BTC 钱包风险检测与恢复评估 #943

### 1. 一句话结论
这是一个 **BTC 老版本钱包（bitcoin_legacy_bdb）**，当前链上余额 **1.9298 BTC**，但**尚未获得明文密码**，且**不属于“余额为0”的业务标注**；目前处于“有余额、无密码、待补充线索”的取证阶段。

---

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID 943，主地址 `1BpehDQS3JHQmH3p8y1PrG6sycJ8S4z677`，币种 BTC。
- **文件信息**：钱包名称为 `..._btc_1BpehDQS3JHQmH3p8y1PrG6sycJ8S4z677.dat`，格式为 `bitcoin_legacy_bdb`，文件大小 **90112 字节**，路径指向 `MEGA-BONUS_57 файлов BTC LTC DOGE` 数据集。
- **余额状态**：当前余额 **1.92980000 BTC**；业务标注“余额很小(≤阈值)”为 **否**，即该余额**未被判定为可忽略的小额**。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有强证据表明已拿到明文密码**。
- **链上活动**（依据 `wallet_transactions.direction`）：
- 转入（receive）3 笔，最后转入时间 **2013-12-30 20:57:30**；
- 转出（send）2 笔，最后转出时间 **2013-12-31 06:10:19**；
- 交易时间跨度仅 **3 天**，近 30 天转入/转出均为 **0**。
- **时间线**：录入时间 2026-06-23，数据标注日期 2026-06-23，最近更新 2026-08-06。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包来自一个名为“MEGA-BONUS_57 файлов”的批量数据集，属于典型的**旧版 Bitcoin Core 钱包文件**（BDB 格式）。我们最初通过文件头与格式识别，确认了它的类型与主地址归属。

从链上数据看，这个地址的活动集中在 **2013 年 12 月末到 2014 年 1 月初**，前后只有 3 天：先有 3 笔转入，随后发生 2 笔转出，之后链上再无动静。也就是说，**这是一笔“短期进出后长期沉睡”的地址**，符合早期钱包被创建、使用后遗忘的典型特征。

当前余额 1.9298 BTC 并非“清零”状态，说明最后一次转出后仍有 BTC 留存。我们尝试对该钱包文件进行密码验证，但截至目前，**没有任何字段能证明密码已被成功还原**——`cracked_password` 仍为“否”。因此，我们只能确认“文件可读、地址有效、余额存在”，但**无法打开钱包进行签名或转账操作**。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **3 笔**，最后一笔发生在 **2013-12-30 20:57:30**。近 30 天转入 **0 笔**。
- **转出（send）**：共 **2 笔**，最后一笔发生在 **2013-12-31 06:10:19**。近 30 天转出 **0 笔**。
- **活动特征**：所有交易集中在 **3 天** 内完成，之后地址长期静默。当前余额 1.9298 BTC 与“最后转出后仍有留存”的事实一致。
- **未同步/未知项**：我们**没有**各笔交易的金额明细、对手地址、手续费等链上详情，因此无法判断这 2 笔转出是“部分支出”还是“找零归集”，也无法还原转入来源。如需进一步解读，需补充 `wallet_transactions` 的完整字段或原始交易哈希。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该钱包的标注为 **否**，即 **1.9298 BTC 未被判定为可忽略的小额**。这意味着从业务角度看，**该余额具有继续跟进的必要**，不属于“空钱包/零钱”直接关闭的场景。
- **是否拿到明文密码**：字段 `cracked_password/actual_password` 为 **否**，即 **尚未获得明文密码**。所有关于“已破解/已打开”的说法均不成立。当前仍处于“有余额但无法动用”的状态。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充完整链上交易明细**：提供该地址 5 笔交易的哈希、金额、对手地址，用于判断转出后余额构成（是否含找零地址）。
2. **查找同数据集内其他钱包文件**：路径中“57 файлов”提示可能还有 56 个同类文件，若其中存在**已破解密码**，可尝试交叉验证是否复用口令。
3. **检索 2013 年该地址相关的公开论坛/水龙头记录**：早期 BTC 地址常与 faucet、挖矿派奖有关，可能从历史帖子中反推口令线索。
4. **检查钱包文件内部元数据**：BDB 格式中可能残留创建时间、密钥派生路径等非敏感信息，辅助判断口令设置习惯。
5. **寻找钱包所有者的历史身份线索**：数据集名称含“MEGA-BONUS”，可排查该名称对应的历史活动、捆绑包来源。
6. **核对录入时间与数据标注时间差**：录入为 2026-06-23 00:37，标注为 00:58，间隔 21 分钟，确认是否有中间处理步骤记录。
7. **补充“已知密码存在”字段的判定依据**：明确该字段为“否”是因为未测试，还是测试未通过，以便决定下一步投入方向。
8. **确认钱包文件是否完整**：文件大小 90112 字节，需校验是否被截断或损坏，避免在无效文件上重复投入。

---

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别与文件校验**：已确认是 `bitcoin_legacy_bdb` 格式，文件大小正常，主地址有效——此方向已完成，无需重复。
- **链上活动梳理**：已确认 3 笔转入、2 笔转出，时间跨度 3 天，近 30 天无活动——此方向已完成。
- **密码状态核验**：已确认 `cracked_password` 为“否”，即当前**没有可用的明文密码**——后续不应假设“已破解”而继续操作。
- **未投入方向**：尚未进行同数据集交叉比对、链上明细深挖、历史来源追溯。这些是下一步的重点，而非重复已有工作。