BTC 钱包风险检测与恢复评估 #1267

### 1. 一句话结论
钱包 1267（BTC，bitcoin_legacy_bdb 格式）当前记录余额为 11.31111164 BTC，链上有 38 笔转出与 85 笔转入记录，但**尚未获得明文密码**（cracked_password/actual_password 字段为“否”），因此该钱包仍处于“持有数据、未验证解锁”的状态。

### 2. 我们掌握的事实（证据链）
- 钱包 ID 1267，币种 BTC，钱包版本/格式为 bitcoin_legacy_bdb。
- 钱包名称：wallet_11,311BTC / wallet_11,311.dat；文件大小 286720 字节。
- 主地址：1EjGCBpn3V1QHGKPhsUBwSrccrw8XSfoEU。
- 余额字段：11.31111164 BTC；业务标注“余额很小（≤阈值）”为“否”。
- 已知密码存在（强证据 cracked_password/actual_password）：**否**。
- 录入时间 2026-06-23 00:42:00；更新时间 2026-08-15 05:10:19；数据标注日期 2026-06-23 00:57:34。
- 交易摘要：转出 38 笔、转入 85 笔；最后转出 2013-06-23 22:16:20，最后转入 2025-02-02 03:59:30；近 30 天转出 0 笔、转入 0 笔；交易时间跨度 4458 天。
- 钱包路径位于站内数据集目录（/www/czb-wallet-common/datasets/.../wallet_11,311.dat），属于 review 类样本。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026-06-23 00:42:00 被录入系统，随后在 00:57:34 被打上数据标注。从那一刻起，它就以“wallet_11,311BTC”的名字进入我们的视野——名字里带着一个醒目的数字，但系统里真正记录的余额是 11.31111164 BTC，两者并不等同，这一点从余额字段可以直接确认。

我们随后同步了链上交易摘要：它并不是一个“沉睡到从未动过”的地址，而是有 38 笔转出、85 笔转入，时间跨度长达 4458 天。最后一次转出停在 2013-06-23 22:16:20，最后一次转入则发生在 2025-02-02 03:59:30。也就是说，这个钱包在链上经历过长期、多次的活动，而不是一次性事件。

在密码验证这条线上，我们检查了 cracked_password/actual_password 字段，结果明确为“否”。这意味着到目前为止，我们**没有拿到明文密码**，也没有任何强证据表明密码已被验证成功。整个推进过程因此停留在“数据已归档、交易已同步、密码未验证”的阶段，而不是“已解锁”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- 转入（direction=receive）：共 85 笔，最后转入时间 2025-02-02 03:59:30；近 30 天转入 0 笔。
- 转出（direction=send）：共 38 笔，最后转出时间 2013-06-23 22:16:20；近 30 天转出 0 笔。
- 交易时间跨度：4458 天，说明该地址的活动横跨十多年。
- 需要说明：以上仅基于 direction 统计字段；具体每笔交易的金额、对手方、交易哈希等未在给定数据中提供，因此**未知**，不做方向或金额上的臆断。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- 余额方面：业务标注“余额很小（≤阈值）”为“否”，且余额字段为 11.31111164 BTC，因此**不属于“余额为 0”或“余额极小”的业务标注情形**。
- 密码方面：cracked_password/actual_password 强证据字段为“否”，因此**尚未获得明文密码**，也**不能写“已破解/已验证成功”**。当前状态应描述为“仍在测试/未验证”，而不是“已拿到密码”。
- 安全规则提醒：任何明文密码、助记词、私钥均不应出现在输出中；如输入中出现，应以“[已脱敏]”代替。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 补充该钱包的完整交易明细（交易哈希、金额、对手方），用于核对 38 笔转出与 85 笔转入的完整链路。
2. 补充钱包文件的元数据（创建时间、最后修改时间、BDB 内部版本信息），用于判断钱包生成环境。
3. 补充该钱包是否曾出现在其他数据集或历史工单中，确认是否有重复样本。
4. 补充主地址 1EjGCBpn3V1QHGKPhsUBwSrccrw8XSfoEU 的链上标签与归属线索。
5. 补充密码验证过程的日志记录（仅记录“尝试/未成功”状态，不记录任何明文或规则细节）。
6. 补充该钱包在 review 目录中的来源说明（MEGA-BONUS 数据集背景）。
7. 补充余额 11.31111164 BTC 的当前链上确认状态（是否与最新区块一致）。
8. 补充该钱包是否有关联的备份文件或同目录其他 .dat 文件。

### 7. 已尝试方向回顾（避免重复投入）
- 已确认钱包格式为 bitcoin_legacy_bdb，文件大小 286720 字节，路径与命名已归档。
- 已同步链上交易摘要：转出 38 笔、转入 85 笔，最后转出 2013-06-23、最后转入 2025-02-02。
- 已检查密码强证据字段：cracked_password/actual_password 为“否”，说明当前没有已验证的明文密码。
- 已确认业务标注“余额很小”为“否”，因此不应按“零余额钱包”处理。
- 后续应避免在没有新证据的情况下重复做同一类密码验证尝试；应优先补充第 6 节中的线索。