BTC 钱包风险检测与恢复评估 #1635

### 1. 一句话结论
这是一个名为“8 сотня 100”的比特币 Legacy 格式钱包（ID 1635），当前链上余额极低（0.00001802 BTC），业务系统已将其标注为“小额钱包”；截至目前，我们**尚未获得该钱包的明文密码**，所有关于“破解成功”的结论均不成立。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `1DGNFJ6i4wvTAafLNux67w598bKREF5LwY`，文件名与地址一致，格式为 `bitcoin_legacy_bdb`（即 Bitcoin Core 旧版 Berkeley DB 钱包）。
- **文件信息**：文件大小 73,728 字节，路径位于 `fake.czb.com/BTC/review/` 目录下，属于“复审（review）”批次，文件名含 `MEGA-BONUS_!!таблица` 前缀，疑似批量导入的表格数据。
- **余额状态**：链上余额 0.00001802 BTC，业务系统标注“余额很小（≤阈值）= 是”。
- **密码状态**：关键字段 `cracked_password/actual_password` 明确为 **“否”**，即不存在已知明文密码的强证据。
- **交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）12 笔，最后发生在 2024-11-22；
- 转入（receive）12 笔，最后发生在 2025-01-28；
- 近 30 天转入/转出均为 0 笔；
- 交易时间跨度 3,861 天（约 10.5 年）。
- **时间线**：钱包录入系统于 2026-06-23，数据标注同日；最后更新于 2026-08-06。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最初是在 2026 年 6 月 23 日进入我们视野的——它来自一批名为“MEGA-BONUS”的表格文件，文件名带着俄语“8 сотня 100”（意为“第8百个/100”），看起来像是某个批量整理任务中的编号。文件被存放在 `review` 复审目录，说明它并非首次处理，而是被挑出来做二次核查的。

我们首先确认了它的“身份”：一个标准的 Bitcoin Legacy 格式钱包文件，大小约 72 KB，属于早期 Bitcoin Core 客户端常用的 BDB 结构。接着我们核对了链上数据，发现这个地址并不“新”——它的交易记录横跨了约 10 年半，最近一次收钱是在 2025 年 1 月，最近一次花钱则是在 2024 年 11 月。也就是说，在进入我们系统之前，它已经“沉寂”了大约一年半。

真正关键的一步是核对密码状态：在现有数据中，**没有任何字段能证明我们已经拿到了这个钱包的明文密码**。业务系统把它标记为“小额钱包”，仅仅是因为余额低于某个业务阈值（0.00001802 BTC），这与“密码是否已破解”是两件完全独立的事——前者是金额判断，后者是技术结论。目前技术结论是：尚未成功。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 12 笔，最后一笔发生在 2025-01-28 15:26:42。近 30 天转入笔数为 0，说明该地址近期没有新的资金流入。
- **转出（send）**：共 12 笔，最后一笔发生在 2024-11-22 04:49:15。近 30 天转出笔数为 0，说明近期也没有资金流出。
- **整体特征**：转入与转出笔数恰好相等（各 12 笔），交易跨度长达 3,861 天，但近半年完全静默。从统计上看，这更像一个“历史交易已结束、余额近乎清零”的地址，而非活跃使用中的钱包。
- **未知项**：我们**没有**各笔交易的金额明细、对手地址、时间分布等更细粒度数据，因此无法判断历史交易是否存在“归集”“找零”等模式。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注“余额很小（≤阈值）= 是”，这是基于当前链上余额 0.00001802 BTC 做出的**金额判断**，仅用于业务分流（例如决定是否值得继续投入资源）。
- **密码状态**：字段 `cracked_password/actual_password = 否`，这是**强证据**，代表我们目前**没有**任何已确认的明文密码或助记词。所有关于“已破解”“已拿到密码”的说法均不属实。
- **重要提醒**：余额低 ≠ 密码已破。一个钱包即使余额为 0，也可能因为历史交易关联、地址复用等原因仍有取证价值；反之，余额高也不代表密码一定难破。两者必须分开看待。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充交易明细**：拉取该地址全部 24 笔交易的金额、时间、对手地址，判断是否存在“小额归集”或“找零地址”模式，这有助于理解钱包用途。
2. **核查文件名上下文**：调取 `MEGA-BONUS_!!таблица` 同批次其他钱包文件，看是否存在命名规律（如“8 сотня 100”是否为序号），可能指向批量生成或旧版表格导入。
3. **检查文件元数据**：对 `.dat` 文件本身做只读元数据检查（如创建时间、修改时间），判断其是否由特定版本 Bitcoin Core 生成，缩小密码设置习惯范围。
4. **寻找关联地址**：通过链上交易对手地址，查找是否有同一实体控制的其他钱包，可能共享相同密码习惯。
5. **补充录入来源信息**：查询该钱包是通过何种渠道录入系统（上传、同步、手工添加），以及录入时的原始备注。
6. **核对“review”批次原因**：调取系统内该钱包被标记为“复审”的原始工单或日志，确认是否有前序处理记录。
7. **补充历史处理报告**：查找是否有早期针对该钱包的尝试记录（如字典来源、规则思路），避免重复劳动。
8. **确认业务优先级**：鉴于余额极低且密码未破，建议与业务方确认该钱包是否仍值得继续投入，或可降级为“低优先级归档”。

### 7. 已尝试方向回顾（避免重复投入）
- **基础格式识别**：已确认钱包为 `bitcoin_legacy_bdb`，排除了 SegWit 或其他现代格式的可能，后续无需再重复做格式探测。
- **链上活跃度排查**：已确认近 30 天无任何转入/转出，且最后活动停留在 2025 年初，说明该地址已长期休眠，无需再实时监控其链上动态。
- **密码状态核验**：已确认不存在已知明文密码，任何声称“已破解”的结论均无依据，后续工作应聚焦于**补充线索**而非重复验证已有字段。
- **业务分流判断**：已确认余额低于阈值，系统已将其归为“小额钱包”，无需再次评估其金额优先级。