BTC 钱包风险检测与恢复评估 #1765

### 1. 一句话结论
钱包 1765（BTC，legacy BDB 格式）当前链上余额为 0，业务侧标注为“余额很小”，且**尚未获得明文密码**；从链上摘要看，该地址历史上曾有过转入与转出活动，但近 30 天无任何新交易，属于长期沉寂、余额已清空的老钱包样本。

### 2. 我们掌握的事实（证据链）
- 钱包 ID：1765；币种：BTC；格式：bitcoin_legacy_bdb。
- 主地址：1LHjrPBeEYQv1f219VQcQ71EBpwvp3hdD5。
- 余额：0.00000000 BTC。
- 已知密码存在（cracked_password/actual_password）：**否**。
- 业务标注：余额很小（≤阈值）——这是业务侧标签，不等于“已破解”。
- 钱包文件名含 “MEGA-BONUS / WALLET8.9BTC”，但文件名只是命名，**不能作为余额或破解状态的证据**。
- 文件大小：98304 字节；路径位于 review 数据集目录下。
- 录入时间：2026-06-23 00:58:10；更新时间：2026-08-11 12:00:39。
- 链上摘要：转出 5 笔，转入 18 笔；最后转出 2025-07-03 11:50:56；最后转入 2014-07-29 05:47:45；跨度 4122 天；近 30 天转入/转出均为 0。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早进入视野，是因为它在 2026-06-23 被录入到 review 数据集，路径和文件名都指向一个“MEGA-BONUS / WALLET8.9BTC”的 legacy BDB 文件。我们首先确认了它的主地址和格式，然后拉取了链上交易摘要：转入 18 笔、转出 5 笔，最后转入停在 2014-07-29，最后转出停在 2025-07-03。也就是说，这个地址在链上并不是完全空白，但当前余额已经是 0。随后我们检查了密码状态字段，cracked_password/actual_password 明确为“否”，说明到目前为止**没有拿到明文密码**。业务侧同时给它打了“余额很小”的标签，这进一步说明它不是一个高价值活跃钱包，而更像一个历史遗留、已被清空的样本。整个推进过程没有涉及任何密码还原或攻击细节，只是基于已有字段做事实核对。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- 转入（direction=receive）：共 18 笔，最后转入时间 2014-07-29 05:47:45。
- 转出（direction=send）：共 5 笔，最后转出时间 2025-07-03 11:50:56。
- 近 30 天：转入 0 笔，转出 0 笔。
- 交易时间跨度：4122 天。
- 当前余额 0，与“最后转出晚于最后转入”的摘要一致，说明资金在历史上已被转出；但具体每笔对手方、金额和方向细节，当前数据未提供，**未同步/未知**。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- 余额为 0：这是链上余额字段的事实，同时业务侧标注“余额很小（≤阈值）”。
- 是否拿到明文密码：**没有**。强证据字段 cracked_password/actual_password 为“否”，因此只能写“尚未获得明文密码/仍在测试”，不能写“已破解”或“验证成功”。
- 文件名里的 “8.9BTC” 只是命名，不能当作余额或破解成功的依据。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 补充该地址完整链上交易明细（每笔 txid、金额、对手方），用于核对 18 笔转入与 5 笔转出的具体路径。
2. 确认钱包文件是否还有配套的备份、导出记录或版本说明，以判断 BDB 格式的具体兼容性。
3. 核对 review 数据集中同批次钱包的标注规则，确认“余额很小”阈值定义。
4. 补充该钱包的创建时间或最早交易时间，用于判断其生命周期阶段。
5. 检查是否存在同地址在其他链或测试网的活动记录，避免单链视角遗漏。
6. 确认该文件是否来自 fake.czb.com 这类模拟/演练数据集，以判断其取证价值。
7. 补充密码测试日志（只记录“已测试/未测试”状态，不记录任何密码内容）。
8. 若后续要推进，优先做合规的元数据比对和格式识别，而不是重复密码尝试。

### 7. 已尝试方向回顾（避免重复投入）
- 已确认钱包格式为 bitcoin_legacy_bdb，文件大小 98304 字节。
- 已核对主地址、余额、录入/更新时间等基础字段。
- 已拉取链上摘要：转入 18 笔、转出 5 笔，最后活动时间明确。
- 已确认密码状态字段为“否”，即尚未获得明文密码。
- 已确认业务标注为“余额很小”，不应将其误读为“已破解”或“高价值”。
- 后续应避免重复做无数据支撑的密码猜测，优先补充交易明细和数据集背景。