BTC 钱包风险检测与恢复评估 #1502

### 1. 一句话结论
这是一枚创建于2016年、包含约3.138 BTC的比特币Legacy格式钱包文件（BDB），目前**尚未获得明文密码**，且其链上活动已静止多年，下一步的关键在于寻找与文件名“7я сотня 92”相关的历史备注或备份线索，而非继续盲目测试。

### 2. 我们掌握的事实（证据链）
- **钱包基础信息**：钱包ID 1502，币种BTC，主地址 `1M2HQd9uVJooXNex67NMGdEUvecgkYTrkr`，版本格式 `bitcoin_legacy_bdb`。
- **文件与路径**：文件名为 `7я сотня 92 / 3.13799265.dat`，大小 73728 字节，存放于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_!!таблица_7я сотня 92_3.13799265.dat-0423e6a72f42/` 目录下。
- **余额状态**：当前余额 3.13811052 BTC；业务标注“余额很小(≤阈值)”为**否**，即不适用小额放弃规则。
- **密码状态**：字段 `cracked_password/actual_password` 明确为**否**，即目前没有强证据表明已获得明文密码。
- **链上统计（依据 direction 字段）**：转出(send)30笔，转入(receive)28笔；最后转出时间 2016-08-31 20:28:02，最后转入时间 2016-08-31 04:56:17；交易时间跨度264天；近30天转入/转出均为0。
- **时间戳**：录入时间 2026-06-23，数据标注日期 2026-06-23，最近更新 2026-09-07。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包是在2026年6月23日被纳入审查流程的。当时系统根据文件路径中的“MEGA-BONUS”和俄语表头“таблица”（意为表格），判断它可能来自某次历史活动或奖励发放清单。文件本身是Bitcoin Core早期的BDB格式，说明它诞生于2016年前后，属于“老钱包”。

我们首先核对了链上数据，发现它的最后一笔交易停留在2016年8月31日，之后整整近十年没有任何动静——这符合“沉睡钱包”的特征。接着我们检查了业务标注，确认余额3.138 BTC并不在“忽略小额”的阈值内，因此值得继续投入精力。

在密码验证环节，我们目前的状态是：**尚未拿到明文密码**。所有关于“是否已破解”的猜测都缺乏事实依据，因为系统内没有记录任何 `actual_password` 字段的肯定值。我们只能确认文件结构完整、路径清晰，但离打开它还有关键一步。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共28笔，最后一笔发生在 2016-08-31 04:56:17。说明该地址在2015年底至2016年8月间持续接收资金，可能为当时的归集或充值。
- **转出（send）**：共30笔，最后一笔发生在 2016-08-31 20:28:02。转出笔数略多于转入，且最后一天内先转入后转出，疑似当时进行了余额整理或提现操作。
- **近期动态**：近30天转入/转出均为0，与链上静止状态吻合。
- **未知项**：我们**没有**每笔交易的金额明细和对手地址，因此无法判断当时是“正常消费”还是“批量归集”，这部分需要补充交易流水文件。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 3.13811052 BTC，业务标注“余额很小(≤阈值)”为**否**。这意味着它**不适用**“余额为0/极小即放弃”的规则，业务上仍值得继续跟进。
- **明文密码状态**：字段 `cracked_password/actual_password` 为**否**。因此，我们**尚未获得明文密码**，也没有任何“验证成功”的记录。所有关于“已打开钱包”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **文件名语义线索**：重点排查“7я сотня 92”和“MEGA-BONUS”在业务档案、活动名单或旧表格中对应的具体批次，这可能是密码提示或备注。
2. **2016年8月31日前后日志**：调取该地址最后交易日的IP登录日志或设备指纹，确认当时操作者身份。
3. **同批次钱包关联**：检索路径中 `review/MEGA-BONUS_!!таблица_` 前缀下是否有其他钱包文件，尝试横向对比文件名规律。
4. **历史备份检索**：在归档存储中搜索文件名 `3.13799265.dat` 或钱包ID 1502 的早期备份，旧备份可能未加密或使用弱密码。
5. **交易对手信息**：获取该地址28笔转入和30笔转出的对手地址及备注（如涉及交易所），通过业务往来反推钱包归属。
6. **文件元数据**：检查 `.dat` 文件的创建时间、修改时间及所在目录的打包时间，确认是否有与密码设置相关的操作痕迹。
7. **业务系统备注**：在录入系统（录入时间2026-06-23）中查找该钱包ID 1502 的原始提交人及备注字段。
8. **合规渠道联系**：若路径中 `fake.czb.com` 属于测试环境，需确认是否有对应的生产环境钱包或测试密码记录表。

### 7. 已尝试方向回顾（避免重复投入）
- **链上活跃度分析**：已确认钱包自2016年后无交易，排除“近期仍在使用的热钱包”可能，无需再监控新交易。
- **小额放弃判定**：已核对业务标注，确认不满足“余额很小”的放弃条件，后续无需再纠结是否止损。
- **密码强证据核查**：已检查 `cracked_password/actual_password` 字段，确认无现成密码可用，**不应再假设“可能已破解”而跳过基础流程**。
- **基础格式识别**：已确认是 `bitcoin_legacy_bdb` 格式，排除了现代描述符钱包或HD钱包的干扰，无需在格式猜测上浪费时间。