BTC 钱包风险检测与恢复评估 #1151

### 1. 一句话结论

该钱包（ID: 1151）是一个BTC旧版格式（bitcoin_legacy_bdb）钱包，当前链上余额为 **51.99953635 BTC**，但截至数据标注日（2026-06-23），**尚未获得明文密码**，且业务层面未将其标记为“余额很小”的低价值目标。

### 2. 我们掌握的事实（证据链）

- **钱包基础信息**：钱包ID 1151，币种BTC，主地址 `1Jh8cLNf6APCWAUCmsqezgRSYKCzxpuBzg`，文件名为 `wallet_51,99.dat`，路径指向 `MEGA-BONUS_BITCOIN CORE WALLETS - 250` 系列数据集。
- **格式与版本**：钱包格式为 `bitcoin_legacy_bdb`（旧版Bitcoin Core Berkeley DB格式），文件大小 **147,456 字节**。
- **余额与业务标注**：链上余额 **51.99953635 BTC**；业务标注“余额很小(≤阈值)”为 **否**，即该钱包被认定为高价值目标。
- **密码状态字段**：`cracked_password/actual_password` 为 **否**，即**没有强证据表明已拿到明文密码**。
- **交易统计（来自 wallet_transactions.direction）**：
- 转入（receive）笔数：**1**；转出（send）笔数：**1**。
- 最后转入时间：2015-03-14 01:16:15；最后转出时间：2015-03-14 01:18:15（注：原文为01:18:34，按原文记录）。
- 交易时间跨度：**0 天**（即转入与转出发生在同一天，间隔约2分钟）。
- 近30天转入/转出笔数均为 **0**，说明该地址自2015年后无任何链上活动。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这枚钱包来自一个名为“MEGA-BONUS”的批量钱包数据集，编号250。我们最初注意到它，是因为其文件名直接标注了“51,99BTC”，且链上余额确实对得上——这通常意味着该文件在备份时就被认为有价值。

录入发生在2026年6月23日凌晨，系统在极短时间内（约17分钟）完成了初始标注，说明当时只做了静态信息采集（余额、地址、格式），并未触发深度处理。随后在8月6日有一次状态更新，但更新后的核心结论没有变化：**密码仍未拿到**。

从交易记录看，这个地址的生命周期极短：2015年3月14日凌晨，先收到一笔转入，约2分钟后发生了一笔转出。之后整整11年没有任何动静。这种“快进快出”的模式，常见于当时（2015年）的资产归集或找零操作，但也可能只是某次普通转账后的剩余沉淀。

我们目前的工作停留在“确认有价值、但钥匙未到手”的阶段。文件本身是旧版BDB格式，结构相对古老，但并未因此降低破解难度——因为真正的瓶颈在于密码本身，而非文件格式。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入（receive）**：有 **1 笔**，发生在 2015-03-14 01:16:15。这是该地址唯一一次接收资金，也是当前余额的来源。
- **转出（send）**：有 **1 笔**，发生在 2015-03-14 01:18:34（按原文）。这表示在收到资金后约2分钟，发生了一笔支出。
- **净流向推断**：由于转出发生在转入之后，且当前余额仍为 51.99 BTC，可以推断那笔转出金额小于转入金额（否则余额不会保留至今）。但**具体转出金额与去向未在提供数据中给出**，需补充交易明细字段（如amount、txid）才能确认。
- **近期活动**：近30天转入/转出均为 0，确认该地址自2015年后处于休眠状态。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注层面**：该钱包余额为 **51.99 BTC**，业务标注“余额很小(≤阈值)”为 **否**。这意味着在业务优先级上，它被归类为**高价值目标**，值得继续投入资源。
- **密码获取层面**：事实数据明确显示 `cracked_password/actual_password = 否`。因此，**我们尚未获得该钱包的明文密码或助记词**，任何关于“已破解”的说法均不成立。当前仍处于密码未知、尝试或测试中的状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **补充交易明细**：获取那笔转出（send）的 `amount` 与 `txid`，确认转出金额，反推转入金额与找零逻辑。
2. **检查同批次数据集**：该文件来自“250_wallet”批量目录，优先排查同批次其他钱包是否已被成功解锁，若存在，可对比其密码规律（仅作线索参考，不构成攻击建议）。
3. **核对文件完整性**：确认 `wallet_51,99.dat` 是否包含多个地址或密钥池（keypool），有时余额分散在多个内部地址中。
4. **查找2015年3月14日前后相关备份**：该地址活跃时间极短，若存在当时的钱包备份或导出文件，可能包含更早的密码线索。
5. **检查钱包是否使用旧版加密算法**：BDB格式早期可能使用较弱加密参数，但需在合规工具下验证，而非自行尝试。
6. **补充“已知密码存在”字段的判定依据**：明确该字段为“否”是基于字典测试失败，还是尚未开始测试，以便评估下一步策略。
7. **调取钱包创建时间或首次使用时间**：若文件元数据中有创建时间，可辅助推断密码设置习惯（如与创建日期关联）。
8. **确认业务标注“余额很小”的阈值定义**：明确该字段的判定标准，避免因阈值误判而低估此钱包价值。

### 7. 已尝试方向回顾（避免重复投入）

- **静态信息采集**：已完成钱包格式识别（bitcoin_legacy_bdb）、余额核对、文件路径与大小记录——这些是基础工作，无需重复。
- **交易方向统计**：已基于 `direction` 字段确认转入/转出各1笔，且时间跨度极短。后续无需再对交易笔数做重复统计。
- **密码状态确认**：已确认 `cracked_password/actual_password = 否`，即当前没有可用的明文密码。**不应重复执行已被证明无效的密码猜测流程**，除非有新的线索（如上述第6条补充信息）改变测试前提。
- **业务价值标注**：已确认该钱包不属于“余额很小”的低优先级类别，因此无需重新评估其业务价值。

---

*以上内容基于提供的事实数据生成，所有推断均标注依据字段；未提供的数据（如具体转出金额、密码测试历史）已明确列为缺口。*