BTC 钱包风险检测与恢复评估 #972

### 1. 一句话结论
该钱包（ID: 972）是一枚BTC老地址，当前余额为 **3.02001000 BTC**，资产并非为零；但截至数据快照日，**尚未获得明文密码**，所有关于“已破解”的结论均不成立。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：BTC 地址 `1N41CdxSdAuKjt3n3QBTX6WGC5F3UXgzT9`，格式为 `bitcoin_legacy_bdb`，文件名为 `wallet_3,02.dat`，大小 57,344 字节。
- **余额状态**：当前余额 **3.02001000 BTC**，业务标注“余额很小”为 **否**（即余额并不小，不可按小额钱包处理）。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有强证据表明已拿到明文密码**。
- **录入与更新时间**：录入于 2026-06-23，最近更新于 2026-08-06，数据标注日期为 2026-06-23。
- **交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）：**1 笔**，最后一笔发生在 **2012-02-12**。
- 转入（receive）：**10 笔**，最后一笔发生在 **2024-03-01**。
- 近 30 天转入/转出均为 **0 笔**。
- 交易时间跨度约 **4435 天**（约 12 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026 年 6 月 23 日被纳入取证视野。当时我们看到的是一个典型的 Bitcoin Core 旧版文件（`bitcoin_legacy_bdb`），文件不大，但里面躺着一笔超过 3 枚 BTC 的资产——这让我们没有把它当作“空钱包”处理。

我们首先核对了链上交易摘要。数据显示，这个地址在 2012 年 2 月有过一次转出，之后长达 12 年里几乎只进不出，直到 2024 年 3 月还有一笔转入。这种“长期沉睡、偶尔收款”的形态，很像早期矿工或囤币者的钱包。

接着我们检查了密码状态字段。结论很明确：`cracked_password` 为“否”。这意味着我们手里并没有可用的明文口令，也没有任何可以“直接打开钱包”的凭据。所有关于“已经解开”的说法，在数据层面都不成立。

目前我们停留在“已确认资产存在、但入口未打开”的阶段。钱包文件本身没有损坏迹象，余额也未被业务方标记为可忽略的小额。因此，下一步的关键不是继续猜测，而是补充更多外围线索。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 **1 笔**，发生在 **2012-02-12 10:42:09**。此后该地址再无任何转出记录。
- **转入（receive）**：共 **10 笔**，最后一笔发生在 **2024-03-01 06:56:33**。
- **近期动态**：近 30 天转入与转出均为 **0 笔**，说明该地址当前处于完全静默状态。
- **未知项**：关于每笔转入的具体金额、对手方地址、以及 2012 年那笔转出的去向，当前数据未同步，暂记为“未知”。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为 0 的业务标注**：该钱包余额为 **3.02001000 BTC**，业务标注“余额很小”为 **否**。因此，**不适用**“余额为零/小额放弃”的简化处理流程。
- **是否拿到明文密码**：字段 `cracked_password/actual_password` 明确为 **否**。即：**尚未获得明文密码，也未验证成功**。任何声称“已破解”的结论均无数据支撑。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **找回与 2012 年转出交易相关的地址簿/备注**：那笔唯一的 send 可能关联到钱包所有者的身份或旧邮箱。
2. **调取 2024 年 3 月最后一笔转入的完整交易详情**（对手方地址、输入脚本类型），可能暴露钱包所有者的近期活动痕迹。
3. **检查同一数据集目录下是否有其他钱包文件**（如 `wallet_1`、`wallet_2`），可能共享同一套口令习惯。
4. **寻找钱包文件创建时间附近的系统日志或备份文件**，确认该 `.dat` 文件的原始生成环境。
5. **收集与钱包文件名 `MEGA-BONUS` 相关的业务线索**（如活动名称、促销记录），这可能是口令提示词。
6. **核对 2012 年 2 月前后的历史汇率与交易平台记录**，推测该地址是否来自某交易所提现。
7. **补充该地址在区块链浏览器上的完整交易列表**（含金额与时间），用于交叉验证本地统计。
8. **查找是否有该钱包的旧版备份或导出文件**（如 JSON/CSV），可能包含未加密的元数据。

### 7. 已尝试方向回顾（避免重复投入）
- **密码状态核验**：已确认 `cracked_password` 为否，无需再次重复“是否已破解”的判断。
- **余额误判排除**：已确认余额非零且业务标注“余额很小”为否，不应走小额放弃流程。
- **基础交易统计**：转入/转出笔数、时间跨度、近 30 天活跃度均已统计完毕，无需重新拉取同类摘要。
- **文件完整性**：钱包文件大小与格式已记录，未发现损坏迹象；下一步应聚焦外围线索，而非对同一文件反复做相同检查。