BTC 钱包风险检测与恢复评估 #1387

### 1. 一句话结论
这是一个长期休眠、近期突然出现转入活动的 Legacy 格式 BTC 钱包（ID: 1387），当前余额约 0.367 BTC，但**尚未获得明文密码**，破解工作仍处于“证据收集与验证”阶段，而非“已攻破”状态。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：文件 `wallet_0,366.dat`，大小 401,408 字节，格式标注为 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包），路径指向 `MEGA-BONUS_wallet_0,366` 目录。
- **余额与业务标注**：链上余额 0.36693514 BTC；业务侧“余额很小（≤阈值）”标注为**否**，说明该余额在业务上**不视为小额**，需严肃对待。
- **密码状态字段**：`cracked_password / actual_password` 明确为**否**——即当前**没有**任何已确认的明文密码或助记词证据。
- **录入与更新时间**：2026-06-23 录入，最近一次更新 2026-09-03，说明该档案在持续维护中。
- **主地址**：`1PEsdxLFGbdk7doK3TUiqZTMsbbYpQdn1m`（Legacy P2PKH 格式）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最初在 2026 年 6 月 23 日被纳入取证视野，当时我们拿到的是一个约 400 KB 的 `.dat` 文件，版本特征指向 2018 年 3 月 6 日生成的备份（见路径中的时间戳 `2018030646d9`）。文件名里的 `0,366` 与当前余额高度吻合，说明这份文件很可能就是该地址的“主控钱包”。

我们首先做了静态体检：确认它是 Legacy BDB 结构，排除了 SegWit 或 HD 派生等新格式的干扰。随后我们比对了链上交易摘要，发现一个**关键反差**——最后转出停留在 2014 年 11 月，但最后转入却发生在 2025 年 3 月，中间隔了 10 年以上。这说明该钱包在 2014 年之后基本被遗忘，却在近年被重新“唤醒”转入资金。

在密码验证层面，我们目前**只停留在“是否有已知密码”的核查**，结论是：没有。所有关于“已破解”的说法均不成立。我们也没有对交易方向做任何主观猜测，所有转入/转出结论均来自 `direction` 统计字段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 **1 笔**，发生在 **2014-11-19**。此后至今无任何转出记录。
- **转入（receive）**：共 **26 笔**，最后一笔发生在 **2025-03-06**。
- **近期活跃度**：近 30 天转入与转出均为 **0**，说明当前处于静默状态。
- **时间跨度**：从首笔到末笔交易跨度 3871 天（约 10.6 年），属于典型的“长期持有、偶发唤醒”模式。
- **未知项**：我们**没有**逐笔金额与对手地址的明细数据，因此无法判断 26 笔转入是否为同一来源或存在结构性规律。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额 **0.3669 BTC**，业务侧明确标注“余额很小”为**否**，即不适用“低价值放弃”策略，仍需投入资源。
- **明文密码状态**：**尚未获得**。`cracked_password` 字段为否，意味着没有任何已验证的密码、助记词或私钥可供签名。所有“已拿到密码”的说法均属不实。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取 26 笔转入的完整交易明细**（时间、金额、对手地址），用于判断资金来源是否单一、是否与已知交易所热钱包关联。
2. **核查 2014-11-19 那笔唯一转出**的去向地址，这往往是找回密码的“记忆锚点”（如转给本人另一钱包）。
3. **检查文件路径中 `MEGA-BONUS` 目录的上下文**——该命名可能关联某个历史活动或批量生成钱包的批次，建议调取同批次其他钱包档案做横向比对。
4. **调取 2018-03-06 文件生成时间前后的系统日志**，确认该 `.dat` 文件是否由某台特定设备导出，设备名/用户名可能成为密码线索。
5. **补充钱包创建时间或首次交易时间**，若早于 2014 年，可缩小密码设置习惯的推断范围。
6. **确认该地址是否曾出现在任何公开的“比特币捐赠页/论坛签名/历史帖”**，有时地址本身能反查钱包主人身份。
7. **核对业务系统内该钱包的“备注/标签”字段**，是否存在人工录入的提示语。
8. **若存在同批次多钱包**，可对比各钱包的密码修改时间与文件大小差异，判断是否共用同一口令体系。

### 7. 已尝试方向回顾（避免重复投入）
- **静态格式识别**：已确认是 Legacy BDB，排除了格式误判导致的无效尝试。
- **已知密码库核查**：已核对 `cracked_password` 字段，确认无现成密码可用，无需再查“是否已有答案”。
- **余额价值评估**：已确认业务上不视为小额，排除了“因价值低而放弃”的路径。
- **交易活跃度筛查**：已确认近 30 天无活动，排除“热钱包实时使用中”的假设，避免按在线钱包逻辑处理。
- **方向性统计**：已基于 `direction` 字段完成转入/转出计数，无需重新统计。

> 下一步应聚焦于**外部线索补充**（交易对手、同批次文件、系统日志），而非继续在钱包文件内部做重复的格式或字典尝试。