BTC 钱包风险检测与恢复评估 #956

### 1. 一句话结论
这是一枚创建于2012年、余额为 **3.08715076 BTC** 的比特币 Legacy 格式钱包（钱包ID 956），目前**尚未获得明文密码**，链上活动全部集中在 2012-12-14 当天，此后十余年再无动静。

### 2. 我们掌握的事实（证据链）
- **钱包基础信息**：币种 BTC，主地址 `1HHrFPUjkcbUrZSjUs8cBuhgxMRZCmy16v`，版本/格式为 `bitcoin_legacy_bdb`。
- **文件线索**：钱包文件名为 `wallet_3,08BTC / wallet_3,08.dat`，大小 73,728 字节，路径中带有 `MEGA-BONUS` 与 `fake.czb.com` 标识，录入时间为 2026-06-23。
- **余额状态**：当前余额 **3.08715076 BTC**，业务标注“余额很小”为**否**（即不适用小额放弃策略）。
- **密码状态**：字段 `cracked_password/actual_password` 明确为**否**，即**没有**强证据表明已拿到明文密码。
- **链上交易**（依据 `wallet_transactions.direction`）：
- 转出（send）笔数：**2**
- 转入（receive）笔数：**3**
- 最后转出与最后转入时间均为 **2012-12-14 23:56:03**
- 交易时间跨度：**0 天**（全部发生在同一天）
- 近30天转出/转入笔数均为 **0**

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 2026 年 6 月 23 日被纳入取证数据集。从文件名 `wallet_3,08BTC` 可以看出，钱包创建者当时用余额做了命名标记——这通常意味着文件导出时余额约为 3.08 BTC，与当前链上余额 3.08715076 BTC 高度吻合，说明该文件很可能就是这笔资金对应的原始钱包数据。

我们随后核对了链上交易摘要，发现所有活动都压缩在 **2012 年 12 月 14 日**这一天：先有 3 笔转入，再有 2 笔转出，最终沉淀下当前余额。此后从 2012 年到数据录入的 2026 年，**没有任何新的转入或转出记录**，说明这是一枚被长期遗忘或主动弃用的钱包。

在密码验证环节，我们检查了已知密码字段，结论为“否”——即目前**没有**任何已确认的明文密码或助记词可用于解锁该钱包文件。文件格式为 `bitcoin_legacy_bdb`，属于早期 Bitcoin Core 使用的 Berkeley DB 钱包格式，这类文件本身结构老旧，处理时需要格外谨慎，但截至目前尚未突破密码屏障。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **3 笔**，全部发生在 2012-12-14，最后转入时间为当天 23:56:03。近 30 天转入 **0** 笔。
- **转出（send）**：共 **2 笔**，同样发生在 2012-12-14，最后转出时间与最后转入时间相同（23:56:03）。近 30 天转出 **0** 笔。
- **交易时间跨度**：**0 天**，即所有链上活动集中在同一天内完成，之后无任何动静。
- **说明**：基于现有字段，我们只能确认“当天有资金进有资金出”，但**无法判断**转出是“找零归集”“部分提现”还是“转给他人”——这些需要补充交易对手地址与金额明细才能进一步解读。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为**否**，即当前余额 3.08715076 BTC **不适用**“余额过小、放弃处理”的业务规则。换句话说，这枚钱包在业务上仍具有继续投入取证的价值。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 未标记为“是”，因此我们**尚未获得**任何可用的明文密码、助记词或私钥。所有关于“已破解”的说法均不成立，目前仍处于密码未知状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充 2012-12-14 当天 3 笔转入与 2 笔转出的完整交易明细**（对方地址、金额、手续费），用于还原资金流向。
2. **查找钱包文件路径中 `MEGA-BONUS` 与 `fake.czb.com` 的上下文来源**，确认该数据集是否来自某个历史演练或备份归档。
3. **核对钱包文件创建时间与系统元数据**（如文件 inode 时间），判断文件是否在 2012 年后被复制或修改过。
4. **调取该主地址在 2012 年前后的关联地址簇**，看是否存在同一把私钥派生出的其他地址。
5. **检索数据集内是否有同批次导入的其他钱包文件**，比对文件名命名规律（如 `wallet_3,08BTC`），寻找可能的批量备份习惯。
6. **补充钱包文件的校验和（哈希值）**，确认文件在传输与存储过程中未被篡改。
7. **查找 2012 年 12 月 14 日前后该地址相关的网络公开讨论或交易备注**（如有），辅助判断资金性质。
8. **确认该钱包是否曾关联任何交易所充值地址或矿池付款地址**，以推断资金来源类型。

### 7. 已尝试方向回顾（避免重复投入）
- **密码字段核查**：已确认 `cracked_password/actual_password` 为“否”，说明基于现有已知密码库的直接匹配未成功，无需重复检索同一密码集合。
- **链上活跃度判断**：已确认近 30 天与历史长周期内均无新增交易，排除“钱包仍在被使用”的可能，不必再反复同步链上最新状态。
- **余额业务评估**：已确认余额 3.08715076 BTC 不属于“小额放弃”范畴，后续不应以“余额太小”为由提前终止流程。
- **文件格式识别**：已确认为 `bitcoin_legacy_bdb`，后续处理应围绕该格式特性展开，避免走与 SegWit 或 Descriptor 钱包相同的无效路径。