BTC 钱包风险检测与恢复评估 #1219

### 1. 一句话结论
该钱包（ID: 1219）为一枚持有 **2.4 BTC** 的比特币 Legacy 格式钱包，目前**尚未获得明文密码**，且链上交易记录**尚未同步**，因此无法对资金流向做任何转入/转出判断。

---

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1219，主地址 `17TZP4RG71KsnxykEb2p3gHy1icxzRz1VV`，币种 BTC。
- **余额状态**：当前显示余额 **2.40000000 BTC**，业务标注“余额很小（≤阈值）”为 **否**，即余额并不算小。
- **密码状态**：强证据字段 `cracked_password / actual_password` 为 **否**，即**没有**任何已确认的明文密码或验证成功记录。
- **文件信息**：钱包名为 `wallet_2,4BTC / wallet_2,4.dat`，格式为 `bitcoin_legacy_bdb`，文件大小 **57,344 字节**。
- **路径线索**：文件存放于 `.../MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_2,4BTC_.../wallet_2,4.dat`，暗示该文件可能来自一个包含 **250 个钱包**的批量数据集。
- **时间线**：录入时间 2026-06-23 00:41:23，数据标注日期为同日 00:57:32，最近一次更新为 2026-08-06 11:32:00。
- **交易同步**：链上交易摘要显示“未发现已同步的交易记录”，即目前**没有任何**已确认的转入/转出明细。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一批名为“MEGA-BONUS”的批量钱包数据中定位到了这个文件。文件名里的 `2,4BTC` 与当前余额 2.4 BTC 高度吻合，说明该文件在归档时就被标记为“含 2.4 BTC”的钱包。

随后我们核对了钱包格式为 `bitcoin_legacy_bdb`，这是比特币核心钱包的旧版数据库格式，属于常见类型。文件大小约 56 KB，符合一个仅含少量地址和密钥的老式钱包特征。

在尝试访问该钱包时，我们重点检查了是否存在“已知密码”的强证据。根据字段 `cracked_password / actual_password` 的返回结果，目前为 **否**，即我们**没有**任何已确认的密码或助记词。所有关于“是否已破解”的猜测均不成立。

同时，我们尝试拉取链上交易记录，但系统显示“未同步”。这意味着我们目前只能看到钱包文件本身的静态余额，无法确认这笔 2.4 BTC 是何时、以何种方式进入的，也无法判断是否曾转出。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易未同步，无任何 `direction=receive` 的统计字段可依据。
- **转出记录**：未知。链上交易未同步，无任何 `direction=send` 的统计字段可依据。
- **当前余额**：2.40000000 BTC（仅来自钱包文件本地数据，非链上确认）。

> 注意：在完成交易同步之前，任何关于“最后转出时间”“资金来自哪里”的描述都属于臆测，本报告不予采用。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即业务层面**不认为** 2.4 BTC 是小额。这与“余额为 0”是完全不同的概念——本钱包余额不为 0。
- **是否拿到明文密码**：**否**。强证据字段明确显示 `cracked_password / actual_password = 否`，因此我们**尚未获得**任何可用的明文密码、助记词或私钥。所有关于“已破解”的说法均不属实。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，确认 2.4 BTC 的来源与时间。
2. **检查同批次数据集**：该文件来自“250 个钱包”的批量包，排查同批次中是否有其他钱包已被成功解锁，可能复用相同密码策略。
3. **核对文件名与归档备注**：确认 `MEGA-BONUS` 数据集是否附带说明文档或密码提示文件。
4. **检查钱包文件内部元数据**：在合规环境下查看 BDB 文件中是否包含非加密的备注字段或历史标签。
5. **验证地址归属**：通过区块链浏览器确认主地址 `17TZ...` 是否存在历史交易，辅助判断该钱包是否曾活跃。
6. **排查常见弱密码之外的线索**：若该钱包来自“赠送/奖金”类数据集，可重点排查与活动名称相关的口令习惯（仅作线索方向，不展开具体规则）。
7. **补充文件哈希与来源链**：记录该 `.dat` 文件的 SHA-256，便于后续在其它备份或镜像中交叉比对。
8. **确认钱包是否加密**：检查 BDB 文件头部标志位，确认是否启用了 `encrypted` 标志，以决定后续取证路径。

---

### 7. 已尝试方向回顾（避免重复投入）
- **已核对强证据字段**：确认 `cracked_password / actual_password` 为否，说明此前没有产生任何有效的密码命中记录，**无需重复验证**。
- **已检查交易同步状态**：当前无任何已同步交易，**不要重复**在无数据状态下猜测资金流向。
- **已确认业务标注**：余额“很小”为否，**不要误判**为“余额为 0 可跳过”。
- **已确认钱包格式**：`bitcoin_legacy_bdb` 为旧版格式，**避免**在未同步交易前投入资源做格式转换或强行导出。