BTC 钱包风险检测与恢复评估 #1810

### 1. 一句话结论
这是一枚持有 **22.85 BTC** 的 Legacy 格式比特币钱包（ID 1810），目前**尚未获得明文密码**，但链上数据显示它在 2025 年 1 月仍有转入记录，属于“有持续活动、非沉睡”的钱包，值得继续围绕“密码线索”而非“余额清零”方向推进。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `19Hj5Pzi4hCj12porw97i183XYTrScbtXS`，文件名标注为“15 WALLETS - BTC / WALLET 22.010 BTC”，与当前余额 22.85 BTC 基本吻合。
- **格式与来源**：`bitcoin_legacy_bdb` 格式，文件大小 90,112 字节，路径位于 `fake.czb.com` 数据集下的 `MEGA-BONUS` 目录，录入时间为 2026-06-23。
- **余额状态**：当前余额 **22.85003388 BTC**，业务标注“余额很小(≤阈值)”为 **否**，说明余额规模未触发小额忽略规则。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为 **否**，即目前没有已验证的明文密码。
- **链上活动**（依据 `wallet_transactions.direction`）：
- 转出（send）3 笔，最后转出时间 **2013-12-17**；
- 转入（receive）17 笔，最后转入时间 **2025-01-28**；
- 近 30 天转入/转出均为 0 笔；
- 交易跨度 4065 天（约 11 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份名为“MEGA-BONUS_15 WALLETS”的批量数据集里定位到这个文件。文件名自带“22.010 BTC”字样，与链上余额高度一致，说明这是一批按余额命名的“高价值目标”钱包之一。

我们首先核对了文件格式——是比特币早期的 `bitcoin_legacy_bdb` 结构，这类钱包的密钥派生方式较老，但文件本身完整（90KB），没有截断或损坏迹象。随后我们比对了链上数据：该地址从 2013 年开始有转出记录，但 2013 年之后转入记录持续到 2025 年，说明这个地址在 12 年间被反复使用，并非一次性冷钱包。

关键转折点是：余额不为零且业务未标注“小额忽略”，意味着它仍被列入重点观察名单。我们尝试了常规的密码恢复流程（字典、规则、掩码等，具体细节略），但截至目前，强证据字段仍显示“未拿到密码”。我们也没有发现任何“余额为 0”的业务标注，因此当前瓶颈纯粹是“密码未知”，而非“钱包已空”。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 3 笔，全部发生在 2013 年 12 月 17 日之前，最后转出时间为 2013-12-17 00:15:17。此后 **再无转出**。
- **转入（receive）**：共 17 笔，最后转入时间为 2025-01-28 15:27:07。说明该地址在 2025 年初仍收到过资金。
- **近期动态**：近 30 天转入/转出均为 0，即当前处于静默期，但并非长期废弃（因 2025 年有转入）。
- **未知项**：我们未同步每笔交易的金额与对手地址，因此无法判断 2025 年那笔转入是“小额测试”还是“大额归集”，需要补充交易明细字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包 **未被标记为“余额很小/≤阈值”**，即业务上认为 22.85 BTC 仍值得投入资源。
- **密码状态**：强证据字段明确为 **否**，即 **尚未获得明文密码**，也没有任何“验证成功”的记录。所有关于“已破解”的说法均不成立。
- **结论**：当前状态是“有钱包、有余额、无密码”，与“余额已清零”完全无关。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充 2025-01-28 那笔转入的金额与对手地址**——判断是本人归集还是他人误转，直接影响“是否仍被主人控制”的判断。
2. **调取 2013 年 3 笔转出的对手地址与找零地址**——可能关联到同一主人的其他钱包，形成地址簇。
3. **查找同批次“15 WALLETS”中其他钱包的密码命中情况**——若同批有成功案例，可复用其口令习惯。
4. **获取钱包文件的创建时间或修改时间元数据**——辅助判断密码设置年代，缩小字典范围。
5. **搜索该主地址在公开论坛/交易所有无备注信息**——早期地址常与用户名或邮箱绑定。
6. **核对文件名中“MEGA-BONUS”的业务来源**——可能是某次活动或空投的批量生成钱包，密码规则可能统一。
7. **检查是否存在 BDB 格式的旧版备份文件（如 .dat 的副本）**——有时旧备份密码更简单。
8. **确认该地址是否曾参与 2013-2015 年的知名交易所被盗事件**——若为热钱包导出，密码可能关联旧密码库。

### 7. 已尝试方向回顾（避免重复投入）
- **常规密码恢复流程**：已按 Legacy 格式钱包的标准流程尝试过字典与规则组合，未命中，强证据字段仍为“否”。
- **余额过滤**：已确认该钱包不满足“小额忽略”条件，因此没有走“放弃”路线。
- **链上活跃度判断**：已确认 2025 年有转入，排除了“长期沉睡冷钱包”的假设，因此没有停止投入。
- **未尝试/需补充**：尚未获取交易明细金额、对手地址、同批次钱包关联信息，这些是下一步的增量数据，而非重复劳动。