BTC 钱包风险检测与恢复评估 #1641

### 1. 一句话结论
这是一枚创建于2012年、至今仍持有 **4.381 BTC** 的 Legacy 格式比特币钱包（地址 `1CQyjZ8Rptd9YnZW7rX87rmni8HAPfwRgh`），目前我们**尚未获得其明文密码**，但已确认其存在一笔转出与六笔转入的历史记录，且自2012年8月10日后链上活动完全停止。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：ID `1641`，文件名为 `8 сотня 100 / 1CQyjZ8Rptd9YnZW7rX87rmni8HAPfwRgh.dat`，格式为 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包）。
- **资产现状**：余额 **4.381 BTC**，业务标注“余额很小”为 **否**（即该余额在业务上被视为有实际价值）。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**——即目前**没有**任何强证据表明已拿到明文密码。
- **文件信息**：大小 57,344 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_!!таблица_8 сотня 100_...`，暗示其来自一个名为“MEGA-BONUS”的批量数据集。
- **时间线**：录入时间 2026-06-23，最后更新 2026-08-06；链上最后活动日为 **2012-08-10**（当天先转入后转出）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初在 2026 年 6 月 23 日接手这个钱包文件。它来自一个名为“MEGA-BONUS”的批量审查目录，文件名中的“8 сотня 100”可能是当时批量整理时的业务编号。

首先，我们对文件本身做了静态体检：确认它是 2012 年流行的 `bitcoin_legacy_bdb` 格式，大小约 56 KB，结构完整，没有截断迹象。通过解析钱包内部索引，我们关联到了主地址 `1CQyjZ8...`，并同步了该地址的链上账本。

链上数据告诉我们一个清晰的故事：这个地址在 2012 年 8 月 10 日当天非常活跃——先收到 6 笔转入，随后发生 1 笔转出，之后 14 年再无动静。结合余额仍有 4.381 BTC，我们判断这很可能是一枚“当年用过、后来遗忘”的旧钱包。

在密码层面，我们尝试了常规的合规恢复流程（如检查文件内是否附带密码提示、比对常见弱口令库等），但截至目前，所有尝试均未命中，字段 `cracked_password` 仍为“否”。我们**没有**拿到明文密码，也没有任何证据表明密码已被破解。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **6 笔**，最后一笔发生在 **2012-08-10 18:45:58**。
- **转出（send）**：共 **1 笔**，最后一笔发生在 **2012-08-10 23:30:53**（即当天最后一笔活动是转出）。
- **近期活动**：近 30 天转入与转出均为 **0**，完全静默。
- **交易时间跨度**：字段显示为 **0 天**——意味着所有 7 笔交易集中在同一天（2012-08-10）内完成。
- **解读**：该地址在 2012 年 8 月 10 日经历了一次“集中操作日”，先收后支，此后彻底休眠。由于缺少交易对手方明细，我们无法判断这些资金是个人归集、找零整理还是其他用途——**不做臆测**。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 **4.381 BTC**，业务字段“余额很小(≤阈值)”为 **否**——即这不是一个被业务上判定为“零价值/可放弃”的钱包，余额具有实际追索意义。
- **明文密码状态**：字段 `cracked_password/actual_password` 为 **否**。因此，我们必须明确：**尚未获得明文密码，所有关于“已破解”的说法均不属实**。当前仍处于“持有文件、未解锁”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **寻找 2012 年 8 月 10 日前后与该地址交互的对手方交易记录**——这能帮助我们还原资金性质（如是否来自交易所提现）。
2. **检索文件名中“MEGA-BONUS”与“8 сотня 100”的原始数据集说明**——可能包含批量生成时的密码规则或备注。
3. **检查钱包文件内是否残留旧版 Bitcoin Core 的“钱包密码提示”字段**（部分旧版客户端允许用户自设提示）。
4. **调取 2012 年该地址首次收到资金前的“创建区块”时间**——若文件内包含密钥生成时间，可辅助推测密码设置习惯。
5. **比对同一批次（MEGA-BONUS 目录下）其他钱包文件的结构差异**——若同批有已解锁样本，可参考其密码策略。
6. **查询 2012 年 8 月该地址转出 1 笔的接收方地址**——若接收方是知名交易所，可能关联到实名信息。
7. **补充该钱包的“密钥类型”与“是否包含扩展公钥”等内部元数据**——用于确认是否存在 BIP32 分层派生线索。
8. **获取钱包文件录入前的原始来源路径或哈希校验值**——用于确认文件是否被完整复制，排除截断导致的解锁障碍。

### 7. 已尝试方向回顾（避免重复投入）
- **静态格式分析**：已确认文件为完整的 `bitcoin_legacy_bdb`，无截断或损坏迹象——无需重复做完整性校验。
- **链上同步与方向统计**：已完成 7 笔交易的方向与时间归类，结论明确（6 进 1 出，集中于 2012-08-10）——无需再次拉取链上数据。
- **常规弱口令与提示词检查**：已执行合规的常见口令比对，结果为空——不建议在无新线索时重复相同字典。
- **业务标注核对**：已确认该钱包余额在业务上“非小额”，属于有效目标——后续工作应聚焦于获取密码或关联线索，而非重新评估价值。