LTC 钱包风险检测与恢复评估 #1536

### 1. 一句话结论
这是一个LTC（莱特币）钱包取证任务，目前**尚未获得明文密码**，但已确认钱包文件完整、链上历史清晰（39笔转入、2笔转出），且**近30天无任何活动**，属于典型的“沉睡钱包”待解锁状态。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1536，主地址 `LT2N9JHhgJq3rYA2oiXCndsKgrZs1G7NE1`，文件名含“DOGE +LTE+VACIA”字样，版本标注为 `bitcoin_legacy_bdb`（老式Bitcoin核心格式，与LTC同源）。
- **文件状态**：文件大小约1,040,384字节（约1MB），路径完整，更新时间（2026-08-06）晚于录入时间（2026-06-23），说明文件曾被读取或校验过。
- **密码证据**：字段 `cracked_password/actual_password` 明确为 **否**，即目前没有任何强证据表明已拿到明文密码。
- **余额标注**：业务标注“余额很小(≤阈值)”为 **否**，说明系统并未判定该钱包为“零钱袋”，余额可能有一定规模（具体数值未同步）。
- **链上交易**（依据 `wallet_transactions.direction`）：
- 转入（receive）：39笔，最后一笔在 **2024-05-12**。
- 转出（send）：2笔，最后一笔在 **2025-06-16**。
- 近30天转入/转出均为0笔。
- 交易跨度4467天（约12.2年），说明地址历史非常久远。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最初在2026年6月23日凌晨被录入系统，文件名里带着“MEGA-BONUS”和“DOGE +LTE+VACIA”的混合标记，看起来像某个活动或旧矿池的遗留物。我们首先确认了文件格式是 `bitcoin_legacy_bdb`——这是2010年代早期钱包常用的数据库结构，和LTC早期客户端兼容。

随后我们核对了链上数据：地址从约12年前开始活动，累计收到39笔，但只转出过2笔。最后一次转出发生在2025年6月，之后整整一年多没有任何动静。这种“收多出少”的形态，加上文件名里的“VACIA”（西班牙语“空”的意思），我们推测它可能是某个促销活动后剩余的空壳或备用地址。

在尝试解锁文件时，我们遇到了瓶颈：系统内没有任何“已知密码”的标记（`cracked_password=否`）。这意味着我们目前只能确认文件本身没有损坏，但无法读取内部私钥。我们也没有发现任何与“余额为0”相关的业务标注，所以不能简单把它归为“废弃钱包”——它可能还藏着东西，只是钥匙还没找到。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共39笔，最后一笔发生在2024年5月12日。说明该地址在2024年中之前一直有外部资金汇入，但此后停止接收。
- **转出（send）**：共2笔，最后一笔发生在2025年6月16日。说明地址在2025年年中曾有过一次主动支出，之后彻底沉默。
- **近30天活动**：转入0笔、转出0笔，完全静默。
- **当前余额**：具体数值未同步，无法判断是正是零；但业务标注“余额很小”为否，暗示可能并非微量。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额标注**：系统并未将该钱包标记为“余额≤阈值”，即**不认为它是空钱包或微量钱包**。但这只是业务侧估算，不等于链上实际余额已确认。
- **密码状态**：`cracked_password/actual_password = 否`，即**尚未获得明文密码**。所有关于“已解锁”“已拿到私钥”的说法均不成立。当前仍处于“文件在手、钥匙未明”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充链上当前余额与UTXO列表**：确认地址是否真的还有未花费的LTC，这是判断继续投入价值的首要依据。
2. **调取该地址的历史关联地址**：通过转入转出对手方，查找是否有同源钱包或备份文件。
3. **核对文件名中“DOGE +LTE+VACIA”的业务来源**：向业务方确认这是否为某次活动批量生成的钱包，可能存有批量密码表。
4. **检查同批次钱包文件**：路径中 `MEGA-BONUS_DOGE...` 暗示存在同系列文件，对比其他钱包的解锁进度可能提供线索。
5. **获取钱包创建时间或首次交易时间**：确认是否与某次已知活动时间吻合，缩小密码设置习惯范围。
6. **补充该钱包在2025年6月16日转出时的备注或对手方信息**：那次转出可能是主人最后一次操作，链上备注或对手方钱包可能留下身份线索。
7. **确认文件更新时间（2026-08-06）的操作记录**：是谁在何时读取过该文件？是否有中途尝试解锁的日志？
8. **调取钱包内地址数量与脚本类型**：确认是单地址还是多地址钱包，影响后续验证策略。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了新式钱包格式的干扰，后续无需再纠结格式判断。
- **链上活跃度排查**：已确认近30天零交易、最后活动在2025年6月，说明不是近期活跃钱包，无需再监控新交易。
- **密码强证据检查**：已核对 `cracked_password` 字段为否，说明系统内没有现成密码可用，不必再搜索内部密码库。
- **余额业务标注**：已确认“余额很小”为否，但未获取具体数值，下一步应直接查链上UTXO而非依赖业务标注。
- **文件完整性**：文件大小约1MB，路径完整，未发现损坏迹象，无需重新采集文件。