BTC 钱包风险检测与恢复评估 #1179

### 1. 一句话结论
这是一枚创建于2012年、包含约1.839 BTC的比特币Legacy格式钱包文件，目前尚未获得明文密码，且业务层面也未将其标记为“低价值/可忽略”钱包，仍处于待深入取证阶段。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1179，主地址 `18jXjhpdiwF6R5YkPyUZMNSkxHRXEajYEq`，币种BTC。
- **文件信息**：格式为 `bitcoin_legacy_bdb`，文件名与主地址同名（`.dat`），文件大小90,112字节，录入于2026-06-23，最后更新于2026-08-08。
- **余额状态**：当前余额1.83949995 BTC；业务标注“余额很小(≤阈值)”为**否**，说明该钱包在业务上仍被视为有保留价值。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即截至目前**没有**任何已确认的明文密码或助记词证据。
- **链上活动**：依据 `wallet_transactions.direction` 统计，该地址共有3笔交易——2笔转入、1笔转出；最后转出时间为2012-10-20，最后转入时间为2012-10-24；交易时间跨度仅77天，且近30天（相对数据标注日）无任何动静。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在2026年6月23日被纳入取证视野。我们拿到的是一个标准的Bitcoin Core Legacy钱包文件（BDB格式），文件命名直接对应其主地址，说明它很可能来自某次批量导出或旧备份整理。

第一步，我们对文件本身做了静态体检：确认格式、大小、路径归属，并核对了钱包内记录的主地址与链上公开数据是否一致。结果吻合，余额约1.839 BTC，且这笔钱自2012年10月下旬之后就没有再移动过——一个典型的“沉睡老钱包”画像。

第二步，我们同步拉取了该地址的链上交易摘要。数据显示：2012年10月20日有一笔转出，10月24日又收到一笔转入，之后地址彻底静默。结合钱包文件最后修改时间远晚于链上活动时间，我们判断这个 `.dat` 文件大概率是后来从旧机器或旧备份中复制出来的副本。

第三步，针对密码问题，我们核查了内部记录中是否存在历史遗留的密码线索（如备注、关联文件、已知密码库匹配）。结论是：`cracked_password=否`，即目前没有任何强证据表明我们已拿到密码。所有关于“能否打开钱包”的结论，都只能停留在“尚未验证”状态。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共2笔。最后一笔发生在2012-10-24 22:33:01。近30天转入笔数为0。
- **转出（send）**：共1笔。最后一笔发生在2012-10-20 00:38:22。近30天转出笔数为0。
- **解读**：该地址在2012年10月20日先转出了一笔，随后在10月24日又收到一笔转入，之后再无任何链上动作。由于我们只有笔数和时间，没有单笔金额明细，**无法判断**转出是“全部清空”还是“部分支付”，也无法判断转入是否为“找零回流”或“他人付款”。若需进一步区分，需要补充 `wallet_transactions` 表中每笔交易的 `amount` 与 `txid` 字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注层面**：该钱包余额为1.83949995 BTC，业务字段“余额很小(≤阈值)”为**否**。这意味着系统并未因“余额太低”而降低其优先级，它仍是一个需要认真对待的取证目标。
- **密码获取层面**：字段 `cracked_password/actual_password` 明确为**否**。因此，我们必须如实说明：**尚未获得明文密码，也未验证任何候选密码的正确性**。任何关于“已破解”的说法都是不成立的。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充链上交易明细**：调取该地址2笔转入、1笔转出的 `txid`、`amount`、对手地址，用于判断资金流向与是否涉及找零。
2. **检索原始来源目录**：路径中出现的 `MEGA-BONUS_57 файлов BTC LTC DOGE` 暗示该文件可能来自某个批量分享包，建议检索同批次的其余56个文件，看是否存在密码提示或关联钱包。
3. **核查2012年10月前后的历史备份介质**：寻找该 `.dat` 文件更早期的副本，比对文件哈希，确认是否有未加密或旧版本备份。
4. **排查录入时的关联备注**：在录入系统（2026-06-23 00:40:53）前后，是否有操作员添加过备注、工单或聊天记录提及该钱包来源。
5. **检查同目录其他文件**：`unknown` 文件夹下是否还有同名不同后缀的文件（如 `.txt`、`.key`、`.csv`），可能包含密码提示。
6. **分析BDB文件内部元数据**：在不尝试破解密码的前提下，读取钱包数据库中的非加密字段（如密钥创建时间、是否包含HD种子提示），辅助判断生成工具。
7. **查询该地址在2012年的历史上下文**：通过公开区块链浏览器查看该地址首笔交易的时间与来源交易所/矿池，推测钱包生成场景。
8. **复核业务标注阈值**：确认“余额很小”的判定阈值是多少，以及1.839 BTC在当前币价下的价值是否已触发重新评估。

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件体检**：已完成格式识别（bitcoin_legacy_bdb）、大小记录、路径溯源，确认文件完整。
- **链上行为分析**：已拉取交易笔数、方向、时间跨度，确认该地址自2012年后长期沉睡。
- **内部密码库匹配**：已核查现有已知密码/提示库，结论为无匹配（`cracked_password=否`）。
- **业务价值初筛**：已确认该钱包未被标记为“低价值忽略”，说明业务上仍值得投入。
- **未尝试方向**：尚未对同批次文件进行横向比对，也未补充链上交易明细字段——这两项是当前最明确的证据缺口。