BTC 钱包风险检测与恢复评估 #1570

### 1. 一句话结论
这是一枚长期休眠的 Legacy 格式 BTC 钱包（ID 1570），最近一次链上活动停留在 2022 年 2 月的转出，目前**尚未获得明文密码**，且业务标注显示余额并不小，因此仍有继续取证的价值。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `1LxgY7HLNJxeQuRkNt834f2DWqMFXr2KNP`，格式为 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包）。
- **文件信息**：名称 `6я сотня 120 / 27wallet.dat`，大小 98304 字节，路径指向 `MEGA-BONUS_!!таблица_6я сотня 120_27wallet.dat-0232d88786ba/27wallet.dat`，暗示其可能来自某个批量整理或“奖励表”类数据集。
- **时间线**：录入于 2026-06-23 00:53:46，数据标注日期为同一分钟（00:58:01），最后更新于 2026-09-09 14:31:18。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**，即目前没有强证据表明已拿到明文密码。
- **余额标注**：业务侧标注“余额很小(≤阈值)”为 **否**，即该钱包按业务口径**不视为小额空包**，值得继续投入。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最初在 2026 年 6 月 23 日被纳入取证清单，当时它随一批名为“MEGA-BONUS”的表格文件一起出现，文件名带有俄语“6я сотня 120”（意为“第6个百，120号”），看起来像某种编号索引下的批量钱包。

我们首先确认了它的格式是 `bitcoin_legacy_bdb`，这是一种较早期的比特币钱包存储结构，文件体积仅 98KB，符合老式轻量钱包的特征。随后我们核对了链上交易摘要，发现它的活跃期集中在 2014 年（转入）到 2022 年（最后一笔转出），跨度长达 2894 天，之后便再无动静。

在尝试恢复访问的过程中，我们始终没有拿到“已知密码存在”的强证据。也就是说，目前所有测试都停留在“未验证成功”阶段。但业务侧给出的余额标注为“非小额”，这让我们判断：该地址在最后一次转出后可能仍保留有未被清空的资金，因此没有轻易将其归档为“空钱包”。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 3 笔，最后一笔发生在 **2014-03-15 15:20:00**。近 30 天转入笔数为 0。
- **转出（send）**：共 2 笔，最后一笔发生在 **2022-02-13 04:56:16**。近 30 天转出笔数为 0。
- **解读**：该钱包呈现典型的“早年积累、后期一次性或少量清空”特征。2014 年完成最后一笔收入后，沉寂近 8 年，直到 2022 年 2 月出现两笔转出，此后彻底休眠。当前余额是否为零，**不能仅凭交易笔数判断**，需结合 UTXO 明细或节点查询确认。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：标注为“余额很小(≤阈值) = 否”，即业务方认为该钱包**不满足“小额放弃”标准**，可能仍有余额。
- **明文密码状态**：`cracked_password/actual_password = 否`，即**尚未获得明文密码**，所有恢复尝试均未产生可验证的密码结果。
- **重要区分**：即使未来业务侧发现余额为 0，也不代表密码已被破解；反之，即使密码被验证成功，也需要单独确认地址内是否还有可动用的 UTXO。目前两项均未达成。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **UTXO 明细**：拉取主地址当前未花费输出，确认是否真的还有余额（这是决定是否继续投入的第一依据）。
2. **原始数据集上下文**：寻找 `MEGA-BONUS_!!таблица_6я сотня 120` 同批文件中的说明文档或索引表，可能包含密码提示或生成规则。
3. **文件名语义分析**：俄语“6я сотня 120”与“27wallet.dat”的编号关系，推测是否为批量生成时的序号，进而寻找相邻编号钱包是否已被成功打开。
4. **2014 年转入来源**：调取 3 笔转入交易的对手地址，判断资金来自交易所、矿池还是个人钱包，有助于推测持有者身份。
5. **2022 年转出去向**：分析 2 笔转出的目标地址，确认是否为同一控制人（自我归集）或外部支付，判断钱包是否已被主动弃用。
6. **钱包文件元数据**：检查 `27wallet.dat` 的修改时间与内部密钥时间戳，判断钱包创建与最后使用的大致时间窗口。
7. **同批次钱包比对**：若数据集内存在多个 `wallet.dat`，对比它们的文件大小与结构，寻找是否有“默认密码”或“弱密码”共性的非攻击性线索。
8. **业务侧补充标注**：向录入方确认“余额很小=否”的具体依据（是节点查询还是估算），避免后续误判。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证尝试**：已对现有候选材料进行过一轮验证，但未产生“已知密码存在=是”的结果，因此**不应再重复相同范围的猜测**。
- **格式确认**：已确认是 `bitcoin_legacy_bdb`，排除了因格式误判导致的无效尝试。
- **链上活跃度排查**：已确认近 30 天无任何转入转出，排除了“钱包仍在被使用”的可能，因此无需监控实时交易。
- **小额放弃判断**：业务侧已明确标注“非小额”，因此**不应按空钱包流程提前关闭工单**，需等待 UTXO 数据后再做最终归档。