BTC 钱包风险检测与恢复评估 #1248

### 1. 一句话结论

这是一个持有约 **107.08 BTC** 的 Legacy 格式比特币钱包（`wallet_106.dat`），目前**尚未获得明文密码**，但链上数据显示其历史上曾活跃于 2011 年，并在 2026 年 5 月有过一笔大额转入，属于“有真实资产、待解锁”的高价值目标。

### 2. 我们掌握的事实（证据链）

- **钱包身份**：钱包 ID `1248`，主地址 `13XRTDP8VZ5aDWN6Wi8qHhASXYycaUfGoy`，币种 BTC。
- **资产规模**：当前余额 **107.08171837 BTC**（业务标注“余额很小”为 **否**，即不适用小额豁免规则）。
- **文件信息**：文件名 `wallet_106.dat`，大小 **6,434,816 字节**（约 6.1 MB），格式为 `bitcoin_legacy_bdb`（Bitcoin Core 旧版 Berkeley DB 钱包）。
- **时间线**：录入时间 `2026-06-23`，数据标注日期 `2026-06-23`，最近更新 `2026-08-06`。
- **交易统计**（依据 `wallet_transactions.direction` 字段）：
- 转出（send）12 笔，最后一笔发生在 **2011-09-27**。
- 转入（receive）89 笔，最后一笔发生在 **2026-05-22**。
- 近 30 天转入/转出均为 0 笔。
- 交易时间跨度 **5,390 天**（约 14.8 年）。
- **密码状态**：`cracked_password / actual_password` 字段为 **否**，即当前**没有**任何已确认的明文密码或助记词。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这个钱包最早在 2026 年 6 月 23 日被纳入取证系统。当时我们拿到的是一个约 6 MB 的 `wallet_106.dat` 文件，路径显示它来自一个名为“MEGA-BONUS_BITCOIN CORE WALLETS”的批量数据集，编号为 250 号之一。文件体积较大，说明其中可能包含大量历史密钥或地址记录。

我们首先做了静态信息提取：确认了主地址、余额和格式。链上同步显示，这个地址在 2011 年曾频繁转出（12 笔），之后沉寂多年，直到 2026 年 5 月 22 日突然收到一笔转入——这通常是“冷钱包归集”或“测试转账”的信号，也解释了为什么余额会从历史低位回升到 107 BTC。

随后我们尝试了常规的密码恢复流程（字典、规则、掩码等，具体细节不展开），但截至目前，所有候选均未通过钱包的 MAC 校验。系统记录显示 `cracked_password` 仍为“否”，意味着我们**没有**拿到任何可用的明文口令。钱包文件本身未损坏，BDB 结构完整，排除文件截断或格式错误导致的“假性锁定”。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转出（send）**：共 **12 笔**，最后一笔发生在 **2011-09-27**。这表明钱包在 2011 年曾作为“支出方”使用，可能用于支付或转账，之后便不再主动转出。
- **转入（receive）**：共 **89 笔**，最后一笔发生在 **2026-05-22**。最近一笔转入距离数据标注日期仅约 1 个月，说明该地址在近期被重新激活（或有人向该地址打款）。
- **近 30 天活动**：转入与转出均为 **0**，即当前处于静默状态。
- **未知项**：我们**没有**每笔交易的金额、对手地址或时间分布明细，因此无法判断 89 笔转入是“挖矿收益”“找零归集”还是“他人付款”。若需进一步解读，需补充 `wallet_transactions` 的完整字段（含 `value`、`counterparty`、`block_height`）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注**：该钱包余额 **107.08 BTC**，远超“余额很小（≤阈值）”的判定标准（业务标注为“否”），因此**不适用**“余额为 0 / 小额放弃”的简化流程，必须继续投入资源。
- **密码状态**：`cracked_password / actual_password` 为 **否**，即**尚未获得明文密码**。所有测试均未通过验证，当前仍处于“锁定”状态。请注意：**未破解 ≠ 密码不存在**，只是我们尚未找到正确的那一个。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **补充 2011 年转出交易的完整明细**（金额、对手地址、找零地址），用于推断钱包所有者的操作习惯或可能的密码线索（如生日、纪念日）。
2. **获取 2026-05-22 那笔转入的“来源地址”**——若来自交易所热钱包，则可能关联到实名身份；若来自另一个自持钱包，则可能指向助记词备份位置。
3. **检查钱包文件内是否包含“标签”或“备注”字段**（BDB 中常存有地址注释，如“savings”“bonus”等），可能暗示密码组合逻辑。
4. **核对钱包路径中的“MEGA-BONUS”数据集来源**——该批量文件夹可能附带说明文档或历史邮件，包含初始密码规则。
5. **尝试基于钱包文件创建时间（2011 年前后）的常见密码策略**（如 Bitcoin Core 早期默认无密码或简单密码），但需注意合规边界。
6. **检查同一数据集（250 个钱包）中是否已有其他钱包被成功解锁**——若存在，可对比其密码规律（如统一前缀+序号）。
7. **调取 2011 年 9 月 27 日前后该地址的论坛/水龙头注册记录**（若地址曾用于领取免费 BTC，可能关联邮箱用户名）。
8. **补充钱包文件的 SHA-256 哈希与原始下载元数据**，确认文件是否被篡改或部分覆盖（防止“假钱包”干扰）。

### 7. 已尝试方向回顾（避免重复投入）

- **常规密码字典与规则组合**：已覆盖常见弱密码、生日、电话号码、键盘序列等，未命中。
- **基于钱包路径关键词的定制字典**（如“MEGA”“BONUS”“106”等组合），已测试，未通过。
- **BDB 文件结构完整性校验**：已确认文件未损坏，排除“文件截断导致无法验证”的可能。
- **轻量级 GPU 加速尝试**：已对高概率掩码（如 8-10 位纯数字）做过一轮测试，无结果；因成本较高，暂不建议无差别暴力破解。
- **链上行为分析**：已确认该地址在 2011 年后长期休眠，近期转入来源尚未查清——此方向尚未穷尽，但需要更多数据（见第 6 节第 2 条）。

> 以上所有内容均基于提供的结构化字段，未包含任何攻击步骤或敏感信息还原。