BTC 钱包风险检测与恢复评估 #1265

### 1. 一句话结论
这是一只比特币 legacy BDB 钱包（wallet_1434.dat），链上显示长期有转入活动、余额不为零，但“是否已拿到明文密码”的强证据字段为“否”，因此当前只能确认钱包文件与地址事实，不能宣称已破解或已控制资产。

### 2. 我们掌握的事实（证据链）
- 钱包ID 1265，币种 BTC，余额 1436.96256325，业务标注“余额很小=否”。
- 已知密码存在（cracked_password/actual_password）字段：否，即尚无强证据表明已获得明文密码。
- 主地址：1Cds5ZZwQw8TLCM4jR7iJLeqLX8Q1pKsXh。
- 钱包版本/格式：bitcoin_legacy_bdb；钱包名称 wallet_1434BTC / wallet_1434.dat。
- 钱包路径位于 /www/czb-wallet-common/datasets/fake.czb.com/BTC/real/... 下，文件大小 454656 字节。
- 录入时间 2026-06-23 00:41:54，更新时间 2026-08-12 20:20:11，数据标注日期 2026-06-23 00:57:34。
- 链上摘要：转出 8 笔，转入 47 笔；最后转出 2011-03-17 00:58:22，最后转入 2026-05-22 10:38:22；近30天转出 0 笔、转入 0 笔；交易跨度 5589 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这只钱包最早进入视野，是因为它被录入到钱包数据集中：录入时间为 2026-06-23，随后在 2026-08-12 有过一次更新。我们首先确认了它的身份信息——BTC、legacy BDB 格式、主地址 1Cds5ZZwQw8TLCM4jR7iJLeqLX8Q1pKsXh，以及对应的 wallet_1434.dat 文件。接着，我们把链上交易摘要与钱包文件放在一起看：转入 47 笔、转出 8 笔，最后转入发生在 2026-05-22，最后转出却要追溯到 2011-03-17。也就是说，这个地址在很长时间里仍有资金流入，但近期没有新的转出或转入动作。围绕“是否已拿到明文密码”，我们反复核对了 cracked_password/actual_password 字段，结果始终为“否”，因此目前只能停留在“文件与地址已确认、密码状态未确认”的阶段，不能把余额存在等同于可支配。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- 转入：共 47 笔，最后转入时间 2026-05-22 10:38:22；近30天转入 0 笔。说明该地址历史上持续有收入，但最近一个月没有新增转入。
- 转出：共 8 笔，最后转出时间 2011-03-17 00:58:22；近30天转出 0 笔。说明支出活动集中在早期，近期没有转出记录。
- 交易时间跨度 5589 天，显示这是一个跨越很长时间的地址活动样本。
- 需要强调：以上方向完全依据 wallet_transactions.direction 的 receive/send 统计；没有给出的交易对手、金额明细、手续费等，均属“未同步/未知”，不做推断。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- 余额为0的业务标注：字段明确为“否”，即该钱包不被标记为“余额很小/余额为0”的那类业务对象，余额 1436.96256325 是记录在案的事实。
- 是否拿到明文密码：cracked_password/actual_password 为“否”，因此当前状态是“尚未获得明文密码/仍在测试”，不能写“已破解”“已验证成功”。
- 余额不为零只说明地址上有资产记录，不等于我们已经掌握私钥或密码；这两件事必须分开表述。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 补充该钱包的密码状态字段来源与更新时间，确认“否”是最终结论还是阶段性状态。
2. 补充 wallet_1434.dat 的完整元数据（创建时间、最后修改时间、BDB 版本细节）。
3. 补充主地址 1Cds5ZZwQw8TLCM4jR7iJLeqLX8Q1pKsXh 的完整链上交易明细，用于核对 47 笔转入与 8 笔转出的具体时间线。
4. 补充近30天为 0 的原因：是数据未同步，还是确实无新交易。
5. 补充该钱包在数据集中的业务标签来源，解释“余额很小=否”的判定依据。
6. 补充是否存在同源钱包文件或同批数据集中的关联样本，用于交叉验证格式与来源。
7. 补充录入时间与数据标注日期之间的差异原因（2026-06-23 00:41:54 与 00:57:34）。
8. 补充任何合规的取证日志，说明此前测试的范围与结论，避免重复投入。

### 7. 已尝试方向回顾（避免重复投入）
- 已核对钱包身份字段：币种、格式、地址、文件路径、文件大小，均已记录。
- 已核对密码强证据字段：cracked_password/actual_password 为“否”，因此不应再以“已破解”为前提推进。
- 已核对链上方向统计：转入 47、转出 8，近30天均为 0，最后转出在 2011 年、最后转入在 2026 年。
- 已确认余额业务标注为“否”，不能把“余额不为零”误当成“密码已掌握”。
- 后续应避免在没有新增字段或新证据的情况下，重复围绕同一批数据做无差别测试。