BTC 钱包风险检测与恢复评估 #1123

### 1. 一句话结论
这是一枚持有 **5.05539824 BTC** 的 Legacy 格式比特币钱包（主地址 `1JEsng...PAXCy`），目前**尚未获得明文密码**，但链上显示其历史上曾活跃接收、后期沉寂，且余额远高于“小额忽略”阈值，属于**值得继续跟进的高价值目标**。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID `1123`，币种 BTC，格式为 `bitcoin_legacy_bdb`（即 Bitcoin Core 旧版 Berkeley DB 钱包）。
- **资产规模**：当前余额 **5.05539824 BTC**，业务标注“余额很小”为 **否**（即不因金额小而放弃）。
- **关键状态**：`cracked_password / actual_password` 字段为 **否**，即**没有已知明文密码**。
- **文件信息**：钱包文件名为 `WALLET 5.05 BTC - 1JEsng...PAXCy.dat`，大小约 **464 KB**（475136 字节），录入于 2026-06-23，最近一次更新于 2026-08-06。
- **链上活动摘要**（依据 `wallet_transactions.direction`）：
- 转入 **48 笔**，最后转入 **2020-08-31**；
- 转出 **2 笔**，最后转出 **2017-11-01**；
- 近 30 天转入/转出均为 **0**；
- 交易时间跨度 **3279 天**（约 9 年）。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 **2026 年 6 月 23 日**进入我们的取证视野。当时它被标记为“WALLET 5.05 BTC”，文件名直接带余额与地址，说明来源方已经做过初步归类。

我们首先确认了它的“身份”：一个 **Bitcoin Core 旧版格式** 的钱包文件，这类文件通常对应 2010 年代中期的钱包软件。随后我们核对了链上记录，发现一个非常有意思的“时间错位”——**最后一笔转出停留在 2017 年 11 月，但最后一笔转入发生在 2020 年 8 月**。也就是说，钱包主人在 2017 年后基本不再动币，却在 2020 年又收到过一笔（或几笔）款项，之后彻底沉寂至今。

从 2026 年 6 月录入到 8 月更新，我们主要在做**文件格式确认与基础状态核实**，并未进入破解阶段（因为 `cracked_password` 仍为否）。目前可以确定的是：这不是一个空壳钱包，余额真实且可观；但**我们手里还没有能打开它的钥匙**。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **48 笔**，最后一笔发生在 **2020-08-31 07:28:35**。说明该地址在 2017 至 2020 年间曾持续收到比特币，可能是挖矿收益、交易找零或他人付款。
- **转出（send）**：共 **2 笔**，最后一笔发生在 **2017-11-01 16:43:07**。说明钱包主人在 2017 年 11 月之后**再也没有主动转出过任何资金**。
- **近期动态**：近 30 天转入与转出均为 **0**，钱包处于完全休眠状态。
- **未同步/未知项**：我们**没有**每笔交易的金额、对手地址及时间明细，因此无法判断 48 笔转入中是否包含“找零地址归集”或“大额单笔”等特征。若需深入，需补充 `wallet_transactions` 的完整字段。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额 **5.05539824 BTC**，业务标注“余额很小”为 **否**——即**不因金额小而跳过**，属于重点跟进对象。
- **密码状态**：`cracked_password / actual_password` 字段明确为 **否**，表示**尚未获得任何明文密码或助记词**。所有关于“已破解”的说法均不成立。
- **结论**：当前处于“已锁定、未解锁”状态，后续工作重心是寻找合法且合规的密码恢复途径（如用户提供线索、备份找回等），而非暴力猜测。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **钱包文件来源背景**：该 `.dat` 文件来自哪台设备/哪个平台（路径含 `fake.czb.com`，需确认是否为测试网或镜像数据）。
2. **完整交易明细**：拉取 `wallet_transactions` 全字段（金额、时间、对手地址、txid），判断 48 笔转入的性质。
3. **地址关联分析**：查询主地址 `1JEsng...PAXCy` 在公开浏览器（如 Blockchair）上的标签与首次出现时间。
4. **钱包创建时间线索**：从 BDB 文件内部结构（如 `mkey` 加密时间戳）推断钱包生成的大致年份，缩小密码年代范围。
5. **用户侧线索征集**：是否有人记得该文件名“MEGA-BONUS”或“WALLET 5.05 BTC”对应的活动/平台？
6. **备份文件检索**：在原始数据源中查找是否存在同名的 `.dat` 备份或 `.txt` 密码提示文件。
7. **转出记录分析**：那 2 笔转出（2017 年）的对手地址是谁？是否可关联到某个交易所账户或已知身份？
8. **时间节点交叉验证**：2020-08-31 最后一笔转入的当天，是否有相关平台活动或空投记录？

---

### 7. 已尝试方向回顾（避免重复投入）
- **基础格式确认**：已完成——确认为 `bitcoin_legacy_bdb`，非 HD 钱包或现代格式。
- **余额与状态核实**：已完成——确认余额 5.05 BTC，非空钱包，且业务上未标记为“小额忽略”。
- **链上活跃度扫描**：已完成——确认 2017 年后无转出、2020 年后无任何活动。
- **密码破解尝试**：**未开始**（`cracked_password = 否`），因此不存在“已试过字典/规则”的重复投入问题。
- **需避免的误区**：不要再次仅凭文件名中的“5.05 BTC”做重复猜测；不要在没有新线索的情况下，对同一份文件反复做相同格式的扫描。下一步应优先补充**外部情报**（交易对手、来源平台、备份文件），而非在本地重复计算。