BTC 钱包风险检测与恢复评估 #1393

### 1. 一句话结论
这是一枚创建于比特币早期（2009年）的 Legacy 格式钱包（ID 1393），当前链上余额约 0.00169 BTC，业务侧已标注“余额很小”，且目前**尚未获得明文密码**，破解验证仍未成功。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：BTC 地址 `18jANvQ6AuVGJnea4EhmXiAf6bHR5qKjPB`，钱包文件同名 `.dat`，格式为 `bitcoin_legacy_bdb`（早期 Berkeley DB 版本）。
- **文件信息**：大小 81,920 字节（约 80 KB），路径位于 `.../review/MEGA-BONUS_.../` 目录下，录入时间为 2026-06-23，最近一次更新为 2026-09-03。
- **余额状态**：当前余额 0.00169234 BTC；业务标注“余额很小（≤阈值）”为“是”。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有强证据表明已拿到明文密码**。
- **交易统计**（依据 `direction` 字段）：转入 14 笔，转出 1 笔；最后转入 2026-05-23，最后转出 2009-02-04；近 30 天转入/转出均为 0；交易跨度 6318 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 2026 年 6 月 23 日被纳入审查流程。我们首先确认了它的“身份”：一个非常早期的比特币 Legacy 钱包，文件格式为 `bdb`，这解释了它为何体积不大却包含完整的密钥历史。

随后我们核对了链上行为：该地址在 2009 年 2 月有过一次转出记录，此后长期沉寂，直到 2026 年 5 月才出现连续转入（共 14 笔），但近期 30 天又归于平静。这种“早年转出、近期小额转入”的形态，结合当前余额不足 0.002 BTC，业务侧据此将其标记为“低价值/小额”钱包。

在密码验证环节，我们检查了是否存在已知的密码命中记录（即 `cracked_password` 字段），结论为“否”。这意味着截至目前，我们尚未获得该钱包的明文密码或助记词，所有关于“已破解”的说法都不成立。我们只是完成了钱包格式识别、交易梳理和余额确认，尚未进入“解锁成功”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 1 笔，发生在 **2009-02-04 07:04:52**。这是该地址最早期的动作之一，距今超过 6300 天。
- **转入（receive）**：共 14 笔，最后一笔发生在 **2026-05-23 06:00:03**。说明该地址在 2026 年 5 月前后有过一波小额收入，但近 30 天（截至数据更新日 2026-09-03）无任何转入或转出。
- **当前净状态**：余额 0.00169234 BTC，方向为“持有”，但**未同步**任何关于这些交易对手方、金额明细或找零地址的进一步数据——如需深入分析交易图，需补充 `wallet_transactions` 的完整字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：标注为“余额很小（≤阈值）= 是”，这是基于余额数值的业务分级，**不代表**钱包已清空或已放弃。
- **密码状态**：`cracked_password/actual_password = 否`，即**尚未获得明文密码**。所有“已拿到密码/验证成功”的表述均无事实依据，当前仍处于“未解锁”状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 调取该地址 14 笔转入交易的完整哈希与金额明细，确认资金来源是否与已知交易所或矿池地址关联。
2. 获取 2009-02-04 那笔转出的目标地址，判断是否为早期转账（如 PaxBit 或论坛捐赠），以缩小密码猜测范围。
3. 补充钱包文件头部 16 字节的盐值（salt）与迭代参数（若格式允许），用于评估密码恢复的可行性（仅评估，不展开攻击）。
4. 检索该钱包文件名 `MEGA-BONUS` 前缀在历史活动、论坛帖或旧备份中的出现记录，可能暗示密码设置习惯。
5. 核对录入时间 2026-06-23 前后是否有其他关联钱包（同一目录或同一批次）已成功解锁，可复用其密码策略特征。
6. 检查该地址在 2026-05-23 的转入是否来自某个已知服务商的热钱包，若是，可尝试联系该服务商获取备注信息。
7. 获取钱包文件创建时间（若文件系统元数据保留），与 2009 年转出时间对比，确认钱包生成与首次使用的时间差。
8. 补充该钱包是否曾出现在任何泄露数据库或公开的“早期比特币钱包清单”中（仅做情报比对，不做暴力破解）。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了现代 HD 钱包或 SegWit 格式的干扰——无需再重复判断格式。
- **交易梳理**：已完成转入/转出笔数与时间统计，确认近 30 天无活动，无需再对同一时间段重复扫描。
- **密码命中检查**：已确认 `cracked_password` 字段为否，说明此前没有通过已知密码库或字典命中——**不应再投入资源重复跑同一套已知密码集**。
- **余额评估**：已确认业务标注为“小额”，若后续目标是“是否值得继续”，应直接基于此结论做成本收益判断，而非重新评估余额。