BTC 钱包风险检测与恢复评估 #1174

### 1. 一句话结论
该钱包（ID:1174）是一枚2012年创建的比特币Legacy格式钱包，当前余额为1.21896195 BTC，链上仅发生过1笔转入和1笔转出，且均发生在2012年4月；目前**尚未获得明文密码**，破解验证仍在进行中。

### 2. 我们掌握的事实（证据链）
- **钱包基础信息**：BTC币种，主地址 `1N18vvhre4A3LGvwQsC9f1NUzJd6By5Lqy`，版本格式为 `bitcoin_legacy_bdb`（Bitcoin Core 旧版 Berkeley DB 格式）。
- **文件情况**：钱包文件名为 `wallet_1,217.dat`，大小 81920 字节，存放于 `MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_1,217BTC` 批量目录下，推测属于批量整理的历史钱包集。
- **余额与标注**：当前余额 1.21896195 BTC；业务标注“余额很小(≤阈值)”为**否**，即该余额未被系统判定为小额。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即目前没有强证据表明已拿到明文密码。
- **链上交易摘要**（依据 `wallet_transactions.direction`）：
- 转入 1 笔，最后转入时间 2012-04-23 04:13:02；
- 转出 1 笔，最后转出时间 2012-04-24 15:49:07；
- 交易时间跨度仅 1 天，近 30 天无任何转入/转出记录。
- **时间线**：钱包录入系统时间为 2026-06-23，数据标注日期同为 2026-06-23，最近一次更新为 2026-08-06。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最初在 2026 年 6 月 23 日被纳入取证系统。从文件路径看，它来自一个名为“MEGA-BONUS”的批量钱包数据集，编号 250，文件名直接标注了 `1,217BTC`，说明整理者当时已注意到该钱包的预期价值。

我们首先核对了钱包文件本身：格式为 `bitcoin_legacy_bdb`，这是 2012 年前后 Bitcoin Core 的典型存储结构。文件大小 81920 字节，属于早期轻量钱包文件，内部结构相对简单。

随后我们拉取了链上交易记录，发现这个钱包的生命周期极短：2012 年 4 月 23 日收到一笔转入，次日（4 月 24 日）发生一笔转出，之后便再无动静。结合余额 1.21896195 BTC 来看，那笔转出并未清空钱包，剩余资金一直沉睡至今。

在密码验证环节，我们检查了系统内是否已有“已知密码”的强证据标记，结果为否。这意味着截至目前，我们尚未还原出可用的明文密码或助记词，所有验证尝试均未获得确认成功的结果。钱包录入与标注日期相同，说明初始信息采集是一次性完成的；而 8 月 6 日的更新时间表明，此后的一个多月里我们仍在持续跟踪或测试该钱包的状态。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 1 笔，发生在 2012-04-23 04:13:02。这是钱包收到的唯一一笔资金，也是当前余额的主要来源。
- **转出（send）**：共 1 笔，发生在 2012-04-24 15:49:07，即转入后第二天。该笔转出未完全清空余额，钱包内仍保留 1.21896195 BTC。
- **近期动态**：近 30 天转入 0 笔、转出 0 笔，属于完全静默的钱包。
- **未知项**：转入与转出的具体金额、对手地址、手续费等明细字段未在本次数据中提供，暂无法判断转出比例与资金流向细节。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额标注**：业务字段“余额很小(≤阈值)”为**否**，即系统并未因余额微小而降低处理优先级。当前余额 1.21896195 BTC 在业务上被视为有效资产。
- **密码状态**：字段 `cracked_password/actual_password = 否`，表示**尚未获得明文密码**，也没有任何“验证成功”的记录。所有关于“已破解”的结论均不成立，当前仍处于密码未知、测试未果的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 调取该地址 `1N18vvhre4A3LGvwQsC9f1NUzJd6By5Lqy` 的完整交易明细（含金额、对手地址、手续费），还原 2012 年那两笔交易的全貌。
2. 检索同一批量目录（`MEGA-BONUS...250_wallet`）下其他钱包文件，确认是否存在共用密码或助记词规律（仅作关联分析，不涉及攻击）。
3. 查找钱包文件创建时间与最后修改时间的元数据，确认文件是否在 2012 年后被触碰过。
4. 补充钱包所有者的历史线索：文件名中的“MEGA-BONUS”是否对应某个已知活动或空投事件。
5. 检查该钱包是否关联任何已知的交易所充值地址或矿池付款地址。
6. 获取钱包文件头部的 BDB 版本信息，确认是否存在旧版加密弱点（仅作格式判断，不展开攻击细节）。
7. 搜索公开数据源中该地址是否出现在任何论坛、签名或历史帖文中。
8. 若存在备份习惯，排查同一路径下是否有 `.dat` 的旧版备份或日志文件残留。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认钱包为 `bitcoin_legacy_bdb`，排除了其他现代钱包格式的可能，后续无需再对格式做重复猜测。
- **链上活跃度排查**：已确认该钱包自 2012 年 4 月后无任何交易，排除了“近期被主动使用”的可能性。
- **密码强证据检查**：系统内已明确标记无已知密码，说明此前未通过任何渠道获得明文密码或助记词，无需重复检索内部密码库。
- **余额优先级判断**：业务侧已确认该余额不属于“小额忽略”范畴，后续工作应继续投入资源，而非因余额判断而搁置。