LTC 钱包风险检测与恢复评估 #1863

### 1. 一句话结论
这是一枚长期休眠、近期才重新出现转入活动的 LTC 钱包（ID 1863），目前持有约 4 万 LTC，但**尚未获得明文密码**，且**不适用“余额为 0”的业务豁免标注**，仍需继续推进取证。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1863，币种 LTC，主地址 `LSXkcZfGssvsMwHGh8ZPofhmwPpBaJx68A`。
- **余额状态**：当前余额 `40417.00134717 LTC`，业务标注“余额很小（≤阈值）”为**否**，即该钱包**不适用小额豁免**。
- **文件信息**：格式为 `bitcoin_legacy_bdb`，文件名 `MEGA-BONUS / LTC- LSXkcZfGssvsMwHGh8ZPofhmwPpBaJx68A.dat`，大小 1,097,728 字节，路径指向 `fake.czb.com/LTC/unknown/` 目录。
- **录入与更新**：录入时间 2026-06-23，最近更新 2026-08-06，数据标注日期与录入时间一致。
- **破解状态字段**：`cracked_password/actual_password = 否`，即**无强证据表明已拿到明文密码**。
- **链上交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）仅 1 笔，最后转出时间 **2017-03-24**。
- 转入（receive）共 26 笔，最后转入时间 **2026-03-12**。
- 近 30 天转入/转出均为 0 笔。
- 交易时间跨度 3475 天（约 9.5 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 2026 年 6 月 23 日被纳入数据集，当时系统记录下它的文件指纹与主地址。从文件路径看，它被归类在 `unknown` 目录下，命名带有“MEGA-BONUS”字样，推测是某个活动或批量生成的钱包之一。

我们首先核对了它的链上行为：发现它是一枚典型的“休眠老钱包”——自 2017 年 3 月转出过 1 笔后，长达 9 年没有任何转出动作，但转入记录却持续到 2026 年 3 月。这说明它虽然长期无人动用，但地址仍被外部使用（可能是收款或归集）。

随后我们检查了钱包文件的格式与大小，确认是 `bitcoin_legacy_bdb` 类型，即老式 Berkeley DB 格式，这决定了后续解析与验证的技术路线。我们同步检查了业务标注：该钱包余额约 4 万 LTC，远超“小额豁免”阈值，因此**必须继续走完整取证流程**。

最关键的一步是核对破解状态字段：目前系统内**没有**记录任何“已知密码存在”的强证据。换句话说，我们还没有拿到可用的明文密码或助记词，所有关于“已破解”的说法都不成立。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 1 笔，发生在 **2017-03-24**。此后至今（2026-08）再无任何转出记录。
- **转入（receive）**：共 26 笔，最后一笔发生在 **2026-03-12**。近 30 天无新增转入。
- **解读**：该钱包在 2017 年有过一次支出后进入“只进不出”状态，且转入活动在 2026 年 3 月仍发生过，说明地址并未完全废弃。但近 30 天完全静默，当前处于观察窗口的空档期。
- **未知项**：26 笔转入的具体金额分布、对手地址、以及那 1 笔转出的去向，当前数据未同步，暂无法展开。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为**否**，即余额 40417 LTC 不满足“≤阈值”的豁免条件，因此**不能以“余额为 0 / 小额”为由关闭此案**。
- **是否拿到明文密码**：字段 `cracked_password/actual_password = 否`，表示**尚未获得明文密码、助记词或私钥**。所有关于“已破解”的结论均无依据，当前仍处于“测试/尝试中”状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充 26 笔转入的完整交易列表**（时间、金额、对手地址），用于判断资金归集模式。
2. **调取那 1 笔转出的目标地址与找零地址**，可能关联到同一控制人的其他钱包。
3. **核查文件名中“MEGA-BONUS”的上下文**——是否来自某次活动、空投或推广计划，可能对应已知的批量生成规则。
4. **确认该 `.dat` 文件是否包含多个地址**（BDB 格式常含地址池），导出地址列表与主地址比对。
5. **获取钱包创建时间的链上线索**（如首笔转入时间），辅助判断生成工具与时间窗口。
6. **检查同一目录 `unknown/` 下是否有同批次的兄弟钱包文件**，批量比对可能降低单点难度。
7. **补充该地址在 2026-03-12 最后一笔转入的对手方信息**，这是最近一次活跃线索。
8. **确认业务侧是否有该钱包的备注、工单或历史操作日志**（如导入来源、归属活动）。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了现代格式（如 BIP39 助记词）的路线，后续不应再按新格式钱包处理。
- **业务豁免检查**：已核实余额远超阈值，**不再考虑“小额放弃”路径**。
- **破解状态确认**：系统内无“已知密码”标记，说明此前尝试未产生有效结果，**不应假设已有可用密码**，需回到原始材料重新梳理。
- **链上活跃度判断**：已确认近 30 天无交易，短期内不会有新转入干扰取证，但也不应等待新交易来“碰运气”。