BTC 钱包风险检测与恢复评估 #963

### 1. 一句话结论
这是一枚长期沉睡的 Legacy 格式 BTC 钱包（ID 963），余额约 0.00717 BTC，链上历史以转入为主（33 笔转入、0 笔转出），目前**尚未获得明文密码**，且业务侧已将其标记为“小额低优先级”钱包。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `1JqPFnGPhHhy54zJKmC1MPiczzgFjCmzE9`，文件名为同名 `.dat`，格式为 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包）。
- **资产规模**：当前余额 `0.00716759 BTC`，业务标注“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password/actual_password` 为“否”，即**没有强证据表明已拿到明文密码**。
- **文件信息**：大小 245,760 字节，路径位于 `fake.czb.com/BTC/review/` 下的 `MEGA-BONUS` 目录，录入时间 2026-06-23，最近更新 2026-08-06。
- **链上活动**：依据 `wallet_transactions.direction` 统计——转入 33 笔、转出 0 笔；最后转入时间 `2026-05-22 11:00:50`；近 30 天转入/转出均为 0；交易时间跨度长达 5902 天（约 16 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 2026 年 6 月 23 日进入我们的取证视野。当时它被归入一个名为 `MEGA-BONUS` 的 review 目录，文件是典型的 `bitcoin_legacy_bdb` 老格式——这类钱包通常诞生于比特币早期，结构简单但口令保护机制较老。

我们首先核对了它的“家底”：余额只有 0.007 枚出头，业务系统直接打了“小额”标签。接着我们拉取了链上交易摘要，发现一个非常干净的模式——**33 笔转入、0 笔转出**，最后动账停在 2026 年 5 月 22 日，且近 30 天完全静默。这说明它更像一个历史接收地址，而非活跃支出账户。

在口令层面，我们检查了证据字段：`cracked_password` 为否。这意味着到目前为止，我们**没有拿到任何可确认的明文口令**，所有关于“已破解”的说法都不成立。文件本身 245,760 字节，大小正常，没有异常截断或损坏迹象。

简单说：我们确认了“它是什么、有多少钱、动过哪些账”，但在“口令是否已破”这一关上，目前结论是**尚未成功**。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入**：共 33 笔，最后一笔发生在 `2026-05-22 11:00:50`。近 30 天转入 0 笔。
- **转出**：共 0 笔。近 30 天转出 0 笔。
- **最后转出时间**：未知（无任何转出记录）。
- **整体画像**：这是一个“只进不出”的地址，跨度约 16 年（5902 天），但近期已完全停止活动。资金沉淀特征明显。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：标注为“余额很小（≤阈值）”，这是**基于余额数值的业务分级**，与是否破解无关。它不代表“余额为 0”，而是“金额低、优先级低”。
- **明文密码状态**：`cracked_password/actual_password = 否`，即**尚未获得明文密码，仍在测试/未验证成功**。任何“已拿到密码”的说法均无事实依据。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充钱包来源上下文**：`MEGA-BONUS` 目录对应的活动/活动方信息，判断该地址是空投接收、历史挖矿还是某次活动的归集地址。
2. **拉取 33 笔转入的完整对手方数据**：分析转入来源地址特征，判断是否与已知交易所热钱包或早期矿池相关。
3. **核对录入时间与最后转入时间的关系**：2026-06-23 录入，但最后转入是 2026-05-22，中间 1 个月空窗，确认是否存在漏同步交易。
4. **获取该 `.dat` 文件的创建/修改时间元数据**：辅助推断钱包生成的大致年代，缩小口令猜测范围（仅作背景参考，不涉及攻击细节）。
5. **检查同目录下是否有其他关联钱包文件**：`MEGA-BONUS` 目录可能包含同批次的多个钱包，可横向对比。
6. **确认业务侧“小额阈值”的具体标准**：明确 0.007 BTC 是否值得继续投入取证资源。
7. **补充该地址在链上的首次转入时间**：当前只有跨度 5902 天，缺少起始日，影响年代判断。
8. **若存在历史备份或笔记**：查找是否有该钱包创建时的备注、口令提示或关联邮箱记录。

### 7. 已尝试方向回顾（避免重复投入）
- **基础信息核验**：已完成钱包格式识别（legacy BDB）、余额确认、文件完整性检查（大小正常）。
- **链上行为分析**：已确认转入/转出笔数与时间跨度，结论为“只进不出、近期静默”。
- **口令状态核查**：已确认 `cracked_password` 字段为否，**未进入“已破解”状态**，后续不应假设密码已知。
- **业务分级确认**：已确认该钱包被标记为“小额低优先级”，资源投入需与这一评级匹配。
- **未做且不建议重复**：在无新线索（如来源背景、关联文件）前，重复扫描同一 `.dat` 文件或反复测试同一批口令组合，边际收益极低。