BTC 钱包风险检测与恢复评估 #969

### 1. 一句话结论

这是一个**余额已归零、且尚未获得明文密码**的比特币 Legacy 钱包（钱包ID: 969），其链上活动集中在 2014 年至 2023 年之间，最后一次转出发生在 2023 年 1 月，此后钱包进入静默状态，当前无任何可动用资金。

### 2. 我们掌握的事实（证据链）

- **钱包基础信息**：BTC 币种，格式为 `bitcoin_legacy_bdb`，主地址 `1Ea2zY7BZtLKmcT83QXscXcBudWATcSf7v`，文件大小 73,728 字节。
- **余额状态**：当前余额为 `0.00000000` BTC，且业务侧已标注“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password / actual_password` 显示为“否”，即**没有强证据表明已拿到明文密码**。
- **交易统计（依据 `wallet_transactions.direction`）**：
- 转出（send）笔数：2 笔；最后转出时间：2023-01-20 04:52:05。
- 转入（receive）笔数：2 笔；最后转入时间：2014-09-23 05:05:38。
- 近 30 天转出/转入均为 0 笔。
- 交易时间跨度：3271 天（约 8.96 年）。
- **数据录入与更新**：录入时间 2026-06-23，最近一次更新 2026-08-06，数据标注日期为录入当天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这个钱包最初进入我们视野，是因为它出现在一批名为“MEGA-BONUS_57 файлов BTC LTC DOGE”的历史数据集目录中。从路径看，它属于某个站点的 BTC 真实钱包备份文件，文件名为地址加哈希后缀，说明是经过整理归档的取证样本。

我们首先对文件本身做了格式识别，确认它是 `bitcoin_legacy_bdb`（即早期 Bitcoin Core 使用的 Berkeley DB 钱包格式）。这类钱包的密钥管理方式与新版不同，因此我们按 Legacy 路径去核对。

接着我们拉取了该地址的链上交易摘要。数据显示：该钱包在 2014 年 9 月有过最后一笔转入，之后沉寂多年，直到 2023 年 1 月出现两笔转出。转出后余额归零，与当前链上余额 `0.00000000` 完全吻合。这说明**资金并非丢失，而是被主动转走**。

在密码层面，我们检查了是否存在已确认的明文密码或助记词记录，结果字段为“否”。这意味着我们目前**没有可用于解锁钱包的凭据**，所有关于“能否打开钱包”的结论都只能停留在“未验证”状态。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入（receive）**：共 2 笔，最后一笔发生在 **2014-09-23**。说明该地址在 2014 年接收过资金，此后近 9 年没有再进账。
- **转出（send）**：共 2 笔，最后一笔发生在 **2023-01-20**。说明钱包在 2023 年初被操作过，资金被转出。
- **近期动态**：近 30 天转入与转出均为 0，钱包处于完全静默状态。
- **未同步/未知项**：我们未获取到每笔交易的金额、对手地址及交易哈希明细，因此**无法判断转出是“清仓”还是“归集”**，也无法确认 2014 年转入的资金来源性质（如挖矿、购买或接收赠予）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **余额为 0 的业务标注**：这是基于链上余额与钱包文件扫描结果得出的客观事实，标注为“是”。它只说明**钱包里没有钱**，不代表钱包文件损坏或无法解析。
- **是否拿到明文密码**：**否**。字段 `cracked_password / actual_password` 未提供任何已确认的密码或助记词。因此，我们**尚未获得解锁该钱包的明文凭据**，任何关于“已破解”的说法均不成立。当前状态应表述为：**钱包文件已获取，但访问权限未验证**。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **获取该地址的完整交易明细（含金额、对手地址、交易哈希）**，用于还原 2014 年转入与 2023 年转出的资金流向。
2. **查找 2023-01-20 前后与该钱包交互的关联地址**，判断转出是否为批量归集操作。
3. **核对原始数据集“MEGA-BONUS_57”的目录说明或配套文件**，看是否存在密码提示、备注或同批其他钱包的共性规律。
4. **检查钱包文件内部是否包含未删除的历史地址或找零地址**，可能指向更多关联资产。
5. **确认该钱包是否曾与其他已知钱包共用同一把密钥或派生路径**（需在合规取证框架下进行）。
6. **补充钱包创建时间或首次交易时间**，以判断 2014 年之前的活动是否缺失。
7. **查找该地址是否出现在公开的比特币论坛、交易平台提现记录或捐赠列表中**，以辅助判断所有者身份。
8. **若存在合法授权，可尝试从钱包所有者的其他设备或备份介质中寻找同名 `.dat` 文件的旧版本**。

### 7. 已尝试方向回顾（避免重复投入）

- **格式识别与基础解析**：已确认是 `bitcoin_legacy_bdb` 格式，并完成文件大小、路径、时间戳的登记。无需重复做格式探测。
- **链上余额与交易笔数核对**：已完成，确认余额为 0，转入 2 笔、转出 2 笔。无需再次拉取摘要。
- **密码强证据排查**：已检查是否存在 `cracked_password / actual_password` 字段，结果为否。**不应再假设“密码已存在”**，除非未来有新的数据源补充。
- **近期活跃度检查**：已确认近 30 天无任何交易，钱包处于休眠状态，无需再监控短期动态。

> 下一步重点应放在**交易明细深挖**与**数据集上下文关联**上，而非重复验证已知的余额与格式信息。