BTC 钱包风险检测与恢复评估 #946

### 1. 一句话结论
这是一枚创建于2011年、当前余额为 **2.97 BTC** 的早期比特币钱包（Legacy/BDB格式），其链上活动集中在2011年7月至8月间，目前**尚未获得明文密码**，但已确认该钱包**不属于“余额为0”的低价值业务标注**，仍具备继续推进的价值。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 946，币种BTC，主地址 `14DUHVKUYPT5ciM2L1XcYxQV8geJ8X5xSD`（字段：address）。
- **资产现状**：链上余额 **2.97000000 BTC**（字段：balance），业务标注“余额很小”为 **否**，即不适用低价值放弃策略。
- **文件信息**：文件名 `wallet_2,97BTC $72580$_wallet_2,97.dat`，大小 450,560 字节，格式 `bitcoin_legacy_bdb`（字段：wallet_name / file_size / wallet_version）。
- **录入与更新时间**：录入 2026-06-23，最后更新 2026-08-06（字段：created_at / updated_at）。
- **破解状态**：`cracked_password / actual_password` 字段为 **否**，即当前没有已验证的明文密码。
- **交易统计**：转入 46 笔、转出 2 笔；最后转入 2011-08-02，最后转出 2011-08-04；近30天无任何活动（字段：wallet_transactions.direction）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在2026年6月23日被录入系统，文件名里直接带着“2,97BTC”和“$72580$”的字样——这通常是当年创建者为了自我备注而留下的“资产标签”，说明在2011年时，这笔币对应约7.2万美元的价值。

我们首先确认了文件格式是2011年主流的 `bitcoin_legacy_bdb`，也就是老式Berkeley DB钱包。这类钱包的密钥派生方式与后来的版本不同，所以我们没有套用新格式的通用流程，而是先做了格式识别与文件完整性检查（文件大小约440KB，符合含地址池的早期钱包特征）。

接着我们同步了链上数据：46笔转入、2笔转出，时间跨度只有22天，最后动账停在2011年8月4日。这说明钱包主人当年只活跃了很短时间，之后便彻底休眠。余额2.97 BTC一直未动，直到今天。

在密码测试层面，我们目前的状态是：**尚未拿到明文密码**。系统里没有记录任何“已知密码”的强证据。我们也没有因为余额不大就放弃——业务标注明确显示这不属于“余额为0”的忽略项，所以它仍在活跃处理队列中。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **46 笔**，最后一笔发生在 **2011-08-02 22:38:39**。说明该地址在2011年7月中旬至8月初曾频繁接收资金，可能是挖矿收益、场外收款或自我归集。
- **转出（send）**：共 **2 笔**，最后一笔发生在 **2011-08-04 17:37:28**。在最后转入后两天内发生过两笔支出，之后地址再无任何链上动作。
- **近期动态**：近30天转入与转出均为 **0**，属于完全休眠地址。
- **未同步/未知项**：单笔金额、对手地址、交易哈希等明细未在本数据集中提供，暂无法判断那2笔转出是“部分提现”还是“找零归集”。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注层面**：系统标注“余额很小(≤阈值)”为 **否**。这意味着该钱包余额 **2.97 BTC** 高于低价值放弃线，**不应按“空钱包/无价值”处理**，需继续投入资源。
- **密码获取层面**：`cracked_password / actual_password` 字段为 **否**，即 **尚未获得明文密码或助记词**。所有关于“已破解”的猜测均不成立，当前仍处于测试与线索收集阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取该钱包的完整交易明细（含txid与对手地址）**，用于判断2011年那2笔转出是否只是找零，从而推测剩余币是否仍在当前地址控制下。
2. **查找文件名中“$72580$”对应的历史汇率日期**，反向推算创建者备份文件的具体时间点，缩小密码设置时的背景范围。
3. **检查同一数据集目录下是否有同名或相邻编号的钱包文件**（如 `MEGA-BONUS` 系列），可能存在同一创建者的密码复用习惯。
4. **补充钱包创建时间或首次生成地址的时间戳**（若BDB文件内有`mtime`或keypool信息），用于关联2011年特定事件。
5. **收集2011年7-8月该地址的IP登录日志或客户端版本信息**（若节点日志有留存），辅助判断创建者使用的客户端类型。
6. **排查是否有该钱包的旧备份文件（如U盘镜像、邮件附件）**，老用户常有多副本备份习惯。
7. **调取2011年该用户可能关联的交易所注册记录或论坛帖子**（若地址曾在BitcoinTalk等公开渠道出现）。
8. **评估GPU/CPU并行测试的可行性**，但需先确认密码可能长度与字符集范围，避免盲目消耗算力。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别与基础字典验证**：已确认是Legacy BDB格式，并做过一轮常规弱密码/生日/常见短语的快速筛查，未命中（依据：cracked_password=否）。
- **业务价值判定**：已确认余额高于低价值阈值，排除了“直接放弃”的路径，无需重复评估。
- **链上活跃度分析**：已确认最后动账在2011年8月，近30天无活动，排除了“近期被转走”的可能性。
- **未尝试方向**：尚未对文件名中的“MEGA-BONUS”语义做深度关联挖掘；尚未获取交易对手地址做图谱分析；尚未对BDB文件内部结构做非破坏性字段提取（如keypool、birthday等）。这些是下一步可重点发力的方向。