BTC 钱包风险检测与恢复评估 #965

### 1. 一句话结论
这是一枚2014-2015年间活跃的比特币Legacy格式钱包（ID 965），当前链上余额约0.058 BTC，**尚未获得明文密码**，且业务标注显示其不属于“余额极小可忽略”的范畴，仍有继续推进的价值。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `19bdmxEtNgt1ogTWCYpGW2Qpn4qBmfUnGk`，钱包文件为 `19bdmxEtNgt1ogTWCYpGW2Qpn4qBmfUnGk.dat`，格式为 `bitcoin_legacy_bdb`（老版Berkeley DB钱包）。
- **资产现状**：BTC余额 `0.05847536`，业务标注“余额很小(≤阈值)”为**否**，说明该余额未被系统判定为可放弃的微量资产。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即目前没有强证据表明已获得明文密码。
- **文件信息**：钱包文件大小 `1,040,384` 字节（约1MB），录入时间 `2026-06-23`，最近一次更新 `2026-08-06`。
- **链上活动**：依据 `wallet_transactions.direction` 统计，转入16笔、转出3笔；最后转入 `2014-11-10`，最后转出 `2015-01-29`；交易时间跨度155天；近30天转入/转出均为0笔。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包是在2026年6月23日被纳入取证清单的。当时系统记录下它的主地址与文件路径，确认它是一份标准的Bitcoin Core老版钱包（BDB格式）。从文件大小看，它包含完整的密钥池与地址历史，并非空壳。

我们首先核对了链上交易摘要：发现该钱包在2014年11月至2015年1月间有规律的资金进出，转入16笔、转出3笔，之后便沉寂至今。这种“短期活跃后长期休眠”的特征，常见于历史遗留的挖矿收益地址或早期交易找零地址。

随后我们检查了密码状态字段，明确标记为“未破解”。这意味着我们目前掌握的是钱包文件本身与链上公开数据，但**尚未跨过获取明文密码的门槛**。业务侧同时给出标注：该余额虽不算大，但**未达到“可放弃”的阈值**，因此案件并未关闭。

当前进度停留在“已完成静态信息采集与链上行为梳理”阶段，尚未进入任何可确认成功的密码恢复环节。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共16笔，最后一笔发生在 `2014-11-10 17:33:22`。说明该地址在2014年秋季集中收到过资金，来源可能是矿池打款或他人转账（具体对手地址未在本次数据中提供）。
- **转出（send）**：共3笔，最后一笔发生在 `2015-01-29 09:29:52`。说明钱包主人在2015年初主动转出过部分资金，可能为归集或变现。
- **近期动态**：近30天转入与转出均为0笔，链上已长期休眠。
- **未知项**：每笔交易的具体金额、对手地址、手续费等明细字段未同步，暂无法还原完整的资金流向图。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：当前余额 `0.05847536 BTC`，系统判定“余额很小(≤阈值)”为**否**。即该钱包**不属于**“余额为零或极小、可放弃”的类别，业务上仍视为有效目标。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，代表**尚未拿到明文密码**，也没有任何“验证成功”的记录。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 调取该地址在2014-11-10与2015-01-29前后的完整交易明细（含对手地址、金额、手续费），重建资金脉络。
2. 查找钱包文件同目录下是否存在历史备份（如 `.dat` 旧版本、`wallet.dat` 副本），备份可能对应更弱的密码设置。
3. 检索该地址是否关联过已知的矿池、交易所充值地址或论坛/水龙头活动（通过公开标签库）。
4. 确认钱包创建时间线索：BDB文件内部的时间戳或首次交易时间（2014-11前）可辅助推测密码设置习惯。
5. 排查该钱包是否曾出现在历史泄露的数据库或旧版客户端默认密钥路径中。
6. 补充钱包文件头部的加密参数（如是否使用默认迭代次数），用于判断密码复杂度下限（仅作状态评估，不展开细节）。
7. 询问业务方是否持有该钱包的“找回提示”或历史工单记录。
8. 若存在同批次导入的多个钱包，对比它们的文件属性与密码规律，寻找共性线索。

### 7. 已尝试方向回顾（避免重复投入）
- **静态信息采集**：已完成钱包格式识别、文件大小记录、地址与路径归档。
- **链上行为梳理**：已统计转入/转出笔数与时间跨度，确认钱包处于长期休眠状态。
- **密码状态核验**：已确认当前无任何“已知密码”强证据，后续无需重复检查该字段。
- **未开展方向**：尚未进行交易明细级分析、外部标签关联、历史备份检索。这些是下一步的增量空间，而非重复劳动。