BTC 钱包风险检测与恢复评估 #3

### 1. 一句话结论
这是一份BTC旧版钱包（Bitcoin Core / BDB格式）的取证复盘：钱包余额为130 BTC，主密钥存在，但截至目前**尚未获得明文密码**，且该钱包**不属于“余额为0”的业务标注**——即它是一份真实待解锁的高价值资产，而非空壳文件。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 3，币种BTC，主地址 `1P2kKdepEAJQwVHoaodfQKD6jSJC86z1Yw`，文件名为 `1P2kKdepEAJQwVHoaodfQKD6jSJC86z1Yw.dat`。
- **文件特征**：格式为 `bitcoin_legacy_bdb`（Bitcoin Core旧版钱包），大小90112字节，路径位于 `MEGA-BONUS_57 файлов BTC LTC DOGE` 批量资料包内。
- **余额状态**：当前余额130 BTC，业务标注“余额很小”为**否**，即不适用“小额放弃”策略。
- **密钥状态**：包含主密钥（MKey）字段为“是”，但“已知密码存在（cracked_password/actual_password）”字段为**否**。
- **时间线**：录入2026-05-17，更新2026-08-06，数据标注日期2026-06-23；交易时间跨度4833天（约13.2年）。
- **交易统计**：转出3笔、转入7笔；最后转出2026-03-13，最后转入2025-11-19；近30天无任何转入/转出。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初在批量资料包中定位到这份 `.dat` 文件时，首先确认了它的“身份”——通过文件头与路径判断，这是一份Bitcoin Core旧版（BDB）钱包，而非轻钱包或交易所导出文件。随后我们核对了主地址与链上记录，确认该地址确实承载过真实交易（7笔转入、3笔转出），且余额不为零，因此排除了“测试文件”或“空钱包”的可能。

接着我们检查了钱包内部结构，确认主密钥（MKey）存在——这意味着只要拿到密码，就能直接导出私钥控制资产。但关键字段“已知密码存在”为否，说明我们目前**没有**任何可用的明文密码或验证成功的记录。整个推进过程目前停留在“文件有效、密钥在、密码未知”的阶段。我们没有对文件进行任何破坏性修改，所有操作均为只读取证。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共7笔，最后一笔发生在2025-11-19 22:32:53。说明该地址在2025年11月前曾持续接收资金。
- **转出（send）**：共3笔，最后一笔发生在2026-03-13 02:32:32。说明2026年3月后该地址停止对外支付。
- **近期动态**：近30天转入0笔、转出0笔，钱包处于“休眠”状态。
- **未知项**：我们**未同步**每笔交易的金额明细与对手地址，因此无法判断130 BTC是“沉淀积累”还是“单笔大额留存”。如需深入，需补充 `wallet_transactions` 的完整字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为130 BTC，业务标注“余额很小”为**否**。这意味着它**不适用**“余额为0/小额放弃”的处置规则，必须继续推进。
- **明文密码状态**：字段 `cracked_password/actual_password` 为**否**，即**尚未获得明文密码**，也没有任何“验证成功”的记录。我们目前处于“有钥匙坯、没齿纹”的阶段——主密钥在，但无法解锁。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充交易明细**：调取该地址完整的链上交易记录（金额、时间、对手地址），判断130 BTC的来源结构，辅助推测密码设置习惯（如大额转入时间点附近常用的口令模式）。
2. **检查同批次资料**：该文件来自 `MEGA-BONUS_57 файлов BTC LTC DOGE` 批量包，排查同包内其他钱包是否已被成功解锁，若有，其密码规律可作为关联线索。
3. **查找文件名备注**：文件路径中“MEGA-BONUS”可能暗示来源场景（如某次活动/赠送），检索资料包内是否有配套的说明文档、邮件或备注文本。
4. **核对录入时间前后行为**：录入时间为2026-05-17，但最后转出为2026-03-13，需确认该钱包是否在2026年3月后被“主动封存”，封存前是否有密码变更记录。
5. **检查钱包元数据**：BDB文件内可能存有创建时间、最后一次访问时间等元数据，可辅助推测密码设置年代（如2013年左右的旧密码规则）。
6. **排查“已知密码”相关历史工单**：确认此前是否有针对该钱包ID的密码提交记录（即使未验证成功），避免重复劳动。
7. **验证地址归属**：通过公开区块链浏览器确认该地址是否曾关联已知实体（如交易所、矿池），若有，可缩小密码猜测范围。
8. **补充“密码提示”类字段**：若原始数据中存在任何 hint、备注、或文件名中的数字后缀（如 `-8be66be80824`），需单独提取分析。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了“非标准钱包”的干扰。
- **密钥存在性检查**：已确认主密钥（MKey）存在，排除了“文件损坏/无密钥”的可能。
- **业务标注筛查**：已确认该钱包不属于“余额为0/小额放弃”类别，无需走简化流程。
- **明文密码验证**：当前字段显示“已知密码存在=否”，说明此前没有成功验证过任何密码——**不要重复提交已测试过的猜测**，除非有新的线索字段（如交易对手信息）出现。
- **未尝试方向**：尚未进行同批次文件关联分析、交易对手画像、以及钱包元数据深度解析——这些是下一步的空白区。