BTC 钱包风险检测与恢复评估 #1278

### 1. 一句话结论
钱包 1278（BTC，bitcoin_legacy_bdb）目前余额仅 0.00002735 BTC，被业务标注为“余额很小”；链上仅有 5 笔转入、0 笔转出；已知密码存在字段为“否”，因此尚未获得明文密码，仍处于测试/未验证状态。

### 2. 我们掌握的事实（证据链）
- 钱包标识：钱包ID 1278，币种 BTC，钱包名称 wallet_50BTC-9 / wallet_50-9.dat。
- 格式与文件：bitcoin_legacy_bdb，文件大小 57344 字节，路径位于 /www/czb-wallet-common/datasets/fake.czb.com/BTC/real/... 下。
- 地址：主地址 1G8XDvaEutYgykpL6Kda5oA3ALsZKEbYrb。
- 余额：0.00002735 BTC，业务标注“余额很小(≤阈值)”为“是”。
- 密码状态：已知密码存在（cracked_password/actual_password）为“否”。
- 时间线：录入时间 2026-06-23 00:42:07，数据标注日期 2026-06-23 00:57:34，更新时间 2026-08-13 15:00:19。
- 交易统计（来自 wallet_transactions.direction）：转出 0 笔，转入 5 笔；近30天转出 0 笔，近30天转入 0 笔；最后转入时间 2026-05-23 00:14:54；最后转出时间未知；交易时间跨度 2080 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026-06-23 00:42:07 被录入，随后在 00:57:34 被打上数据标注，说明它一开始就被当作“余额很小”的样本处理。它的文件名带有“wallet_50BTC-9”“wallet_50-9.dat”等字样，路径又落在 fake.czb.com 的 real 目录下，提示它来自一批批量整理的钱包数据集，而不是单独立项的高价值目标。

从格式看，它是 bitcoin_legacy_bdb，属于较早期的 Bitcoin Core 钱包格式，文件大小 57344 字节，体量不大。链上侧，我们只看到 5 笔转入、0 笔转出，最后转入发生在 2026-05-23 00:14:54，交易时间跨度 2080 天，说明这个地址历史上被使用过，但当前余额几乎见底。

到 2026-08-13 15:00:19 的更新为止，密码字段仍然显示“已知密码存在：否”。这意味着我们并没有拿到可验证的明文密码，也没有证据表明密码已被成功还原。整个过程目前更像是一次“样本登记 + 链上核对 + 密码状态确认”的推进，而不是一次已完成的破解。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- 转入：共 5 笔（direction=receive），最后转入时间 2026-05-23 00:14:54；近30天转入 0 笔。
- 转出：共 0 笔（direction=send），最后转出时间未知；近30天转出 0 笔。
- 交易时间跨度：2080 天。
- 结论：该地址历史上只有转入记录，没有转出记录；当前余额 0.00002735 BTC 与“余额很小”的业务标注一致。由于没有更多交易明细，无法判断这些转入的具体来源与用途。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
“余额很小”是业务侧基于余额阈值给出的标注，不等于“余额为 0”，也不等于“没有价值”。当前余额为 0.00002735 BTC，确实很小，但仍是可观测的链上余额。

密码方面，已知密码存在（cracked_password/actual_password）字段为“否”，因此只能写：尚未获得明文密码，仍在测试/未验证状态。不能因为文件名带“50BTC”就推断密码已破解或钱包曾持有 50 BTC；这些只是文件名信息，不是密码状态证据。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 补充该钱包的完整交易明细（每笔转入的 txid、时间、金额、来源地址），用于核对 5 笔转入与当前余额的关系。
2. 确认“最后转出时间未知”是数据缺失还是确实无转出，避免把“未知”误读为“从未转出”。
3. 补充钱包文件的元数据（创建时间、版本号、是否加密、KDF 参数等非敏感字段）。
4. 核对该钱包在数据集中的原始来源与批次说明，确认“wallet_50BTC-9”命名含义。
5. 补充同批次其他钱包的密码状态分布，判断该样本是否属于“未破解”群体。
6. 确认业务阈值定义，明确“余额很小”的具体判定标准。
7. 补充地址 1G8XDvaEutYgykpL6Kda5oA3ALsZKEbYrb 的链上标签或归属信息（如有）。
8. 若后续获得密码验证结果，需记录验证时间与来源字段，避免与“已知密码存在=否”混淆。

### 7. 已尝试方向回顾（避免重复投入）
- 已确认钱包格式为 bitcoin_legacy_bdb，文件大小 57344 字节，属于早期 Core 钱包样本。
- 已核对链上方向统计：转入 5 笔、转出 0 笔，近30天均无活动。
- 已确认密码字段为“否”，即尚未拿到明文密码，不应重复把“文件名含 50BTC”当作破解成功的证据。
- 已确认余额为 0.00002735 BTC，业务标注“余额很小”，无需重复争论“是否为零余额”。
- 后续应避免在缺乏新证据的情况下反复推测密码是否已破解，或臆断交易方向。