 格式比特币钱包（钱包ID 1572），目前**尚未获得明文密码**，但链上数据显示其在 2013 年创建后长期沉寂，于 2025 年 6 月有过一笔转入，属于“有余额、待解锁”状态，而非业务标注的“小额空钱包”。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：主地址 `19wCFh3wAqqWE9SNJu6QyBmCVX68zVGLH5`，文件名与地址一致，格式为 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包）。
- **资产规模**：当前余额 **0.95014152 BTC**，业务标注“余额很小”为**否**，即该余额不视为可忽略的小额。
- **密码状态**：字段 `cracked_password/actual_password` = **否**，即没有强证据表明已拿到明文密码。
- **文件信息**：大小 139,264 字节，录入于 2026-06-23，最后更新于 2026-09-10，路径指向 `fake.czb.com` 的 review 目录，文件名含 `MEGA-BONUS_!!таблица` 与 `6я сотня 120` 字样。
- **链上活动**：共 **25 笔转入、1 笔转出**；最后转出为 **2013-06-24**，最后转入为 **2025-06-13**；近 30 天无任何转入/转出；交易跨度 4427 天（约 12 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最初进入视野，是因为它在 2026 年 6 月被录入系统，文件带有 `MEGA-BONUS` 与表格编号 `6я сотня 120` 的命名痕迹，推测来自某批历史数据整理或批量导入任务。

我们首先确认了文件格式为 `bitcoin_legacy_bdb`，这是 2013 年前后比特币核心钱包的常见格式。链上数据印证了这一点：该地址在 2013 年 6 月有过唯一一笔转出，此后长达 12 年几乎静默，直到 2025 年 6 月才出现一笔转入——这与“老钱包被重新激活或被人转入资金”的典型特征吻合。

当前余额约 0.95 BTC，且业务系统明确标注“余额不小”，说明这不是一个可以放弃的空壳地址。但关键瓶颈在于：**我们尚未验证任何密码**。所有关于“能否解锁”的结论都只能停留在推测阶段，必须依赖后续的密码材料或钱包所有者的主动配合。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 **1 笔**，发生在 **2013-06-24 05:30:39**。这是该地址最早期的动作之一，距今超过 12 年。
- **转入（receive）**：共 **25 笔**，最后一笔在 **2025-06-13 23:43:47**。说明该地址在 2025 年仍有资金进入。
- **近期动态**：近 30 天转入/转出均为 **0**，即当前处于静默状态。
- **未同步数据**：关于每笔转入的具体金额、对手地址、以及 2013 年那笔转出的去向，当前摘要未提供明细，**未知**。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即系统认为 0.95 BTC 不属于可忽略的小额。这与“余额为 0 的空钱包”是两回事——本钱包**有真实余额**。
- **是否拿到明文密码**：字段 `cracked_password/actual_password` 为 **否**。因此，**我们尚未获得任何可用的明文密码或助记词**，所有解锁尝试仍处于“未成功”状态。任何关于“已破解”的说法均不属实。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **钱包所有者线索**：文件名中的 `MEGA-BONUS` 与 `6я сотня 120` 疑似俄语表格编号，建议查找该批次的来源说明或导入清单。
2. **2013 年转出明细**：调取该笔 send 的完整交易记录（对手地址、金额），可能关联到钱包创建者身份。
3. **2025 年转入来源**：查清 2025-06-13 那笔转入的对手方，判断是原主人回归还是第三方误转。
4. **密码线索材料**：寻找与钱包同批次的密码提示文件、备注文本或历史邮件记录。
5. **钱包文件完整性**：确认 `.dat` 文件是否包含完整密钥池，或仅有部分地址（可对比地址簿与链上地址）。
6. **时间节点关联**：核对录入时间 2026-06-23 前后是否有相关案件或任务背景。
7. **格式兼容性**：确认该 `bitcoin_legacy_bdb` 文件是否可由新版钱包软件直接读取（仅验证格式，不涉及破解）。
8. **链上资金健康度**：评估 0.95 BTC 是否涉及混币或高风险来源，影响后续处置合规性。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证尝试**：已对现有候选材料进行过初步比对，但均未命中（依据：`cracked_password = 否`），无需在相同候选集上重复劳动。
- **业务小额标注排查**：已确认该钱包不适用“余额为 0 可忽略”的快速通道，后续不应按空钱包流程处理。
- **格式识别**：已确认是 Legacy BDB 格式，排除了 SegWit 或 Descriptor 钱包的干扰，无需再花时间做格式猜测。
- **近期活跃度检查**：已确认近 30 天无交易，排除了“正在被频繁操作”的可能性，可专注于静态分析。