BTC 钱包风险检测与恢复评估 #1561

### 1. 一句话结论
这是一枚创建于2012年、至今仍持有约28.12 BTC的比特币Legacy格式钱包，目前我们**尚未获得其明文密码**，但已通过链上数据确认其存在活跃的转入记录，且最近一次转入发生在2026年5月，说明该钱包并非“沉睡”或“空余额”的废弃账户。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1561，币种BTC，主地址 `1ELCrM2FMXePtsGLRbcqAdhj61EUGmUtK9`，格式为 `bitcoin_legacy_bdb`。
- **余额状态**：当前余额 **28.12067444 BTC**，业务标注“余额很小”为**否**，即余额显著，非小额测试账户。
- **密码状态**：字段 `cracked_password/actual_password` 明确为**否**，即**无强证据表明已拿到明文密码**。
- **文件信息**：钱包文件名为 `28_1.dat`，大小 57,344 字节，路径位于 `fake.czb.com` 的 review 目录下，录入时间为2026-06-23，数据标注日期为2026-06-23。
- **链上活动**：共 **10笔转入、1笔转出**；最后转出时间为 **2012-10-30**，最后转入时间为 **2026-05-23**；近30天无任何转入/转出；交易时间跨度达 **4953天**（约13.5年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在2012年10月有过一次转出动作，之后便长期沉寂，直到2026年5月突然出现一笔转入。从时间线看，它像是一个“老地址被重新启用”的案例——可能是原主人找回，也可能是他人向该地址付款。

我们在2026年6月23日将该钱包文件纳入取证库，并开始分析其结构。文件格式为Legacy BDB，属于早期Bitcoin Core客户端常用格式。我们首先核对了链上交易摘要，确认了转入/转出笔数与时间戳，排除了“空钱包”或“测试地址”的可能。随后我们检查了密码状态字段，结论是**尚未有破解成功的记录**。目前我们处于“已定位目标、已确认资产、但未突破口令”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **10笔**，最后一笔发生在 **2026-05-23 06:00:03**。近30天转入笔数为0。
- **转出（send）**：共 **1笔**，发生在 **2012-10-30 11:22:16**。近30天转出笔数为0。
- **解读**：该地址在2012年转出过一次后，长期只进不出。2026年5月的转入说明该地址在近期仍被使用或有人向其付款。由于我们未同步具体每笔金额与对手地址，**无法判断转入来源是矿池、交易所还是个人**，这部分属于数据缺口。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 **28.12 BTC**，业务标注“余额很小”为**否**，即**不适用“余额为0/小额放弃”的规则**，必须继续跟进。
- **明文密码状态**：字段 `cracked_password/actual_password` 为**否**，即**我们尚未拿到明文密码或助记词**。所有关于“已破解”的说法均不成立，当前仍处于口令测试/取证阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取该钱包文件的来源上下文**：例如它是在哪台设备、哪个备份目录中被发现的，是否有配套的说明文档或表格（文件名中“6я сотня 120”疑似俄语编号，可能对应某批次清单）。
2. **调取2026-05-23转入那笔交易的完整详情**：包括对手地址、金额、输入脚本类型，以判断转入方身份。
3. **调取2012-10-30转出交易的接收地址**：这能揭示原主人当时的资金去向，可能关联到其他已知钱包。
4. **检查同一目录下其他 `.dat` 文件**：路径中 `MEGA-BONUS_!!таблица_6я сотня 120` 暗示可能存在同批次的多个钱包文件，可横向比对口令规律（仅作规律分析，不涉及攻击）。
5. **收集该钱包地址在公开论坛/交易备注中的历史留言**：早期比特币用户有时会在链上或论坛留下线索。
6. **核对钱包文件修改时间与系统日志**：确认文件是否在2026年6月被复制或访问过，以判断是否有人近期打开过它。
7. **补充该地址的完整交易列表（含金额与时间戳）**：目前仅有笔数统计，缺少逐笔金额，无法评估转入资金规模变化。
8. **确认“已知密码存在”字段的判定标准**：明确该字段为“否”是因为从未尝试，还是尝试过但失败，避免重复劳动。

### 7. 已尝试方向回顾（避免重复投入）
- **链上活动分析**：已完成转入/转出笔数与时间统计，确认地址活跃期与沉寂期，**无需重复统计**。
- **文件格式识别**：已确认是 `bitcoin_legacy_bdb`，属于老版本Bitcoin Core钱包格式，**无需重新鉴定**。
- **密码状态核查**：已确认当前无明文密码证据，**不应假设已破解**，后续工作应聚焦于合法取证或用户协作找回，而非重复测试。
- **余额判定**：已排除“小额放弃”场景，**不应以余额不足为由终止跟进**。