BTC 钱包风险检测与恢复评估 #1068

### 1. 一句话结论
这是一枚持有约 **129.66 BTC** 的 Legacy 格式比特币钱包（主地址 `1AamCcS7oXPZYvYw7dwcZxjxJkPSxZ94vm`），目前**尚未获得明文密码**，但链上显示它在 2026 年 5 月仍有转入记录，属于“有持续活动但近期静默”的高价值目标。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：文件 `1AamCcS7oXPZYvYw7dwcZxjxJkPSxZ94vm.dat`，大小 180,224 字节，格式标注为 `bitcoin_legacy_bdb`（即经典 Bitcoin Core 钱包数据库）。
- **资产规模**：当前余额 **129.66230113 BTC**，业务标注“余额很小”为 **否**（即不适用小额快速处置通道）。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**，即**没有**任何已确认的明文密码或助记词证据。
- **录入与更新**：录入时间 2026-06-23，最近一次数据刷新 2026-08-06，数据标注日期与录入时间几乎同步（相差约 18 分钟），说明初始采集时已做过一次快照。
- **链上活动**：来自 `wallet_transactions.direction` 统计——转出 **1 笔**，转入 **49 笔**；最后转出停在 **2014-01-10**，最后转入在 **2026-05-22**；近 30 天转入/转出均为 **0**。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 2026 年 6 月 23 日被纳入数据集，当时我们拿到的是一个来自“MEGA-BONUS”资料包的 `.dat` 文件。第一步是确认格式与版本——它被识别为 `bitcoin_legacy_bdb`，说明是早年 Bitcoin Core 使用的 Berkeley DB 结构，这类文件通常对应 2010–2015 年间的钱包创建习惯。

随后我们比对了链上记录：发现它的转出行为极少（仅 1 笔，发生在 2014 年初），而转入多达 49 笔，且最后一笔转入发生在 2026 年 5 月 22 日——这很不寻常，意味着这个地址在“休眠”多年后，近期又被注入了资金。我们据此推测它可能被重新启用，或持有人正在归集资产。

在尝试访问钱包内容时，我们严格遵循了合规流程：只对文件本身做格式与结构分析，不涉及任何暴力猜测。目前所有证据都指向同一个结论：**文件完整、余额真实，但口令未知**。我们没有发现任何“已破解”标记，因此只能如实记录为“待解锁”状态。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 **1 笔**，时间 **2014-01-10 02:40:42**。这是该地址历史上唯一一次主动支出，距今超过 12 年。
- **转入（receive）**：共 **49 笔**，最后一笔发生在 **2026-05-22 11:29:47**。说明该地址在 2026 年 5 月仍收到过资金。
- **近期活跃度**：近 30 天转入与转出均为 **0**，即当前处于静默期。
- **时间跨度**：从首笔交易到末笔转入跨越 **4519 天**（约 12.4 年），属于典型的“长期持有+偶尔归集”模式。
- **未同步数据**：除上述统计外，暂无逐笔金额、对手地址等明细；如需分析资金来源与去向，需补充 `wallet_transactions` 的完整字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即系统**没有**因为余额低而将其标记为“可放弃”或“低优先级”。129.66 BTC 在当前估值下属于高价值资产，业务上应继续跟进。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 为否，意味着我们**没有**任何已确认的密码、助记词或私钥明文。所有关于“已解锁”的说法均不成立。
- **重要区分**：余额不为 0 ≠ 密码已知；反之，即使余额为 0 也可能密码已丢失。当前状态是——**有钱，但锁着**。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取钱包创建时间或首次交易时间**：用于推测密码设置习惯（如年份+特殊字符），但仅作背景参考，不用于攻击。
2. **补充 49 笔转入的完整明细**（时间、金额、对手地址）：判断资金来源是否为同一人归集，或来自交易所提现。
3. **查找同批次“MEGA-BONUS”资料包内其他钱包文件**：若同包存在已解锁钱包，可能共享密码习惯或备份线索。
4. **检查文件元数据**（如 `mtime`、修改历史）：确认是否为原始备份，还是被复制/转换过。
5. **寻找钱包所有者的公开身份线索**：通过主地址在区块链浏览器上的标签、论坛帖子或旧交易备注。
6. **核对 2014 年那笔转出的去向**：若转至交易所，可能关联到实名账户，从而间接联系持有人。
7. **确认 2026 年 5 月转入的触发事件**：是否与某次币价高点、钱包整理工具或旧备份恢复有关。
8. **补充钱包密钥池范围**（如地址数量、是否含 HD 种子）：用于判断是单地址老钱包还是多地址归集钱包。

### 7. 已尝试方向回顾（避免重复投入）
- **格式与版本识别**：已完成，确认为 `bitcoin_legacy_bdb`，排除了现代 HD 钱包或 Electrum 格式的可能。
- **余额与业务优先级判定**：已完成，确认余额充足，不属于“小额放弃”范畴。
- **链上活动模式分析**：已完成，确认“1 出 49 入”且近期有转入，排除了“长期死钱包”假设。
- **密码存在性验证**：已检查证据字段，确认**无任何已破解密码记录**，因此不应再假设“密码可能已泄露”或“之前有人试出过”。
- **未尝试方向**：未进行任何针对密码的猜测或字典操作（合规限制），也未对文件做破坏性修改。后续若需推进，应优先从线索补充入手，而非重复扫描同一文件。