BTC 钱包风险检测与恢复评估 #212

### 1. 一句话结论
这是一枚**BTC 老钱包（Legacy/BDB格式）**，当前链上余额仅约 0.00004143 BTC（业务侧已标注“余额很小”），**尚未获得明文密码**，且从交易结构看更像一个历史接收地址而非活跃支出账户。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 212，主地址 `1EdrQwSXQYFKZKim3fX7jKTiR5gmjsjT64`，名称 `wallet_131,63BTC`，文件大小 131,072 字节。
- **格式与结构**：`bitcoin_legacy_bdb`，路径位于 `.../MEGA-BONUS_BITCOIN CORE WALLETS - 250_...` 目录下，**包含主密钥（MKey）**，说明文件结构完整、可被解析。
- **时间线**：录入 2026-05-17，数据标注 2026-06-23，最后更新 2026-08-06；最后转入发生在 **2026-05-23 06:00:03**。
- **交易统计**：转入 25 笔、转出 0 笔；近 30 天转入/转出均为 0；交易时间跨度 2532 天（约 6.9 年）。
- **密码状态**：`cracked_password/actual_password = 否`，即**没有强证据表明已拿到明文密码**。
- **余额标注**：业务侧标注“余额很小（≤阈值）”，与链上余额 0.00004143 BTC 相符。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最初进入视野，是因为它位于一个名为“MEGA-BONUS”的批量钱包目录中，文件名里的 `131,63BTC` 暗示它可能曾关联一笔不小的历史资金。我们首先确认了文件格式为 Bitcoin Core 老版 BDB 钱包，并成功读取到主密钥（MKey），说明文件本身没有损坏、加密结构完整。

随后我们拉取了链上交易记录，发现一个非常清晰的特征：**这个地址只进不出**——25 笔转入、0 笔转出，最后活动停留在 2026 年 5 月 23 日。结合 2532 天的跨度，它更像一个“历史收款地址”或“被搁置的存储钱包”，而不是日常使用的热钱包。

在密码层面，我们目前的状态是：**尚未验证通过任何明文密码**。业务系统里也没有记录任何“已知密码”的强证据。换句话说，我们手里有一把结构完整的锁，但还没有配到对的钥匙。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **25 笔**，最后一笔发生在 2026-05-23 06:00:03。近 30 天转入为 0。
- **转出（send）**：共 **0 笔**。近 30 天转出为 0。
- **最后转出时间**：未知（无转出记录）。
- **解读**：该地址历史上只接收、从未转出。当前余额 0.00004143 BTC 全部来自历史转入沉淀。交易时间跨度 2532 天，说明这是一枚长期未动用的老地址。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：这是基于链上余额 0.00004143 BTC 与业务阈值比较后得出的结论，**仅代表资金量级小**，不代表钱包无价值或已处理完毕。
- **是否拿到明文密码**：**否**。数据字段 `cracked_password/actual_password` 明确为“否”，因此我们**尚未获得明文密码**，也没有任何验证成功的记录。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充该地址的历史大额转入来源**：25 笔转入中是否有来自交易所或已知大额钱包的记录，可帮助判断资金性质。
2. **查找同名目录下的其他钱包文件**：路径中 `250_wallet_...` 暗示存在批量钱包，对比同批文件可确认该钱包是否只是“零头钱包”。
3. **核实文件名中 `131,63BTC` 的出处**：该数字是否对应某笔历史交易或旧版钱包标签，可能指向原始资金来源。
4. **补充钱包文件的创建时间或首次使用时间**：目前只有录入时间，缺少文件生成时间，无法判断钱包“年龄”。
5. **检查该地址是否出现在任何公开的“休眠地址”或“大额转账”榜单中**：用于交叉验证历史价值。
6. **获取该钱包的 BDB 内部元数据（如密钥创建时间戳）**：可辅助判断密码设置年代，缩小范围（仅作线索，不涉及攻击细节）。
7. **确认业务侧“余额很小”阈值的具体数值**：避免后续误判该钱包已无跟踪必要。
8. **补充该钱包是否关联任何案件/工单编号**：明确本次取证的业务目的，避免方向发散。

### 7. 已尝试方向回顾（避免重复投入）
- **文件完整性验证**：已确认文件可解析、包含主密钥（MKey），无需重复做格式修复或结构检查。
- **链上交易梳理**：已完成转入/转出统计，确认 0 转出、25 转入，无需再次拉取全量交易。
- **密码验证状态**：已确认当前无任何“已知密码”强证据，**不应在未补充新线索前重复执行相同验证流程**。
- **余额评估**：已确认链上余额极小且业务侧已标注，无需再次对余额做重复核验。
- **下一步应聚焦**：外部线索补充（来源地址、同批文件、历史标签），而非在现有文件上反复尝试。