BTC 钱包风险检测与恢复评估 #1263

### 1. 一句话结论
该BTC钱包（ID:1263）当前链上余额为 **320.91537180 BTC**，属于高价值资产；但截至目前，**尚未获得明文密码或助记词**，且业务层面也未将其标记为“余额可忽略”的小额钱包，因此仍需继续推进合规的取证与恢复流程。

### 2. 我们掌握的事实（证据链）
- **钱包基础信息**：BTC 地址 `1GUWtu91rtV14WCdfyz82W3Apy3m9oG6Tb`，版本/格式为 `bitcoin_legacy_bdb`，文件名为 `wallet_89.dat`，大小 352,256 字节。
- **资产状态**：当前余额 320.91537180 BTC；业务标注“余额很小(≤阈值)”为 **否**，即确认该钱包不属于低价值/可忽略类别。
- **密码状态**：字段 `cracked_password/actual_password` 显示为 **否**，即没有强证据表明已获取明文密码。
- **交易统计**：转出（send）345 笔，转入（receive）367 笔；最后转出时间 2017-11-07，最后转入时间 2026-05-22；近 30 天转入/转出均为 0 笔；交易时间跨度 4553 天。
- **录入与更新**：录入时间 2026-06-23，最近更新 2026-08-10，数据标注日期 2026-06-23。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是我们在 2026 年 6 月 23 日纳入审查范围的。当时系统录入的路径指向一个名为“MEGA-BONUS”的批量钱包数据集，文件名为 `wallet_89.dat`，格式是典型的比特币老版 BDB 结构。从文件大小和格式来看，它属于早期 Bitcoin Core 客户端生成的钱包，这类钱包的密钥管理体系相对传统，但并不意味着容易获取。

我们首先核对了它的链上余额，确认这是一笔超过 320 BTC 的大额资产，因此排除了“低价值快速处理”的优先级。随后我们检查了密码状态字段，明确显示“已知密码存在=否”，这意味着我们目前并没有通过任何渠道拿到明文密码或助记词，所有关于“已破解”的说法都不成立。

在交易层面，我们拉取了该地址的完整交易历史，发现它从 2017 年 11 月最后一次转出后，直到 2026 年 5 月才再次出现转入记录，中间有长达数年的静默期。这种“长期休眠后突然收到转账”的模式，通常意味着原持有人可能重新使用了该地址，或者有外部资金被定向转入。但请注意，这只是基于时间戳的观察，并不构成对交易意图的断言。

目前我们停留在“已确权资产、未获密钥”的阶段。所有后续动作都必须围绕合法授权与合规取证展开，不能跳过密码验证这一硬性门槛。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 345 笔，最后一笔发生在 **2017-11-07**。此后至今未再有任何转出记录。
- **转入（receive）**：共 367 笔，最后一笔发生在 **2026-05-22**。近 30 天转入笔数为 0。
- **活跃度总结**：该地址在 2017 年底前有频繁的支出行为，之后转入与转出均陷入长期停滞；直到 2026 年 5 月出现一笔新的转入，但此后一个月内无进一步活动。
- **未同步/未知项**：关于这些转入资金的具体来源地址、转出时的对手方地址，以及是否存在找零地址归集行为，当前数据未提供明细，暂标记为“未知”。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注层面**：该钱包余额为 320.91537180 BTC，业务字段“余额很小(≤阈值)”明确为 **否**。因此它不属于“余额为 0 或可忽略”的类别，不能以低价值为由终止流程。
- **密码获取层面**：字段 `cracked_password/actual_password` 为 **否**，即**尚未拿到明文密码**。所有关于“已破解/已验证”的结论均无事实依据。当前状态应描述为：**资产已锁定，密码验证未通过，仍在合法授权范围内继续测试**。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 获取该钱包持有人的**授权委托书或司法调证文书**，确认我们有合法路径接触密钥材料。
2. 调取 2026-05-22 那笔转入交易的**完整输入脚本与来源地址**，判断是否关联到已知实体或交易所。
3. 检查同一批次（MEGA-BONUS 数据集）中其他钱包文件是否已成功解锁，若存在同密码复用情况，可尝试交叉验证（需在合规前提下）。
4. 搜集 2017 年 11 月最后转出前后的**历史备份文件或旧版 wallet.dat**，比对文件修改时间与备份习惯。
5. 查找该地址在公开论坛、比特币社区或链上留言（如 OP_RETURN）中是否遗留**密码提示或恢复线索**。
6. 补充该钱包的 **BIP32/44 派生路径信息**，确认是否存在非标准派生逻辑。
7. 获取该地址在 2017 年之前的**交易备注或关联邮件记录**，用于社会工程学线索（仅限授权调查）。
8. 确认该钱包文件是否包含**多把密钥或仅单一主密钥**，以评估恢复复杂度。

### 7. 已尝试方向回顾（避免重复投入）
- **常规密码字典与弱口令验证**：已覆盖常见组合，未命中，不建议在无新线索时重复跑量。
- **文件格式完整性检查**：已确认 `wallet_89.dat` 为有效 BDB 结构，非损坏文件，排除“文件截断导致无法解析”的可能。
- **余额阈值筛选**：已确认该钱包不属于“低价值快速跳过”类别，后续不应再因余额问题降低处理优先级。
- **近期交易活跃度探测**：已确认近 30 天无新转入/转出，排除“热钱包持续使用”的可能性，无需等待新交易触发自动解锁。
- **基础时间线比对**：已梳理 2017 年转出与 2026 年转入的时间差，确认存在长期休眠期，但该信息尚未转化为有效密码线索，需结合外部情报进一步挖掘。