BTC 钱包风险检测与恢复评估 #1163

### 1. 一句话结论
这是一枚持有 **200 BTC** 的 Legacy 格式比特币钱包（ID 1163），链上活动集中在 **2013年3月底至4月初** 的 9 天内，此后长期休眠；目前 **尚未获得明文密码**，且业务标注显示“余额很小”为 **否**（即余额并不小），破解工作仍处于进行中。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：文件 `wallet_200-3.dat`，大小 126,976 字节，版本为 `bitcoin_legacy_bdb`（老式 Berkeley DB 格式），录入于 2026-06-23，最近一次更新为 2026-08-06。
- **余额与地址**：BTC 余额 **200.00008133**，主地址 `1PRS...6vN`（前缀 1，确认为 Legacy P2PKH 地址）。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即目前没有强证据表明已拿到明文密码。
- **业务标注**：`余额很小(≤阈值)` 为 **否**，说明系统判定该钱包余额 **不低**，不属于“空钱包/低价值”类别。
- **链上交易**（依据 `wallet_transactions.direction`）：
- 转入 2 笔，最后转入时间 **2013-03-26 21:02:41**；
- 转出 2 笔，最后转出时间 **2013-04-05 06:14:20**；
- 交易时间跨度仅 **9 天**，近 30 天转入/转出均为 0。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最初在 2026 年 6 月 23 日被纳入分析视野，当时系统记录下它的文件路径与格式，确认是一份来自“MEGA-BONUS”数据集的老式 Bitcoin Core 钱包。我们首先核对了它的“身份信息”：余额显示为 200 BTC，地址类型为 Legacy，这决定了后续所有验证都要围绕老版本钱包的密钥派生规则展开。

接着我们拉取了链上交易摘要，发现它的活跃期极短——从 2013 年 3 月 26 日收到第一笔转入，到 4 月 5 日完成最后一笔转出，前后不过 9 天。之后整整 13 年没有任何动静，属于典型的“沉睡钱包”。基于这一时间窗口，我们判断它的创建与使用都发生在比特币早期，钱包软件版本与加密方式相对古老。

在验证环节，我们重点检查了“是否已拿到密码”这一关键字段，结论为否。同时业务系统给出的“余额很小”标注也是否——这意味着我们不能以“低价值”为由降低验证优先级，反而要把它当作高价值目标继续推进。目前我们停留在“已确认钱包结构、已确认历史交易窗口、但尚未突破口令”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **2 笔**，最后一笔发生在 **2013-03-26 21:02:41**。这 2 笔构成了该地址 200 BTC 余额的主要来源。
- **转出（send）**：共 **2 笔**，最后一笔发生在 **2013-04-05 06:14:20**。转出后余额仍保留 200.00008133 BTC，说明转出金额相对总余额占比很小，或转出后又有转入补充（具体每笔金额未在本次数据中提供，暂不展开）。
- **近期活动**：近 30 天转入与转出均为 **0**，确认钱包自 2013 年后无任何链上动作。
- **未同步项**：每笔交易的具体金额、对手地址、手续费等明细字段本次未提供，暂记为 **未知**。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即系统明确判定此钱包余额 **未低于低价值阈值**，属于需要继续跟进的标的。
- **是否拿到明文密码**：字段 `cracked_password/actual_password` 为 **否**，因此我们 **尚未获得任何明文密码、助记词或私钥**。所有相关口令内容一律按 [已脱敏] 处理，不展开、不猜测。
- **当前阶段**：仍在进行口令验证与候选尝试，未进入“已解锁”状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充 4 笔链上交易的完整明细**（金额、时间戳、对手地址），用于判断 200 BTC 是否为“净留存”还是“中转后剩余”。
2. **查找 2013 年 3 月前后的钱包创建日志或备份文件**，确认是否存在同名 `wallet_200-3.dat` 的早期副本。
3. **收集该数据集（MEGA-BONUS）中其他钱包的共性线索**，例如是否批量使用相似口令策略（仅作关联参考，不涉及具体破解）。
4. **核对钱包文件头部的加密参数**（如是否使用旧版 `crypt` 标志），确认加密算法版本，以便匹配正确的验证工具链。
5. **检索 2013 年该地址在公开论坛/交易所有无关联发言或注册信息**，辅助判断钱包持有者身份。
6. **调取录入时的来源目录信息**（`/www/czb-wallet-common/...`），确认该文件是否来自某个已知的“遗留资产找回”项目。
7. **比对同批次 250 个钱包的余额分布**，确认 200 BTC 是否为该批次中的高值异常点。
8. **补充钱包文件的 SHA256 哈希与创建时间元数据**，用于交叉验证文件是否被修改过。

### 7. 已尝试方向回顾（避免重复投入）
- **格式与结构确认**：已完成，确认是 `bitcoin_legacy_bdb` 老式格式，排除了新式钱包（如 descriptor 钱包）的可能性。
- **链上活跃度分析**：已完成，确认活跃窗口仅 9 天，且 2013 年后无交易，排除了“近期被使用”的可能。
- **业务价值标注**：已确认“余额很小=否”，说明该钱包未被系统降级为低优先级。
- **密码状态核查**：已确认当前无任何明文密码证据，后续不应假设“已经破解成功”，而应继续以“未解锁”为前提推进。
- **未重复项**：尚未对交易对手地址做聚类分析，也尚未对同批次钱包做批量关联比对——这两块是空白，可作为下一步重点。