BTC 钱包风险检测与恢复评估 #1231

### 1. 一句话结论

这是一个持有 **105.11 BTC**（按当前币价价值不菲）的 **Bitcoin Core 旧版（legacy/BDB）格式** 钱包文件；目前 **尚未获得明文密码**，且链上交易记录 **未同步**，因此无法判断最后活动时间或资金流向。

---

### 2. 我们掌握的事实（证据链）

- **钱包标识**：钱包 ID `1231`，主地址 `19MC9XykdM1JzqSW9Zj5FwJRrq3Un62Nbe`（BTC 网络）。
- **资产规模**：余额 `105.11037687 BTC`，业务标注为“非小额”（即未触发 ≤ 阈值标记）。
- **文件格式**：`bitcoin_legacy_bdb`，即 Bitcoin Core 旧版钱包（Berkeley DB 环境），文件名为 `wallet_105,11.dat`。
- **文件物理信息**：大小 `630784` 字节（约 616 KB），存放于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/...` 路径下，属于批量数据集 `MEGA-BONUS_BITCOIN CORE WALLETS - 250_...` 中的一个。
- **时间线**：录入时间 `2026-06-23 00:41:31`，数据标注时间 `2026-06-23 00:57:33`，最近一次更新 `2026-08-06 11:44:29`。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**（强证据缺失）。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

6 月 23 日凌晨，我们接手了这份名为 `wallet_105,11.dat` 的钱包文件。它来自一个包含 250 个 Bitcoin Core 钱包的批量数据集，文件名中的“105,11BTC”暗示其预期余额与 105.11 BTC 吻合——这一初步判断在后续读取余额时得到确认。

我们首先对文件本身做了静态核验：确认它是 **legacy BDB 格式**，而非较新的 descriptor 钱包。这意味着它的密钥派生与加密结构遵循旧版规范。文件大小约 630 KB，属于正常范围，没有截断或损坏迹象。

随后我们尝试读取钱包内的地址与余额信息，成功获取了主地址 `19MC9...` 及 105.11 BTC 的余额。但当我们尝试验证密码状态时，系统返回“已知密码存在 = 否”——即我们 **尚未获得任何可用的明文密码或助记词**。

在链上数据方面，我们尝试拉取该地址的交易历史，但页面显示“未同步”。这意味着我们目前无法确认这笔 105 BTC 是长期沉睡，还是近期有变动——这是一个关键的信息盲区。

截至 8 月 6 日最后一次更新，我们仍停留在“持有资产但无法解锁”的阶段。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活跃时间**：无法判断（缺少同步数据）。
- **特别说明**：余额 105.11 BTC 是钱包文件内记录的数值，但该数值是否与链上实际 UTXO 一致，需待交易同步后才能交叉验证。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注“余额很小”**：否。该钱包余额 105.11 BTC，远高于小额阈值，属于高价值目标。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，表示当前没有任何已验证的密码或助记词可用于解锁钱包。
- **当前状态**：文件已成功读取（地址、余额可见），但 **钱包加密层尚未解锁**，无法导出私钥或签名交易。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **同步链上交易**：优先在页面点击“同步交易”，获取该地址的历史转入/转出记录，确认 105 BTC 是否仍在该地址名下。
2. **检查数据集附带元数据**：该文件来自 `MEGA-BONUS...250_wallet` 批量包，查找同批次其他钱包是否附带密码表、备注文件或 README。
3. **核验文件名语义**：文件名中的 `105,11BTC` 与余额一致，确认是否存在对应的“密码提示文件”命名规律（如 `wallet_105,11_password.txt`）。
4. **检查钱包文件内嵌元数据**：通过合规工具读取 BDB 钱包的 `mkey` 加密参数（仅用于确认加密算法与迭代次数，不涉及破解）。
5. **寻找历史备份**：在原始数据源目录中搜索同名或近似名文件的 `.bak`、`.old` 副本，旧版备份可能未加密。
6. **确认钱包创建时间**：若文件系统时间戳（如录入时间 2026-06-23）接近创建时间，可缩小密码设置时期的上下文范围（如当时常见密码习惯）。
7. **补充“已知密码候选”材料**：若业务方能提供该钱包来源方的任何密码线索（如初始设置文档、交接记录），可显著推进验证。
8. **交叉验证其他 249 个钱包**：若同批次中已有钱包被成功解锁，其密码规律或来源信息可能具有参考价值。

---

### 7. 已尝试方向回顾（避免重复投入）

- **静态文件解析**：已完成，确认格式为 legacy BDB，地址与余额可读。
- **密码状态验证**：已尝试读取“已知密码”字段，结果为否——说明当前没有现成密码可验证。
- **链上数据拉取**：已尝试但未成功（显示未同步），需重新触发同步流程。
- **未尝试方向**：未进行任何暴力破解或字典攻击（合规限制），也未尝试从文件内部提取密钥（因加密层未解锁，技术上不可行）。
- **建议避免**：不要重复扫描文件格式或反复读取余额；重点应转向外部线索（元数据、同批次文件、来源方信息）。