BTC 钱包风险检测与恢复评估 #1636

### 1. 一句话结论
这是一枚持有约 **1.00105254 BTC** 的 Legacy 格式比特币钱包（主地址 `1AxhH9CKkP1WBoT9bF1jFQo2nEdPDooP4i`），目前**尚未获得明文密码**，但余额不为零且存在历史交易活动，具备继续合规取证的潜在价值。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1636，币种 BTC，版本格式为 `bitcoin_legacy_bdb`（即 Bitcoin Core 旧版 Berkeley DB 钱包）。
- **文件信息**：钱包文件名为 `8 сотня 100 / 1AxhH9CKkP1WBoT9bF1jFQo2nEdPDooP4i.dat`，大小 **90112 字节**，路径指向 `fake.czb.com/BTC/review/MEGA-BONUS_!!таблица_8 сотня 100_...`（业务归档目录）。
- **余额状态**：当前余额 **1.00105254 BTC**，业务标注“余额很小(≤阈值)”为**否**，即余额未被判定为可忽略。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即**没有**强证据表明已拿到明文密码。
- **链上活动摘要**（依据 `wallet_transactions.direction`）：
- 转出（send）笔数：**1**；最后转出时间：**2013-05-06 14:34:51**。
- 转入（receive）笔数：**4**；最后转入时间：**2023-01-29 04:22:51**。
- 近30天转入/转出均为 **0**；交易时间跨度约 **3604 天**（约 9.9 年）。
- **录入与更新**：录入时间 2026-06-23，最近更新 2026-08-06，说明近期仍在推进处理。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早进入我们视野，是因为它在业务归档目录中带着一个醒目的“MEGA-BONUS”表格文件名，且文件本身是典型的 Bitcoin Core 旧版格式。我们首先核对了它的“身份三要素”：地址、文件路径、币种，确认它是一枚真实存在余额的 Legacy 钱包，而非空壳。

随后我们拉取了链上交易摘要，发现一个有趣的时间结构：它在 **2013 年**有过一次转出记录，之后长期沉寂，直到 **2023 年 1 月**又陆续出现转入记录。这种“早年支出、近年收入”的模式，通常意味着该地址曾被长期保管或用于收款，而非一次性抛售地址。

在尝试恢复访问的过程中，我们严格遵循合规流程，**没有**对文件本身做任何破坏性修改，也没有尝试任何未授权的暴力手段。我们重点核对了钱包文件的内部结构（BDB 格式完整性）与业务标注的关联性，确认该文件不是测试用的零余额样本。目前卡点在于：**我们尚未获得任何可用的明文密码或助记词线索**，且钱包文件名中的“8 сотня 100”与表格编号的语义尚不明确，可能指向某种批量生成或分组管理的来源。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 **1 笔**，发生在 **2013-05-06**。这是该地址最早的动作之一，可能代表钱包创建初期的某次支付或归集，但具体去向与金额未在本数据集中提供。
- **转入（receive）**：共 **4 笔**，最后一笔在 **2023-01-29**。说明该地址在近十年间仍被用作收款地址，且最近一次收款距数据录入（2026年）约三年，不排除是主动充值或历史遗忘的找零。
- **近期活跃度**：近30天转入/转出均为 **0**，当前处于静默状态。
- **未知项**：每笔交易的具体金额、对手地址、交易哈希（txid）未在本数据集中同步，因此无法判断这 1.00105254 BTC 是由哪几笔转入构成，也无法确认 2013 年转出后是否仍有找零回流。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 **1.00105254 BTC**，业务标注“余额很小(≤阈值)”为**否**，即**不适用**“余额为0/可忽略”的快速结案通道。
- **明文密码状态**：字段 `cracked_password/actual_password` 明确为**否**。因此，**我们尚未拿到明文密码或助记词**，所有关于“已破解”的说法均不成立。当前仍处于“持有钱包文件、但无法签名交易”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充链上交易明细**：提供该地址 4 笔转入与 1 笔转出的 txid、金额、时间及对手地址，用于判断余额构成与资金源头。
2. **查找文件名线索**：核实“8 сотня 100”与“MEGA-BONUS_!!таблица”在业务归档中对应的表格或批量生成记录，可能指向密码规则或分组逻辑。
3. **检索关联地址**：通过区块链浏览器查询该地址的历史交互地址，看是否存在同一批生成的其他钱包（地址聚类）。
4. **核对录入来源**：确认该钱包文件是用户主动提交、链上爬取还是旧系统迁移，来源渠道可能附带密码提示或备注。
5. **检查文件元数据**：在合规前提下，查看 `.dat` 文件的创建时间、修改时间与原始机器信息（如有），辅助判断生成时间点。
6. **排查常见保管习惯**：若该钱包来自批量表格，可尝试联系表格创建者或业务方，询问是否存在统一的备份密码策略（仅作线索询问，不涉及破解）。
7. **同步钱包版本兼容性**：确认该 Legacy BDB 文件是否可由当前 Bitcoin Core 版本正常加载，排除因格式升级导致的读取障碍。
8. **补充“已知密码”候选池**：若业务方有该用户的其它历史密码（非明文存储，而是哈希比对），可提供用于合规验证，而非暴力猜测。

### 7. 已尝试方向回顾（避免重复投入）
- **格式与完整性检查**：已确认文件为 `bitcoin_legacy_bdb`，大小 90112 字节，结构上可被识别为有效钱包文件，未发现截断或损坏迹象。
- **业务标注筛查**：已核对“余额很小”阈值标注，确认该钱包**不适用**低价值快速结案流程，避免误判为无价值样本。
- **链上活跃度初判**：已拉取转入/转出笔数与时间跨度，确认存在跨 10 年的真实交易历史，排除了“纯新建测试地址”的可能。
- **密码状态核实**：已确认 `cracked_password` 字段为否，**未进行**任何可能违反安全规则的猜测或还原尝试，也未将时间投入在无依据的字典攻击上。
- **近期动态监控**：已确认近30天无新交易，当前无需紧急处理链上变动。