BTC 钱包风险检测与恢复评估 #980

### 1. 一句话结论
这是一枚创建于2013年、当前余额约28.33 BTC的比特币Legacy格式钱包（ID: 980），链上活动在2013年1月最后一次转出后长期沉寂，直到2026年5月出现一笔转入；目前**尚未获得明文密码**，破解工作仍在进行中。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：BTC地址 `1JkkeWgk21bcsgE5CrYN4mFrbkRYhxZxib`，文件名为 `wallet_28,32.dat`，格式为 `bitcoin_legacy_bdb`，大小 90,112 字节。
- **余额状态**：当前余额 **28.32845894 BTC**，业务标注“余额很小”为**否**（即不适用小额放弃逻辑）。
- **密码状态**：字段 `cracked_password/actual_password` 明确为**否**，即**未拿到明文密码**。
- **录入与更新**：录入时间 2026-06-23 00:37:21，数据标注时间 2026-06-23 00:57:21，最近更新 2026-08-06 07:42:30。
- **链上统计**：转出 1 笔、转入 14 笔；最后转出 2013-01-20，最后转入 2026-05-23；近 30 天转入/转出均为 0；交易跨度 4,874 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包在 2026 年 6 月 23 日被录入系统，当时我们拿到的是一个约 90KB 的 Legacy BDB 格式数据文件，命名里直接写着“28,32BTC”，与链上余额高度吻合，说明文件来源标注基本可信。

从链上时间线看，这枚钱包在 2013 年 1 月 20 日完成最后一笔转出后，就再也没有主动支出过，转入记录则一直延续到 2026 年 5 月 23 日——也就是说，它是一枚“沉睡多年、近期又有入账”的钱包。这种模式通常意味着：要么是持有人重新启用了旧钱包，要么是某个历史地址被再次使用。

我们随后比对了文件格式与版本，确认是 `bitcoin_legacy_bdb`，这类钱包的密钥派生方式较老，结构相对简单。但截至目前，密码验证环节仍未通过——字段里没有出现任何“已知密码”的强证据，说明我们还没有拿到可用的明文口令。整个推进过程目前停留在“已确认资产规模、已确认文件格式、已梳理链上行为”的阶段，尚未突破口令层。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 1 笔，最后一笔发生在 **2013-01-20 01:48:34**。此后无任何转出记录。
- **转入（receive）**：共 14 笔，最后一笔发生在 **2026-05-23 06:00:03**。
- **近 30 天活动**：转入 0 笔、转出 0 笔，即近期无主动操作。
- **解读**：该地址在 2013 年完成一次支出后进入长期休眠，2026 年 5 月出现一笔新的转入，但转入后并未伴随转出，资金仍停留在地址内。交易跨度 4,874 天，属于典型的长周期持有/休眠地址。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：当前标注为**否**，即该钱包余额 28.33 BTC 并不属于“小额可放弃”范畴，业务上仍值得继续投入。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 未给出任何已知密码，因此我们**尚未获得明文密码**，所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 调取该地址在 2013 年创建初期的完整链上交易明细，确认首笔转入来源交易所或矿池，辅助推断口令习惯。
2. 查找 2026-05-23 那笔转入的对手方地址与备注信息，确认是否由持有人主动转入。
3. 检索文件名中“MEGA-BONUS”是否对应某个历史活动/平台，可能是口令提示词。
4. 核对钱包文件路径中 `fake.czb.com` 是否为测试环境标记，排除数据伪造可能。
5. 补充该钱包在 2013 年前后是否关联其他地址（同一文件内多地址情况）。
6. 调取录入时的原始来源说明或交接备注，确认文件获取渠道。
7. 检查是否存在旧版备份文件或同批次其他钱包文件，便于交叉比对。
8. 若允许，向持有人关联邮箱/账号发起合规提醒，争取主动配合。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再对文件类型做重复猜测。
- **链上行为梳理**：已完成转入/转出笔数与时间统计，确认休眠与近期入账特征，无需重复扫描。
- **余额业务判断**：已确认不属于“小额放弃”范畴，后续不应以余额小为由终止。
- **密码验证**：当前仍处于“未拿到明文密码”状态，尚未出现任何已知密码字段，因此不应假设已成功，也不应基于“可能已破解”的前提做后续安排。