BTC 钱包风险检测与恢复评估 #1247

### 1. 一句话结论
钱包 1247 是一枚 BTC 余额极低（0.00077408 BTC）的 Legacy 格式钱包，目前仅有 30 笔历史转入、无任何转出记录，且**尚未获得明文密码**，业务标注的“余额很小”与“是否破解成功”是两回事，请勿混淆。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：ID 1247，主地址 `1Nz2n3VzaeUxxeToxiBKMQm6ehDfnAP6sZ`，币种 BTC。
- **文件信息**：`wallet_875.dat`，格式 `bitcoin_legacy_bdb`，大小 536,576 字节，路径指向 `MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_875BTC` 数据集。
- **余额状态**：当前余额 0.00077408 BTC，业务标注为“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password/actual_password` 为“否”，即**没有强证据表明已拿到明文密码**。
- **交易统计（来自 `wallet_transactions.direction`）**：
- 转入（receive）30 笔，最后转入时间 2026-05-22 11:00:50。
- 转出（send）0 笔，最后转出时间未知。
- 近 30 天转入/转出均为 0 笔。
- 交易时间跨度 4274 天（约 11.7 年）。
- **时间线**：录入 2026-06-23，更新 2026-09-06，数据标注日期 2026-06-23。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是 2026 年 6 月 23 日进入我们视野的。当时它被标记为“MEGA-BONUS”系列中的 `wallet_875`，文件格式是比特币 Core 早期的 BDB 数据库——这类钱包通常年代较久，内部结构相对简单，但加密方式取决于创建时的客户端版本。

我们首先做了静态信息核对：确认了文件大小、路径、主地址，并拉取了链上交易摘要。链上数据给了我们一个非常清晰的画像——**这是一个“只进不出”的钱包**：30 笔转入，0 笔转出，跨度超过 11 年。这种模式通常意味着该地址曾用于接收（可能是挖矿、收款或归集），但从未动用过。

随后我们检查了密码状态字段。这里必须强调：**业务系统里标注的“余额很小”只是一个风控/优先级标签，它并不等于“密码已破解”**。目前 `cracked_password` 字段为“否”，说明我们手里没有可验证的明文密码或助记词。整个推进过程停留在“资料梳理与状态确认”阶段，尚未进入“凭据已到手”的环节。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 30 笔，最后一笔发生在 2026-05-22 11:00:50。近 30 天无新增转入。
- **转出（send）**：共 0 笔，最后转出时间未知。近 30 天无转出。
- **净流向判断**：基于 `direction` 字段统计，该地址历史上只收不发，当前余额即历史转入的沉淀结果（未同步具体每笔金额，仅从笔数与方向推断）。
- **未知项**：每笔转入的具体金额、对手地址、以及 4274 天跨度内的资金分布细节，当前数据未提供，需补充交易明细表。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：这是系统根据余额阈值（0.00077408 BTC）自动打的标签，用于提示该钱包经济价值低，**不代表钱包已清空或已放弃**。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，即我们尚未验证任何密码、助记词或私钥的有效性。任何“已破解”的说法在当前数据下都不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充该地址的完整交易明细**（每笔金额、时间、对手方），用于判断 30 笔转入的资金性质与是否有关联地址。
2. **提供钱包文件创建时间或首次使用时间**，用于推断 BDB 版本与可能的加密算法范围（仅用于版本判断，不涉及攻击细节）。
3. **查找同批次“MEGA-BONUS”系列其他钱包的状态**，看是否有同密码或同结构的旁证。
4. **确认该钱包是否曾关联任何已知服务商或交易所地址**（通过交易对手方反查）。
5. **补充钱包文件的元数据**（如是否包含 HD 种子、是否仅有单一地址），以判断内部结构复杂度。
6. **核实“录入时间”与“数据标注日期”为何仅差 16 分钟**，确认是否存在自动化导入脚本或人工复核记录。
7. **提供该钱包在其它备份介质中的副本或历史版本**，便于比对文件差异。
8. **若业务允许，补充该钱包来源背景**（如案件编号、缴获来源、用户申报信息），以便判断密码设置习惯。

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件信息核对**：已完成，确认格式、大小、路径、主地址。
- **链上方向统计**：已完成，确认 30 转入 / 0 转出，时间跨度 4274 天。
- **密码状态核查**：已完成，确认 `cracked_password` 为“否”，未进入验证成功状态。
- **未尝试方向**：尚未进行交易明细逐笔分析、同批次钱包横向比对、文件元数据深度解析（因当前数据不足）。后续请优先补充第 6 节中的线索 1、2、5，避免在无新数据的情况下重复跑相同流程。