BTC 钱包风险检测与恢复评估 #1042

### 1. 一句话结论
这是一枚创建于2015年、最后活跃于2025年3月的比特币Legacy格式钱包（ID 1042），目前我们**尚未获得其明文密码**，且业务侧也**未将其标记为“余额很小/低价值”**，因此它仍是一个需要继续推进取证的目标。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `179ubgmB4sTRQSutRMovStFoAHxfoVnDK5`，文件名为同名 `.dat`，格式为 `bitcoin_legacy_bdb`（老版Bitcoin Core数据库格式）。
- **文件信息**：文件大小约 5.18 MB，路径位于 `fake.czb.com/BTC/review/MEGA-BONUS_...` 目录下，录入时间为 2026-06-23，最近一次更新为 2026-08-06。
- **密码状态（强证据字段）**：`cracked_password/actual_password = 否`，即目前没有任何“已知明文密码”被确认。
- **业务标注**：`余额很小(≤阈值) = 否`，说明业务方并未因余额低而放弃该钱包。
- **链上交易统计（来自 `wallet_transactions.direction`）**：
- 转入 47 笔，最后转入时间 **2015-09-01**；
- 转出 3 笔，最后转出时间 **2025-03-03**；
- 近30天转入/转出均为 0；
- 交易时间跨度 4529 天（约 12.4 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 6 月 23 日被纳入 review 清单的，当时它被放在一个名为“MEGA-BONUS”的批次目录里，暗示它可能来自某个历史活动或批量导入的旧钱包集。我们首先确认了它的“身份”——一个 Legacy BDB 格式的 Bitcoin Core 钱包文件，这类格式常见于 2015 年前后创建的钱包。

随后我们拉取了链上交易摘要，发现一个非常有意思的时间分布：**它在 2015 年 9 月前密集收到 47 笔转入，之后几乎沉寂，直到 2025 年 3 月突然出现 3 笔转出**。这说明该地址在 2015 年可能是一个收款地址（比如矿池、水龙头或交易平台充值地址），而在 2025 年被人重新启用并转出了部分资金。

我们同步检查了业务标注：该钱包**并未被标记为“余额很小”**，这意味着即便经历了 2025 年的转出，其剩余价值仍值得继续投入精力。但截至目前，在密码验证层面，我们**没有拿到任何明文密码或助记词**，所有尝试都停留在“未确认”状态。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 47 笔，全部集中在 2015 年（最后转入 2015-09-01）。这 47 笔的具体金额、对手方地址未在本数据集中提供，无法判断是外部付款还是找零回流。
- **转出（send）**：共 3 笔，最后一笔发生在 2025-03-03。这 3 笔转出的具体金额与去向未同步，无法确认是“清空余额”还是“部分提现”。
- **近30天活动**：转入 0 笔、转出 0 笔，说明当前处于静默状态。
- **未同步数据**：每笔交易的金额、手续费、对手地址、余额变化曲线均未提供，暂无法做净流入/流出判断。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注层面**：该钱包**未被标记为“余额很小/≤阈值”**，即业务方认为它仍有价值，不是那种“零钱钱包”或“废弃空包”。
- **密码获取层面**：强证据字段显示 `cracked_password = 否`，即**我们尚未获得明文密码**，也没有任何“密码已存在”的确认记录。所有关于“密码已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充该地址的完整交易明细**（每笔金额、时间、对手地址），用于判断 2025 年 3 月转出后是否仍留有余额。
2. **查找该钱包文件来源批次**（“MEGA-BONUS”目录）的关联元数据，确认是否为某次活动批量生成的钱包。
3. **调取 2015 年转入高峰期的对手方地址**，判断资金源头（如交易所热钱包、矿池付款等）。
4. **检查同一批次下其他钱包的密码状态**，若同批有已确认密码的钱包，可辅助推断本钱包的密码策略。
5. **获取该 `.dat` 文件的创建时间与最后修改时间**（文件系统元数据），辅助判断钱包是否在 2025 年被重新打开过。
6. **确认 2025 年 3 月转出交易的输入脚本类型**（是否为 P2PKH 标准花费），以验证钱包私钥是否仍由原持有者控制。
7. **补充业务侧“余额阈值”的具体数值**，以便评估剩余价值是否值得继续投入。
8. **查询该地址在 2025 年转出后的当前链上余额**（需外部区块链浏览器数据），这是判断“是否继续”的最直接依据。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了现代 SegWit 或描述符钱包的干扰。
- **链上活跃度分析**：已确认转入集中在 2015 年、转出在 2025 年，排除了“近期频繁使用”的假设。
- **业务价值初筛**：已确认业务方未将其标记为低价值，因此不需要走“放弃流程”。
- **密码验证**：已尝试过常规的密码验证流程，但结果均为“未确认/失败”，且没有触发任何“已知密码”命中记录。
- **尚未尝试**：未做交易对手方聚类分析、未拉取完整交易明细、未检查同批次钱包横向对比——这些是下一步的空白区，而非重复劳动。