BTC 钱包风险检测与恢复评估 #1807

### 1. 一句话结论

这是一枚持有 **12.82192064 BTC** 的 Legacy 格式比特币钱包（钱包ID: 1807），链上活动显示“长期休眠、近期有单笔大额转入”的特征；目前**尚未获得明文密码**，且业务层面**未标注为“余额很小”**，因此仍属于高价值目标，但破解工作仍处于“进行中、未成功”阶段。

---

### 2. 我们掌握的事实（证据链）

- **钱包身份**：钱包ID `1807`，币种 BTC，主地址 `19tLSCZWhX5YBVy6uX2kLheNjdUb9RBojS`。
- **余额与业务标注**：余额 `12.82192064 BTC`；业务标注“余额很小(≤阈值)”为 **否**，即业务方认为该钱包余额**不低**。
- **密码状态**：字段 `cracked_password / actual_password` 为 **否**（强证据），即**没有已知明文密码**。
- **文件格式**：`bitcoin_legacy_bdb`，文件名 `WALLET12.82BTC-19tLSCZWhX5YBVy6uX2kLheNjdUb9RBojS.dat`，文件大小 `131072` 字节（128KB，符合早期 Bitcoin Core 钱包特征）。
- **录入与更新时间**：录入 `2026-06-23 00:58:17`，更新 `2026-08-06 05:14:59`，说明在约 44 天内该钱包被持续跟进。
- **链上交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）笔数：**1** 笔，最后转出时间 `2012-04-13`。
- 转入（receive）笔数：**49** 笔，最后转入时间 `2021-08-25`。
- 近 30 天转出/转入均为 **0**。
- 交易时间跨度：**3421 天**（约 9.4 年）。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这枚钱包在 2026 年 6 月 23 日被录入系统。从文件名看，它被标注为“MEGA-BONUS / WALLET12.82BTC”，说明最初线索可能来自某个批量导入的旧钱包数据集（路径中包含 `review` 目录，疑似人工复核队列）。

我们首先确认了文件格式为 `bitcoin_legacy_bdb`——这是 2010 年代早期 Bitcoin Core 的默认格式，意味着它的密钥派生方式较老，结构相对简单。文件大小 128KB，与早期仅含少量地址的钱包文件吻合。

接着我们拉取了链上交易记录。数据显示：该地址在 2012 年有过 1 笔转出，之后转入笔数逐渐累积到 49 笔，最后一笔发生在 2021 年 8 月。这说明钱包在 2012 年后基本处于“只进不出”的状态，直到 2021 年还有资金进入。

在尝试访问钱包文件的过程中，我们遇到了密码保护。截至目前，字段 `cracked_password` 仍为“否”，意味着我们**没有拿到任何可用的明文密码或助记词**。所有针对该文件的验证尝试均未成功，但余额不为零且业务未标记为“小额”，因此该钱包仍保留在活跃任务列表中，等待更多线索。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入（receive）**：共 **49** 笔，最后一笔发生在 `2021-08-25 19:24:49`。近 30 天转入为 0。说明该地址在 2021 年 8 月之后就没有新的收入。
- **转出（send）**：共 **1** 笔，发生在 `2012-04-13 09:28:15`。近 30 天转出为 0。说明自 2012 年 4 月之后，该地址从未主动支出过任何资金。
- **交易时间跨度**：3421 天，意味着从第一笔交易到最后一笔交易跨越约 9.4 年，属于典型的“长期持有、极少动用”的地址。
- **当前余额构成**：基于以上数据，当前 `12.82192064 BTC` 余额应主要来自 2012 年之后累计的 49 笔转入，且因 2012 年后无转出，余额未被消耗。**注意**：我们未同步每笔转入的具体金额，因此无法精确还原余额的逐笔构成，如需可补充交易明细。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注“余额很小”**：该字段为 **否**。即业务方认为 `12.82 BTC` 并不属于“小额/低价值”范畴，不应因余额低而放弃或降级处理。
- **是否拿到明文密码**：**否**。字段 `cracked_password / actual_password` 明确为“否”，表示当前**没有已验证的密码、助记词或私钥**。所有关于“已破解”的说法均不属实。
- **当前状态**：钱包文件已获取并格式识别成功，但访问被密码保护阻断，破解工作仍在进行中，尚未成功。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **找回与钱包名相关的历史文档**：文件名含 `MEGA-BONUS`，建议在原始数据源（如旧硬盘、邮件附件、论坛备份）中搜索该关键词，可能关联到密码提示或助记词备份。
2. **补充 49 笔转入的完整交易列表**（含金额与时间），用于交叉验证余额构成，排除“部分资金已转出但未统计”的可能性。
3. **查找 2012 年那笔转出的目标地址**：若能获取该地址的关联钱包或交易备注，可能反推出原钱包主人的身份或常用密码习惯。
4. **检查钱包文件创建时间与系统元数据**：文件路径中 `datasets/fake.czb.com` 暗示可能来自测试/镜像环境，建议核对源机器是否有残留的 wallet 备份或日志。
5. **搜索同一路径下其他钱包文件**：路径中 `MEGA-BONUS` 可能是系列命名，若存在同系列钱包，可能共用密码或密码规则。
6. **调取录入人/上传者信息**：钱包录入时间为 2026-06-23，可询问录入人员该文件的来源渠道（如用户提交、暗网购买、旧设备恢复）。
7. **检查 2021-08-25 最后一笔转入的关联交易**：该笔转入距离现在最近，可能来自交易所或已知地址，通过链上分析可能定位到钱包持有者的其他身份线索。
8. **确认是否存在旧版钱包备份文件**（如 `.dat` 的早期副本或 `wallet.dat` 的自动备份），旧备份可能未加密或使用较弱密码。

---

### 7. 已尝试方向回顾（避免重复投入）

- **格式识别与基础解析**：已确认文件为 `bitcoin_legacy_bdb`，大小 128KB，结构正常，无截断或损坏迹象。
- **链上交易统计**：已完成转入/转出笔数与时间统计，确认 2012 年后无支出行为。
- **密码验证尝试**：已对候选密码进行过一轮验证（具体候选来源与数量不展开），结果均为失败，`cracked_password` 字段仍为“否”。
- **业务标注核查**：已确认该钱包未被标记为“余额很小”，排除因低价值而被搁置的可能。
- **未尝试方向**：尚未进行文件系统层面的历史备份搜索，也未对同路径下其他钱包文件进行关联分析——这两块可作为下一步重点，避免重复跑已有密码规则。