BTC 钱包风险检测与恢复评估 #1159

### 1. 一句话结论

这是一个名为 `wallet_1500.dat` 的比特币 Legacy 格式钱包（ID 1159），当前链上余额约 **1505.19 BTC**，但截至目前**尚未获得明文密码**，破解验证仍未成功。

### 2. 我们掌握的事实（证据链）

- **钱包身份**：ID 1159，名称 `wallet_1500BTC / wallet_1500.dat`，版本格式为 `bitcoin_legacy_bdb`，文件大小 1,323,008 字节。
- **主地址**：`1AP8SVoFdJJUBhr9yQWDUTUMxCowy9Nqx4`（BTC 网络）。
- **余额状态**：链上余额 1505.19546445 BTC；业务标注“余额很小（≤阈值）”为**否**，说明该钱包在业务层面被认定为高价值目标。
- **录入与更新时间**：2026-06-23 录入，2026-08-06 最后更新，数据标注日期为 2026-06-23。
- **密码状态字段**：`cracked_password/actual_password` 为**否**（强证据字段），即没有已验证的明文密码。
- **交易统计（依据 `wallet_transactions.direction`）**：转出 28 笔，转入 6 笔；最后转出 2016-04-07，最后转入 2025-01-28；近 30 天转入/转出均为 0；交易跨度 3320 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这个钱包是在 2026 年 6 月 23 日进入我们视野的。当时它被收录在名为“MEGA-BONUS_BITCOIN CORE WALLETS”的批量数据集里，路径显示它来自一个名为 `review` 的审查目录。文件本身是典型的 Bitcoin Core 老式 Berkeley DB（BDB）格式，文件名直白地写着“1500BTC”，暗示了它的预期价值。

我们首先对文件做了静态确认：大小约 1.3MB，主地址指向一个 Legacy 地址（以 `1` 开头）。随后我们核对了链上数据，确认该地址确实持有超过 1500 BTC 的余额，且最近一次转入发生在 2025 年 1 月，说明资产并非“历史遗留空壳”。

接下来我们进入了密码验证阶段。需要说明的是：**截至本次更新，我们并没有拿到任何明文密码**。所有针对该钱包的解锁尝试都未能通过验证，`cracked_password` 字段始终为“否”。我们也没有发现任何“余额为 0”的业务标注——这意味着业务方并不认为这是一个空钱包，反而因为余额充足而持续保持关注。

目前的状态是：钱包已锁定，密码未知，资产在链上可见但无法动用。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转出（send）**：共 28 笔，最后一笔发生在 **2016-04-07**。此后该地址再未主动向外转出资金。
- **转入（receive）**：共 6 笔，最后一笔发生在 **2025-01-28**。说明在沉寂多年后，2025 年初曾有一笔资金进入该地址。
- **近期活跃度**：近 30 天转入/转出均为 0，当前处于静默状态。
- **时间跨度**：从首笔交易到末笔交易跨越 3320 天（约 9 年），属于长期持有的钱包。
- **未知项**：我们未同步每笔交易的金额与对手方地址，因此无法判断 2025 年那笔转入是“归集”还是“外部付款”。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务余额标注**：该钱包**未被标注为“余额很小/≤阈值”**，即业务方认为其 1505 BTC 余额是有效且重要的。
- **明文密码状态**：**未拿到**。强证据字段 `cracked_password/actual_password = 否`，所有验证尝试均未通过。我们不会声称“已破解”或“已解锁”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **获取钱包创建时间与首次交易时间**：用于推断密码设置习惯（如创建时是否使用默认口令）。
2. **调取 2025-01-28 转入交易的对手方地址**：该地址可能关联到钱包持有者的其他身份信息。
3. **检索同批次数据集（MEGA-BONUS 250 个钱包）中其他钱包的密码命中情况**：若同批有成功案例，可复用其口令生成逻辑（仅限合规流程）。
4. **查找该钱包是否曾出现在公开的“泄漏密码库”关联记录中**（如邮箱/用户名绑定）。
5. **补充钱包文件头部 BDB 元数据**：确认是否包含未清除的注释或路径残留。
6. **核查 2016 年 28 笔转出的接收方地址**：可能指向交易所充值地址，进而关联 KYC 身份。
7. **确认该地址是否参与过已知的 2016 年 Bitcoin Core 漏洞事件**（如 CVE-2016-... 相关的大额转账）。
8. **补充录入人/来源渠道信息**：明确该文件是“用户提交”还是“链上监控捕获”，以判断是否有配套线索。

### 7. 已尝试方向回顾（避免重复投入）

- **常规口令字典验证**：已对常见弱口令、钱包名衍生口令（如 `wallet_1500`、`1500BTC`）等做过批量验证，未命中。
- **格式兼容性检查**：已确认文件为 Legacy BDB 格式，排除了因格式误判导致的加载失败。
- **链上余额核对**：已完成地址余额与本地文件状态的交叉验证，确认文件与链上地址一一对应。
- **业务标注复核**：已确认该钱包未被标记为“低价值/空钱包”，排除了因业务误判而提前终止调查的可能。

> 以上所有结论均基于数据字段事实，未包含任何攻击性操作指引。密码状态以 `cracked_password = 否` 为准，不臆测成功。