BTC 钱包风险检测与恢复评估 #1033

### 1. 一句话结论
这是一枚**2013年7月前后活跃过、此后长期沉寂的BTC Legacy钱包**，当前余额约 **364.06 BTC**，但**尚未获得明文密码**，且**业务标注“余额很小”为否**——即从业务口径看，这并非一个“低价值/可放弃”的钱包，值得继续推进。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1033，币种BTC，主地址 `16ECRdDigsZCn8QDSRrimGJqyFrRyM3ueS`（Legacy格式，BDB文件）。
- **文件信息**：`wallet_364.dat`，大小 **2,334,720 字节**（约2.2MB），路径指向 `MEGA-BONUS_8 BTC Wallets - All 300 +_Wallet 364 BTC` 数据集，命名含“Wallet 364 BTC”。
- **余额与标注**：链上余额 **364.05747708 BTC**；业务字段 `余额很小(≤阈值)` = **否**，即系统判定该余额**不属小额**。
- **密码状态**：`cracked_password/actual_password` = **否**，即**没有已知明文密码**。
- **交易统计（来自 `wallet_transactions.direction`）**：
- 转入（receive）：**1笔**，最后转入时间 **2013-07-02 08:41:03**。
- 转出（send）：**1笔**，最后转出时间 **2013-07-04 13:32:36**。
- 近30天转入/转出均为 **0笔**；交易时间跨度仅 **2天**（2013-07-02 至 2013-07-04）。
- **时间线**：录入系统 2026-06-23，最近更新 2026-08-06。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 **2026年6月23日** 被纳入取证系统，当时系统记录下它的文件路径与格式（`bitcoin_legacy_bdb`），并同步了链上余额——**364.05747708 BTC**，这个数字与文件名“Wallet 364 BTC”高度吻合，说明该文件很可能是按余额命名的批量数据集中的一员。

我们随后核对了链上交易历史，发现它的活跃期极短：**2013年7月2日**有一笔转入，**7月4日**有一笔转出，之后整整十多年再无动静。这种“两天内进出各一笔、随后永久休眠”的模式，通常指向**历史囤币地址**或**某次批量归集后的遗留**。

在密码层面，系统明确记录**尚未获得任何明文密码或助记词**。我们目前能确认的是：文件本身完整、格式明确、余额真实，但**打开它的钥匙（密码）仍缺失**。整个推进过程目前停留在“资料已齐、密码未破”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **1笔**，发生在 **2013-07-02 08:41:03**。这是该地址最早的资金来源。
- **转出（send）**：共 **1笔**，发生在 **2013-07-04 13:32:36**。这是该地址唯一一次支出。
- **近期活动**：近30天转入/转出均为 **0笔**，确认当前处于完全休眠状态。
- **说明**：基于现有字段，我们只能确认“有1进1出”，**无法判断**转出金额是否等于转入金额，也无法判断当前余额是“转入后未动”还是“转出部分后剩余”。如需还原具体金额流向，需补充该地址的完整UTXO明细或交易哈希列表。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：字段值为 **否**。这意味着系统**并未**将该钱包判定为“低价值/可放弃”类别——364 BTC 在业务口径下属于**高价值目标**，不应因“余额小”而停止投入。
- **是否拿到明文密码**：字段 `cracked_password/actual_password` = **否**。即**目前没有已验证的密码**，所有关于“已破解”的说法均不成立。我们只能说“密码未知，仍在测试/等待有效线索”，**不能声称已解锁**。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **该地址的完整UTXO列表与交易哈希**：用于还原2013年那1进1出的具体金额，确认364 BTC是否为“净留存”。
2. **数据集来源背景**：路径中 `MEGA-BONUS_8 BTC Wallets - All 300 +` 暗示这是一批批量钱包，查找同批次其他钱包是否已有成功解锁案例，可复用其密码规律（仅作线索，不涉及攻击细节）。
3. **文件创建时间与修改时间元数据**：从 `wallet_364.dat` 的文件系统时间戳，推测钱包生成工具与日期。
4. **2013年7月前后的历史价格与交易平台记录**：若该地址曾关联某交易所充值/提现，可能通过平台KYC线索找到所有者。
5. **钱包内是否含地址标签或备注**：BDB文件中可能存有自定义标签，需在合规取证环境下读取（不涉及密码）。
6. **同批次其他钱包的密码格式统计**：若300+钱包来自同一生成器，其密码构成可能有共性（仅用于评估复杂度，不公开具体规则）。
7. **检查是否有旧版备份文件**：如 `wallet_364.dat.bak` 或相邻目录下的同类文件，可能包含更早的未加密状态。
8. **链上地址关联分析**：将该主地址与2013年已知大额交易图谱做关联，看是否有公开标签（如门头沟、丝路等历史事件地址）。

### 7. 已尝试方向回顾（避免重复投入）
- **基础信息核对**：已完成——钱包格式、路径、余额、交易笔数均已确认，无需重复采集。
- **密码状态确认**：已确认系统内**无已知密码**，因此任何“直接使用已有密码解锁”的路径已排除。
- **近期活跃性排查**：已确认近30天无任何交易，**无需再监控短期动态**。
- **小额放弃判断**：已确认业务标注为“非小额”，**不应走“低价值放弃”流程**。
- **未尝试方向**：尚未获取UTXO明细、未做同批次钱包横向对比、未检查文件系统元数据——这些是下一步重点，**避免在“无新线索”的情况下重复跑同一批密码猜测**。