BTC 钱包风险检测与恢复评估 #1638

### 1. 一句话结论
这是一枚持有约 **4.825 BTC** 的 Legacy 格式比特币钱包（`bitcoin_legacy_bdb`），历史交易集中在 2013–2014 年，近期无任何链上活动；目前**尚未获得明文密码**，破解工作仍在进行中，且该钱包**不属于“余额为0”的业务标注场景**。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID `1638`，主地址 `1Hrbgj881yoMYYvNvPkgGgEx6Kw8JxirLK`，文件名为 `8 сотня 100 / 1Hrbgj881yoMYYvNvPkgGgEx6Kw8JxirLK.dat`。
- **资产规模**：链上余额 **4.82537589 BTC**，业务标注“余额很小(≤阈值)”为 **否**，说明该钱包被判定为有继续处理的价值。
- **格式与时间**：格式为 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包），录入时间 2026-06-23，最近一次数据更新 2026-08-06。
- **交易统计**：依据 `wallet_transactions.direction` 字段，转入（receive）16 笔，转出（send）仅 1 笔；最后转出为 2013-12-24，最后转入为 2014-04-04，交易跨度 105 天。
- **近期状态**：近 30 天转入与转出均为 0，说明该地址自 2014 年后基本处于休眠。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即目前没有强证据表明已拿到明文密码。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初在 2026 年 6 月 23 日接手这个钱包文件。它来自一个名为 `MEGA-BONUS_!!таблица_8 сотня 100` 的目录，文件名中的“8 сотня 100”看起来像批量整理时的编号，而非用户个人命名。文件大小 81920 字节，属于典型的 Legacy 钱包结构。

我们首先确认了它的资产价值——余额约 4.8 BTC，且业务标注明确表示这不是“零钱钱包”，因此将它列入重点排查名单。随后我们核对了链上交易：该地址在 2013 年底有一笔转出，之后在 2014 年春天陆续收到 16 笔转入，之后便再无动静。这种“先花后收、收完即停”的模式，通常指向一个曾经活跃、后来被遗忘的存储地址。

在密码层面，我们目前只确认了“尚未破解”这一事实。没有证据表明密码已被还原，也没有任何字段显示验证成功。我们仍在等待更多线索（如用户提供的密码片段、历史备份习惯等），而不是盲目扩大测试范围。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **16 笔**，最后一笔发生在 **2014-04-04 21:33:01**。说明该地址在 2014 年春季曾有一波集中的资金汇入。
- **转出（send）**：仅 **1 笔**，发生在 **2013-12-24 21:39:25**。即地址在收到大部分资金之前，曾有过一次小额或测试性的转出。
- **近期活动**：近 30 天转入与转出均为 **0**，无任何新动态。
- **未同步数据**：除上述统计外，没有更细粒度的单笔金额、对手地址或交易哈希的同步记录，因此无法判断这 16 笔转入是来自同一来源还是多个来源。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 **4.82537589 BTC**，且“余额很小(≤阈值)”字段为 **否**。因此它**不属于**“余额为0、无需继续处理”的类别，业务上仍值得投入资源。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**。即我们**尚未获得明文密码**，也没有任何验证成功的记录。所有关于“已破解”的说法均不成立，当前仍处于测试与线索收集阶段。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **用户提供的密码线索**：任何与“8 сотня 100”或“MEGA-BONUS”相关的数字、短语、日期组合。
2. **历史备份文件**：同一目录下是否有其他 `.dat` 文件或旧版钱包备份，可能包含相同密码。
3. **交易对手信息**：那 16 笔转入的来源地址或交易备注，可能指向钱包创建者身份。
4. **创建时间线索**：钱包文件的元数据（如首次生成时间）是否与某个已知事件或促销活动（MEGA-BONUS）相关。
5. **密码习惯档案**：该用户在其他平台（如邮箱、论坛）是否使用过相似密码结构（仅作比对，不涉及攻击）。
6. **2013–2014 年的钱包软件版本**：确认当时使用的客户端版本，有助于判断密码生成规则（如是否允许特殊字符）。
7. **钱包文件哈希校验**：确认文件自录入后未被篡改，保证后续分析基于原始数据。
8. **同批次钱包关联分析**：目录名中的“8 сотня 100”暗示存在同批次其他钱包，若其中某个已破解，可参考其密码规律。

---

### 7. 已尝试方向回顾（避免重复投入）
- **基础格式解析**：已确认钱包为 `bitcoin_legacy_bdb` 格式，排除了现代 HD 钱包的结构假设。
- **余额与业务价值评估**：已完成，确认非零余额且值得继续。
- **链上活动梳理**：已统计转入/转出笔数与时间，确认休眠期长，无近期交易干扰。
- **密码状态核查**：已确认当前无任何“已破解”标记，后续不应假设密码已知。
- **未尝试方向**：尚未进行任何与用户背景调查、同批次文件关联、或历史软件版本匹配相关的分析——这些是下一步的重点，而非重复跑已有数据。