BTC 钱包风险检测与恢复评估 #1548

### 1. 一句话结论
这是一个**BTC 老式钱包（bitcoin_legacy_bdb）**，目前链上余额仅 **0.00005927 BTC**，业务侧已将其标注为“小额/低价值”；**尚未获得明文密码或助记词**，钱包仍处于未解锁状态。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID 1548，主地址 `1KTvsW5tg5gkJf9fyT2xsvjkv7dzuZNTpW`（BTC Legacy 格式）。
- **文件信息**：文件名为 `!1KTvsW5tg5gkJf9fyT2xsvjkv7dzuZNTpW.dat`，大小 **57,344 字节**，属于 `bitcoin_legacy_bdb`（Berkeley DB 旧版格式）。
- **录入与更新**：录入时间 2026-06-23 00:52:59，最近一次更新 2026-09-08 17:20:28，数据标注日期为 2026-06-23 00:58:00。
- **余额状态**：当前余额 **0.00005927 BTC**，业务标注为“余额很小（≤阈值）”。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为 **否**，即目前没有已验证的明文密码。
- **链上交易统计**（依据 `wallet_transactions.direction`）：
- 转入（receive）笔数：**7**；
- 转出（send）笔数：**0**；
- 最后转入时间：**2026-05-22 16:04:15**；
- 最后转出时间：**未知**；
- 近30天转入/转出均为 **0**；
- 交易时间跨度：**2077 天**（约 5.7 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最初在 2026 年 6 月 23 日进入我们的取证视野。当时它被归入一个名为“MEGA-BONUS_!!таблица_9я сотня 58”的批量数据集目录中，文件名带有明显的表格编号与地址标识。我们首先确认了它的格式——`bitcoin_legacy_bdb`，这是比特币早期客户端常用的钱包数据库结构，文件大小 57KB 也符合一个仅包含少量地址和密钥记录的轻量钱包特征。

随后我们同步了链上数据。链上记录显示，这个地址历史上共收到过 **7 笔转入**，时间跨度长达 2077 天，说明它并不是一个刚创建的新地址，而是一个有一定历史但活动频率极低的“沉睡地址”。最后一次转入发生在 2026 年 5 月 22 日，之后再无任何转入或转出动作。

在尝试访问钱包内部数据的过程中，我们遇到的核心障碍是**钱包文件处于加密锁定状态**。根据强证据字段记录，目前**尚未取得任何有效的明文密码或助记词**。我们只能基于文件结构做只读层面的格式确认与交易统计，无法进一步读取内部私钥或进行签名操作。整个推进过程始终停留在“外部特征梳理 + 链上行为分析”阶段，尚未突破加密边界。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **7 笔**，最后一笔发生在 **2026-05-22 16:04:15**。近30天内无新增转入。
- **转出（send）**：**0 笔**。该地址从未有过转出记录，说明资金从未被移动过。
- **最后转出时间**：**未知**（因转出笔数为 0，不存在该时间点）。
- **交易时间跨度**：2077 天，表明该地址从首次活跃到最后一笔转入，前后跨越约 5.7 年，但整体交易频率极低。
- **当前余额**：0.00005927 BTC，与“7笔转入、0笔转出”的统计吻合——资金只进未出，但因历史转入金额本身较小，最终沉淀余额很低。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：这是基于当前链上余额 **0.00005927 BTC** 触发的低价值标记，属于业务层面的优先级判断，**不代表钱包已清空或已破解**。
- **明文密码状态**：强证据字段 `cracked_password/actual_password = 否`，即**尚未获得任何明文密码、助记词或私钥**。钱包仍处于加密锁定状态，所有内部数据不可读。
- **重要区分**：余额低 ≠ 已解锁。目前我们只完成了链上行为分析和文件格式确认，**没有完成任何密码验证或钱包解锁**。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充钱包来源上下文**：该文件来自 `MEGA-BONUS_!!таблица_9я сотня 58` 数据集，需查清该批次的来源渠道、关联案件或业务背景，可能包含密码线索。
2. **查找同批次其他钱包文件**：同一目录下可能还有其他 `.dat` 文件，若其中某个已解锁，其密码策略或命名规律可供参考（仅作线索比对，不涉及攻击）。
3. **收集地址关联信息**：通过区块链浏览器查询 `1KTvsW5tg5gkJf9fyT2xsvjkv7dzuZNTpW` 的历史交易对手方、首次交易时间、交易备注等，判断资金源头。
4. **核对文件名中的“9я сотня 58”**：该编号可能是内部表格索引，尝试在业务数据库或文档中检索对应条目，可能包含密码提示或保管记录。
5. **检查钱包文件元数据**：在只读层面分析 `.dat` 文件的创建时间、修改时间、文件系统路径线索，判断生成工具或操作习惯。
6. **确认钱包是否包含多个地址**：Legacy BDB 钱包可能包含多个密钥对，需确认除主地址外是否还有其他派生地址及余额。
7. **调取录入时的业务备注**：2026-06-23 录入时是否有经办人备注、来源描述或关联工单。
8. **补充链上历史余额快照**：获取该地址历史最高余额及对应时间点，判断资金是否曾被部分转出（尽管当前统计转出为 0，需交叉验证节点数据完整性）。

### 7. 已尝试方向回顾（避免重复投入）
- **链上交易统计**：已完成转入/转出笔数、时间跨度、最后活动时间梳理，结论为“只进不出、低频、低余额”。
- **文件格式识别**：已确认为 `bitcoin_legacy_bdb`，文件大小 57KB，结构上属于轻量级钱包。
- **密码状态核实**：已确认强证据字段为“否”，即当前没有已验证密码，**不应再重复假设“密码已拿到”**。
- **业务低价值标注**：已确认“余额很小”仅为业务优先级标记，与破解进度无关。
- **未尝试方向**：尚未进行任何密码字典/规则测试（因无明文密码且受安全规则限制），也未对文件内部结构做深度解析（因加密锁定）。后续应优先补充外部线索，而非重复扫描同一文件。