BTC 钱包风险检测与恢复评估 #1198

### 1. 一句话结论
这是一个持有约 **70.66 BTC** 的 Legacy 格式比特币钱包（ID 1198），目前**尚未获得明文密码**，且链上交易记录**尚未同步**，因此无法对资金流向做任何转入/转出判断。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1198，主地址 `1FeA6XfQ5jmoQnNbQbrk37PyD5qEF1smV1`（BTC）。
- **余额**：`70.65772741 BTC`，业务标注为“余额不小”（未达小额阈值）。
- **格式与版本**：`bitcoin_legacy_bdb`，即 Bitcoin Core 旧版 Berkeley DB 钱包格式。
- **文件信息**：钱包名 `wallet_59,68BTC / wallet_59,68.dat`，文件大小 `122880` 字节，路径指向 `MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_59,68BTC...` 数据集。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有已知明文密码**。
- **交易同步**：链上交易摘要显示“未发现已同步的交易记录”。
- **时间线**：录入 `2026-06-23 00:41:06`，数据标注 `2026-06-23 00:57:31`，最近更新 `2026-08-06 11:11:31`。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统收录了这个名为 `wallet_59,68.dat` 的钱包文件。从命名看，它来自一个包含 250 个钱包的批量数据集，文件名中的“59,68”很可能是内部编号或预期余额标记。文件本身是标准的 Bitcoin Core 旧版 BDB 格式，大小约 120 KB，属于早期客户端常见尺寸。

我们首先确认了钱包主地址与链上余额——地址有效，余额约 70.66 BTC，并非空钱包。随后检查密码状态：当前没有任何“已知密码”字段被标记为真，说明此前尝试均未获得可确认的明文密码。同时，页面上的交易记录尚未同步，意味着我们无法从链上行为反推密码线索（例如最后转出时间或找零地址特征）。

整个推进过程停留在“已锁定目标、已确认资产、但未突破口令”的阶段。没有证据表明存在任何破解成功记录，也没有任何交易活动数据可供交叉验证。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（未同步任何交易数据）。
- **转出记录**：未知（未同步任何交易数据）。
- **最后活动时间**：未知（需先在页面点击“同步交易”获取链上数据）。
- **说明**：当前仅能确认地址持有余额，但该余额是来自历史转入、挖矿、还是其他来源，均无法判断。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 `70.65772741 BTC`，**不满足“余额很小（≤阈值）”的标注**，即业务上认为这是一个值得继续投入的高价值目标。
- **明文密码状态**：字段明确显示 `cracked_password/actual_password = 否`，即**尚未拿到明文密码**，所有关于“已破解”的说法均不成立。
- **重要区分**：余额不为 0 ≠ 密码已拿到；两者是独立状态，当前仅前者成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：在页面点击“同步交易”，获取该地址完整历史，重点看最后转出时间与找零地址模式。
2. **检查同批次数据集**：路径中 `250_wallet` 提示存在同批 250 个钱包，若相邻钱包已破解，可对比其口令规律（仅作线索，不指导攻击）。
3. **核对文件名语义**：`59,68` 是否为金额、序号或日期，需结合同批次其他文件命名规则确认。
4. **检查 BDB 文件内部结构**：确认是否包含未加密的元数据（如钱包创建时间、是否使用默认加密选项）。
5. **查找历史备份**：在原始数据源目录中寻找 `.dat` 的旧副本或 `.bak` 文件，可能包含未升级前的弱口令版本。
6. **关联邮箱/用户名线索**：若数据集来自某次泄露，查找同源数据中是否包含该钱包的备注或密码提示。
7. **确认钱包版本**：`legacy_bdb` 具体对应 Bitcoin Core 0.4~0.9 的哪个小版本，不同版本加密迭代次数不同（仅用于评估难度）。
8. **补充“已知密码”字段**：若团队其他工具曾产出过候选口令，请回填到 `actual_password` 字段，以便系统自动验证。

### 7. 已尝试方向回顾（避免重复投入）
- **明文密码验证**：已确认当前没有任何候选密码被标记为“正确”，说明此前提交的字典或规则集均未命中。
- **交易同步**：尚未执行，因此不存在“基于交易时间反推口令”的尝试记录。
- **文件格式分析**：已确认是 BDB 格式，但未发现文件内嵌明文密钥或弱加密迹象（否则 `actual_password` 字段会为真）。
- **批量关联**：尚未利用同批次 250 个钱包的横向对比，此方向仍空白，可优先尝试。
- **避免重复**：请勿再次提交与之前相同的通用字典，除非有新的线索（如同批次钱包口令规律）缩小范围。