BTC 钱包风险检测与恢复评估 #1566

### 1. 一句话结论
钱包 1566（BTC，legacy BDB 格式）已录入并长期跟踪，链上活动集中在 2017–2018 年，近 30 天无任何转入/转出；当前**尚未获得明文密码**（cracked_password/actual_password 均为否），也**不属于“余额很小”的业务标注**，因此后续重点应放在补充线索与合规取证，而非重复无效尝试。

### 2. 我们掌握的事实（证据链）
- 钱包 ID 1566，币种 BTC，格式 bitcoin_legacy_bdb，钱包名称含 “44wallet.dat”。
- 主地址：1LC8bMPtsZ8oxAvoFdCm4VYMg1HmeroShE。
- 已知密码存在（强证据 cracked_password/actual_password）：**否**。
- 余额很小（≤阈值，业务标注）：**否**。
- 录入时间 2026-06-23 00:53:41，更新时间 2026-09-13 03:20:31，数据标注日期 2026-06-23 00:58:01。
- 文件大小 524288 字节，路径位于 /www/czb-wallet-common/datasets/.../44wallet.dat。
- 链上摘要：转出 5 笔、转入 18 笔；最后转出 2018-05-29 00:26:29，最后转入 2017-04-02 13:02:51；近 30 天转出/转入均为 0；交易时间跨度 1868 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026-06-23 被录入系统，当时同步了基础元数据与链上摘要，并打上“数据标注日期”。从字段看，它并不是一个“余额很小”的业务标注对象，说明业务侧认为它仍有跟踪价值。随后到 2026-09-13 有一次更新时间，但更新并没有带来“已知密码存在”的强证据——cracked_password/actual_password 仍为否。也就是说，我们目前推进到的是：**钱包身份、格式、地址、交易轮廓都已确认，但明文密码尚未拿到**。链上部分显示它最后一次转出停在 2018-05-29，最后一次转入停在 2017-04-02，之后近 30 天没有任何新动静，说明它更像一个“历史活跃、当前静默”的 legacy 钱包，而不是近期仍在使用的热钱包。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- 转入（receive）：共 18 笔，最后转入时间 2017-04-02 13:02:51。
- 转出（send）：共 5 笔，最后转出时间 2018-05-29 00:26:29。
- 近 30 天：转出 0 笔、转入 0 笔。
- 交易时间跨度：1868 天。
- 除上述统计外，具体每笔金额、对手方、手续费、交易哈希等**未同步/未知**，不能推断交易方向或资金归属。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- 业务标注“余额很小”：**否**，即该钱包不属于“余额≤阈值”的轻量对象。
- 是否拿到明文密码：**否**。强证据字段 cracked_password/actual_password 均未给出“是”，因此只能写“尚未获得明文密码/仍在测试”，不能写“已破解/已验证成功”。
- 两者不能混为一谈：余额标注是业务分类，密码状态是取证结果；当前是“非小额标注 + 未拿到明文密码”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 补充该钱包的完整交易明细（哈希、金额、对手方），用于核对 18 笔转入与 5 笔转出的真实路径。
2. 补充钱包文件来源与流转记录（路径中 datasets 目录的采集背景、原始持有者信息）。
3. 补充同目录/同批次其他 wallet.dat 的关联信息，判断是否属于同一批数据集。
4. 补充该地址在 2018-05-29 之后的链上状态（是否仍有余额、是否被再次花费）。
5. 补充钱包版本/格式的兼容性说明（bitcoin_legacy_bdb 对应的客户端版本范围）。
6. 补充业务侧“非小额标注”的判定依据与阈值定义。
7. 补充录入与更新之间的操作日志（2026-06-23 至 2026-09-13 之间做了什么）。
8. 补充合规授权与取证范围说明，确保后续动作在规则内进行。

### 7. 已尝试方向回顾（避免重复投入）
- 已确认钱包身份、地址、格式与文件大小，无需重复做基础识别。
- 已同步链上摘要（转入 18、转出 5、最后时间点），无需重复拉取相同统计。
- 已确认 cracked_password/actual_password 为否，说明此前未获得明文密码；在没有新线索前，不应重复相同测试路径。
- 已确认“余额很小”标注为否，说明不能按小额钱包的轻量流程处理。
- 已确认近 30 天无转入/转出，说明当前无近期活动可追，重复监控短期窗口收益有限。